Над 2500 жертви в поне 120 държави и минимум 500 милиона долара изплатени откупи. Това е равносметката за LockBit, вероятно най-добре документирания случай на руски софтуер, действал в Европа и по света. Данните са от обвинение на прокуратурата в Ню Джърси срещу руския гражданин Дмитрий Хорошев.

Официална класация на „най-разпространения руски зловреден софтуер“ в Европа обаче не съществува. Агенцията на ЕС за киберсигурност ENISA отчита атаките по семейства зловреден код, а не според националността на авторите. За периода юли 2024 - юни 2025 г. агенцията е регистрирала 82 варианта рансъмуер срещу организации в държавите членки. Най-често докладваните са Akira (11,6%), SafePay (10,1%) и Qilin (7,5%), без официално обозначение като „руски“. LockBit обаче остава най-силният исторически пример. Данните на ENISA показват, че през предходния отчетен период групата е стояла зад близо една четвърт от всички регистрирани претенции, с 198 случая.

Моделът, който обяснява мащаба на LockBit

LockBit работи по модел, известен като „рансъмуер като услуга“. Разработчикът поддържа кода и инфраструктурата, а множество независими партньори извършват проникванията в мрежите на жертвите. Според обвинението на американското правосъдие Хорошев, като разработчик, е получавал 20% от всеки платен откуп, а партньорът, извършил конкретната атака, е прибирал останалите 80%. Това разпределение на ролите обяснява защо толкова много отделни престъпни групи по света са могли да използват един и същ инструмент. През май 2025 г. вътрешната база данни на LockBit е изтекла след компрометиране на самата платформа, отбелязва ENISA. Това вероятно обяснява почти пълното изчезване на нови претенции от групата след 27 май същата година.

Qakbot, Trickbot и Conti: другите руски следи

LockBit не е единственият пример. През май 2025 г. американското правосъдие обвини руския гражданин Рустам Галямов в разработването и управлението на ботнета Qakbot, заразил хиляди компютри по света. Според обвинението Галямов е предоставял достъп до заразените машини на съучастници, които впоследствие са ги атакували с рансъмуер. Международна операция е прекъснала Qakbot през август 2023 г., но според прокуратурата операторите му са продължили престъпната дейност и след това.

Друг пример, разследван от американските власти, са Trickbot и Conti, свързани с обвинения срещу девет руски граждани. Според Министерството на правосъдието на САЩ Trickbot е заразил милиони компютри по целия свят, включително в болници, училища и бизнеси, докато Conti е атакувал стотици жертви, сред които болнични системи и местни и чуждестранни правителства. Тези числа обаче са глобални, а не специфично европейски. Наличните източници не дават актуална и сравнима картина за присъствието им в ЕС днес.

Сграда на европейска институция с флага на ЕС на дневна светлина.Генерирано с AI
Сграда на европейска институция с флага на ЕС на дневна светлина.

Следата у нас

За България има един конкретен, макар и ограничен, публичен сигнал. Европейският екип за реакция при инциденти CERT-EU съобщава, че през май 2022 г. LockBit е посочил Държавната агенция за бежанците при Министерския съвет като жертва на своя сайт за публикуване на изтекли данни. Важно е да се подчертае, че това е твърдение на самите извършители, а не независимо потвърждение за мащаба на пробива или обема на засегнатите данни.

По-широката картина за целия ЕС е по-показателна от единичните случаи. Според ENISA фишингът продължава да е основният начин, по който нападателите проникват в компютърните мрежи, а рансъмуерът съставлява 81,1% от цялата киберпрестъпна активност, насочена срещу организации в Съюза през последния отчетен период. За българските компании и институции изводът е практичен: рискът по-рядко идва от точния произход на конкретния зловреден код и по-често от липсата на защита срещу фишинг имейли, през които започват повечето от тези атаки.