Grupa The Gentlemen rośnie w siłę. Jak działa drugi najaktywniejszy ransomware na rynku?

Grupa ransomware działająca pod nazwą The Gentlemen w ciągu niespełna roku stała się jednym z najpoważniejszych zagrożeń dla firm na całym świecie. Jak wynika z analizy badaczy Check Point Software, grupa jest obecnie drugim najaktywniejszym gangiem ransomware pod względem liczby opublikowanych ofiar. W 2026 roku odnotowano już ponad 240 przypadków, a od początku działalności grupy w połowie 2025 roku – co najmniej 332. Co stoi za tak szybkim wzrostem i jak można się przed nimi bronić?

Model RaaS i 90-procentowa prowizja dla affiliate

The Gentlemen działają w modelu ransomware-as-a-service (RaaS), czyli udostępniają swoje narzędzia cyberprzestępcze partnerom (affiliate) w zamian za część okupu. Kluczowym elementem ich strategii jest podział zysków: affiliate otrzymuje 90% okupu, a operatorzy grupy – 10%. Jak podkreślają eksperci Check Point, „90/10 affiliate revenue split — compared to the industry standard 80/20 — is accelerating the group’s growth by attracting experienced operators from competing programs”. Oznacza to, że grupa przyciąga doświadczonych hakerów z innych programów, co bezpośrednio przekłada się na liczbę udanych ataków.

Jak atakują The Gentlemen?

Według raportu Check Point, grupa koncentruje się na urządzeniach dostępnych z internetu, takich jak VPN-y i firewalle. To właśnie one stanowią punkt wejścia do sieci ofiary. Po uzyskaniu dostępu atakujący działają błyskawicznie – w ciągu kilku godzin są w stanie zaszyfrować całe sieci. Takie tempo utrudnia reakcję obronną i zwiększa szanse na skuteczne wymuszenie okupu.

Warto zaznaczyć, że grupa nie oszczędza również małych i średnich firm. Choć ich celem są przede wszystkim organizacje z widocznymi lukami w zabezpieczeniach, to każda firma korzystająca z publicznie dostępnych usług VPN lub firewalli powinna traktować to zagrożenie poważnie.

Kim jest administrator grupy?

Śledztwo dziennikarzy Krebs on Security ujawniło, że administratorem grupy jest osoba posługująca się pseudonimami Zeta88 i Hastalamuerte. Badacze z Intel 471 ustalili, że użytkownik ten od lat działa na rosyjskojęzycznych forach cyberprzestępczych, a jego aktywność w sieci wskazuje na powiązania z osobą o imieniu i nazwisku Alexander Andreevich Yapaev, mieszkańcem Iżewska w Rosji. Co istotne, wczesne wpisy Hastalamuerte na forach (z lat 2019–2020) pokazują osobę o stosunkowo niskich umiejętnościach, która dopiero uczyła się narzędzi penetracyjnych. To dowodzi, że nawet początkujący haker może z czasem stać się groźnym administratorem grupy ransomware.

Jak się bronić? Praktyczne zalecenia

Ochrona przed atakami The Gentlemen wymaga przede wszystkim zabezpieczenia urządzeń brzegowych sieci. Oto najważniejsze kroki:

• Aktualizuj oprogramowanie – VPN-y, firewalle i inne urządzenia dostępne z internetu powinny być regularnie łatane. Producenci często wydają poprawki krytycznych luk, które są wykorzystywane przez grupy takie jak The Gentlemen.
• Stosuj uwierzytelnianie wieloskładnikowe (MFA) – nawet jeśli hasło zostanie przechwycone, MFA może zatrzymać atakującego na pierwszej linii.
• Monitoruj ruch sieciowy – nietypowe połączenia z nieznanych adresów IP mogą świadczyć o próbie włamania. Warto wdrożyć systemy wykrywania anomalii.
• Regularnie twórz kopie zapasowe – w przypadku szyfrowania danych, przywrócenie z backupu może być jedynym sposobem na odzyskanie dostępu bez płacenia okupu. Kopie powinny być przechowywane offline lub w odizolowanej sieci.
• Szkol pracowników – choć ataki The Gentlemen często zaczynają się od urządzeń brzegowych, to błąd ludzki (np. kliknięcie w złośliwy link) może otworzyć drogę do sieci. Regularne szkolenia z cyberhigieny są niezbędne.

Co dalej?

Grupa The Gentlemen nie zwalnia tempa. Jej model biznesowy, oparty na wysokiej prowizji dla affiliate i szybkich atakach, prawdopodobnie będzie przyciągał kolejnych cyberprzestępców. Dla firm kluczowe jest zatem nie tylko reagowanie na incydenty, ale przede wszystkim prewencja. Warto śledzić komunikaty CERT Polska i producentów zabezpieczeń, aby być na bieżąco z nowymi wektorami ataków. Pamiętaj: w przypadku ransomware lepiej zapobiegać niż leczyć – zwłaszcza gdy leczenie może kosztować miliony.