Din Brazilia până în Statele Unite, din Regatul Unit până în Uniunea Europeană, ransomware-ul a apărut la mijlocul deceniului ca un fel de „economie paralelă” a criminalității digitale: se organizează ca serviciu, externalizează etapele și exploatează dependența companiilor și guvernelor de sistemele conectate. Noutatea nu constă în criptarea în sine, ci mai degrabă în modul în care extorcarea se combină cu operațiuni mai rapide, mai multe date furate și utilizarea tot mai mare a inteligenței artificiale pentru a reduce costurile și a crește acoperirea.
Raportul „Peisajul amenințărilor 2025”, publicat de ENISA – agenția UE pentru securitate cibernetică – a clasificat inteligența artificială drept unul dintre elementele definitorii ale peisajului actual al amenințărilor. Raportul subliniază faptul că, prin intermediul campaniilor de phishing bazate pe inteligență artificială, aceasta a ajuns să reprezinte o parte importantă a inițiativelor de inginerie socială observate anul trecut. Impactul practic este direct: texte mai convingătoare, adaptarea limbii la profilul victimei, automatizarea testării abordărilor și reducerea costurilor operaționale ale atacului.
IA nu înlocuiește complet operatorul uman în atacurile ransomware, dar reduce efortul în etape care, în mod tradițional, necesitau timp și abilități manuale. Modelele lingvistice sunt utilizate pentru a produce e-mailuri extrem de personalizate, a analiza date exfiltrate pentru a identifica informații sensibile cu cel mai mare potențial de exploatare și a sprijini cercetarea vulnerabilităților. Centrul Național de Securitate Cibernetică din Marea Britanie a avertizat deja că IA tinde să crească eficiența, frecvența și amploarea tacticilor existente, în special în recunoaștere și exploatare asistată.
Rolul agenților de inteligență artificială
Cel mai semnificativ progres, însă, constă în utilizarea arhitecturilor bazate pe agenți. Spre deosebire de un model care generează doar text, agenții sunt sisteme capabile să planifice sarcini, să execute apeluri către instrumente externe, să interacționeze cu API-uri și să mențină contextul în mai multe etape. Atunci când sunt aplicați în medii corporative legitime, acești agenți automatizează procesele interne, integrează sistemele și reduc fricțiunile operaționale. Dintr-o perspectivă ofensivă, aceeași logică poate fi utilizată pentru a coordona acțiuni distribuite.
Un atac structurat poate implica un agent dedicat colectării de informații publice și interne, un altul concentrat pe validarea acreditărilor și exploatarea permisiunilor excesive și un al treilea responsabil pentru operarea API-urilor serviciilor cloud pentru a mapa resurse, token-uri și chei de acces. De la intruziunea inițială, automatizarea accelerează mișcarea laterală și exfiltrarea. Rezultatul este o scurtare a ciclului dintre compromitere și extorcare.
În Brazilia, alertele CTIR Gov au descris, începând cu 2022, maturizarea unor grupuri precum BlackCat/ALPHV, care operează cu tehnici de mișcare laterală și criptare personalizată. Ceea ce se schimbă acum este stratul suplimentar de automatizare inteligentă, coroborat cu adoptarea tot mai mare de către corporații a integrărilor bazate pe API, a conturilor de servicii și a fluxurilor de lucru automatizate.
Această convergență extinde suprafața de risc. Fiecare integrare adaugă acreditări, token-uri și permisiuni. Fiecare agent corporativ cu autonomie operațională reprezintă o nouă identitate a mașinii. Dacă sunt compromise, aceste elemente pot acționa cu legitimitate aparentă în cadrul mediului. Investigația se schimbă de la simpla întrebare „cine a accesat-o” la întrebarea „ce sistem a executat o anumită acțiune și în cadrul cărui lanț decizional”.
Din punct de vedere tehnic, răspunsul la aceste noi amenințări necesită o revizuire arhitecturală. Modelele zero-trust, segmentarea granulară și controlul strict al identităților mașinilor devin priorități. Gestionarea privilegiilor trebuie să includă conturi de serviciu și integrări automate. Jurnalele trebuie să fie centralizate și protejate împotriva modificărilor, permițând analiza comportamentală bazată pe secvențe de evenimente și nu doar pe alerte izolate.
Copiile de rezervă imuabile rămân o măsură fundamentală împotriva criptării, dar nu rezolvă dimensiunea reputațională a extorcării prin încălcări de date. Monitorizarea continuă a exfiltrării și politicile clare de răspuns la incidente sunt acum integrate în planificarea strategică.
Adoptarea inteligenței artificiale în companii nu este, în sine, problema. Dimpotrivă, aceasta poate consolida detectarea și răspunsul atunci când este aplicată într-un mod structurat. Riscul apare atunci când agenții operează cu permisiuni excesive, integrările sunt implementate fără un inventar adecvat, iar deciziile automate nu au o pistă auditabilă.
Ransomware-ul a evoluat de la un atac tehnic la un model economic structurat. Incorporarea inteligenței artificiale și a agenților autonomi accelerează această logică, reduce costurile pentru infractori și crește complexitatea pentru companii, care trebuie să își mențină strategiile de apărare actualizate. Prioritatea strategică implică guvernarea identităților, API-urilor și algoritmilor cu aceeași rigoare aplicată activelor fizice și financiare.
Companiile care tratează agenții și automatizarea ca parte centrală a arhitecturii lor de risc vor fi mai bine poziționate pentru a face față următorului val. Cei care văd IA doar ca pe un instrument de productivitate ar putea descoperi prea târziu că autonomia fără control crește în mod silențios, dar decisiv, expunerea.
