17% организаций, столкнувшихся с ransomware-атаками, заявили о физических угрозах со стороны преступников. В ход, по их словам, идут письма, посылки, давление на родственников, угрозы похищения и проникновения в офис. Для российских IT-команд это неприятный сигнал: физические угрозы вымогателей могут превратить обычный инцидент ИБ в задачу не только для SOC и юристов, но и для службы безопасности, HR и руководителей.
О результатах исследования Semperis сообщает Dark Reading. При этом у самых тревожных цифр есть важная оговорка: данные основаны на ответах участников опроса, а подтверждённых публичных кейсов физического насилия, напрямую связанного с ransomware-вымогательством, журналистам найти не удалось. Паниковать рано, списывать проблему на страшилки из презентаций по ИБ — тоже.
Угрозы есть, доказательств меньше
В отчёте Semperis за 2026 год 17% респондентов сообщили о прямых физических угрозах, ещё 23% — о психологическом запугивании во время атак. Среди тех, кто вообще столкнулся с угрозами, 57% упомянули сообщения, письма или посылки угрожающего характера. В 37% случаев преступники угрожали членам семьи и друзьям сотрудников, в 19% — проникновением в офис, в 17% — похищением, в 13% — причинением вреда здоровью, в 6% — преследованием.
Самая спорная цифра отчёта — 53% опрошенных заявили, что атакующие исполнили свои угрозы. Неясно, что именно респонденты считали исполнением: физическое нападение, доксинг, ложный вызов экстренных служб, рассылку данных коллегам или иной способ давления. Семperis отдельно указывает, что более чем в половине подобных эпизодов жертвы либо их семьи сталкивались с публикацией персональных данных, сваттингом или публичным унижением.
Картина заметно различается по странам. В Великобритании, по данным опроса, угрозы реализовывались примерно в 34% случаев, а риск преследования оценивался в 18%. В Италии 32% пострадавших сообщили об угрозах похищения, 22% — о риске физического вреда, а 74% заявили, что преступники доводили угрозы до действия. Эти показатели выглядят настолько жёстко, что требуют особенно осторожного прочтения: речь не о верифицированной криминальной статистике, а о самоотчётах компаний.
Почему цифровой шантаж ищет выход в офлайн
Логика вымогателей понятна и без романтизации киберпреступников. Компании лучше готовятся к шифровальщикам: делают резервные копии, отрабатывают восстановление, подключают страхование, привлекают переговорщиков и отказываются платить. Если угроза остановки инфраструктуры уже не гарантирует выкуп, преступники ищут более болезненную точку давления — конкретного человека. Директор по реагированию на инциденты Semperis Джефф Вичман сравнил эту эскалацию с классическим рэкетом: когда денег не добились угрозой бизнесу, давление переносят на людей.
У Semperis есть собственный эпизод, который показывает, как это может выглядеть. Несколько лет назад сотрудник компании, участвовавший в переговорах от имени американской государственной организации, получил домой посылку с запиской, намекавшей на физическое насилие, если он не прекратит работу. Это не доказательство системной волны нападений, но вполне реальный пример того, что граница между цифровым вымогательством и личным запугиванием не является непробиваемой.
Параллели есть и в соседних сегментах киберпреступности. В криптоиндустрии растёт число так называемых wrench-атак — когда владельца криптоактивов принуждают физически выдать ключи доступа. CertiK Skynet зафиксировала 72 таких случая в 2025 году, на 75% больше, чем годом ранее. Chainalysis сообщала, что к середине 2026 года злоумышленники получили таким способом около $30 млн. Переносить эти цифры на корпоративный ransomware нельзя: криптокошелёк можно опустошить немедленно, а корпоративный выкуп — совсем другая экономика. Но сама готовность преступников сочетать онлайн-разведку с офлайн-давлением уже не экзотика.
Есть и более близкий к корпоративной среде пример. Весной 2026 года ФБР и Mandiant описали активность Silent Ransom Group: участники группы выдавали себя за IT-техников, проникали в офисы компаний и выгружали данные с конечных устройств через USB-носители. Это не история о нападениях на сотрудников, но она показывает, что часть вымогательских схем уже выходит за пределы почты, VPN и облачных консолей.
Для бизнеса практический вывод довольно приземлённый. План реагирования на инциденты должен описывать не только изоляцию сети, восстановление бэкапов и коммуникацию с регуляторами. В нём нужны контакты физической охраны и правоохранительных органов, правила фиксации угроз, защита домашних адресов сотрудников, ограничения на публикацию персональных данных топ-менеджеров и членов IR-команды. Отдельно стоит обучить ресепшен и офисную охрану проверять «срочных инженеров», курьеров и подрядчиков: бейдж с логотипом давно не является криптографическим доказательством личности.
Особенно уязвимы сотрудники, чьи имена легко связать с критическими решениями: CISO, CIO, руководители инфраструктуры, переговорщики, финансовые директора и администраторы привилегированных учётных записей. HR здесь тоже не наблюдатель: в публичных профилях, вакансиях и соцсетях часто лежит достаточно данных, чтобы собрать карту команды и семейных связей. Сокращение цифрового следа не отменит атаку, но снизит цену разведки для злоумышленника.
Физические угрозы вымогателей пока нельзя назвать доказанным массовым трендом: цифры Semperis тревожные, но их независимое подтверждение ограничено. Однако доксинг, сваттинг, поддельные визиты «техподдержки» и давление на родственников уже достаточно реальны, чтобы считать их частью модели риска. Следующий рубеж для команд ИБ — научиться защищать не только данные и инфраструктуру, но и людей, которым эти данные доверены. Подробности исследования приводит .