Утечка The Gentlemen: как новая RaaS‑группа стремительно выросла в 2026 году

Как и многие современные группы, она использует модель двойного вымогательства: сначала злоумышленники крадут данные компании, затем шифруют системы и угрожают опубликовать украденную информацию, если выкуп не будет выплачен.

По данным исследователей, в первые пять месяцев 2026 года на сайте утечек группы было опубликовано около 332 жертв, что сделало ее одной из самых активных ransomware‑операций в мире.

Темпы роста оказались особенно заметны в начале года: в первом квартале 2026 года группа опубликовала 179 жертв, тогда как в четвертом квартале 2025 года их было всего 26 — рост составил примерно 588%.

Как работает модель ransomware‑as‑a‑service

The Gentlemen действует по модели RaaS (ransomware‑as‑a‑service) — фактически это криминальная «платформа», где разные участники выполняют разные роли.

В такой схеме:

• разработчики создают шифровальщик и инфраструктуру
• операторы управляют платформой и выплатами
• партнеры‑аффилиаты проводят реальные взломы

Утекшая база данных показала несколько внутренних аккаунтов в панели управления RaaS. Управление инфраструктурой, по данным исследователей, связано с оператором под псевдонимом zeta88 (также известным как hastalamuerte).

Такое разделение труда позволяет небольшой основной команде быстро масштабировать атаки: партнеры выполняют большую часть операций, а платформа обеспечивает инструменты и инфраструктуру.

Основная точка входа — сетевые устройства на периметре

Одно из ключевых открытий утечки связано со способом первоначального проникновения в сети компаний.

Исследователи обнаружили, что атаки часто начинались через интернет‑доступные сетевые устройства, включая:

• межсетевые экраны (firewalls)
• VPN‑шлюзы
• системы сетевого управления

Такие устройства находятся на границе корпоративной сети и нередко имеют административные интерфейсы, доступные из интернета. Компрометация одного такого устройства может дать злоумышленнику привилегированный доступ к внутренней сети.

Эксплуатация критической уязвимости Fortinet

Одной из наиболее часто используемых уязвимостей стала CVE‑2024‑55591 — критическая ошибка в FortiOS и FortiProxy.

Эта уязвимость позволяет злоумышленнику:

• обходить механизм аутентификации
• отправлять специально сформированные запросы
• получать привилегии супер‑администратора на устройстве

После этого атакующий фактически получает полный контроль над сетевым устройством и может использовать его как точку входа во внутреннюю инфраструктуру компании.

Инвентарь из тысяч взломанных устройств FortiGate

Еще одно примечательное открытие — масштаб инфраструктуры, которую группа отслеживает для будущих атак.

По данным аналитиков, операторы The Gentlemen вели базу примерно из 14 700 уже взломанных устройств FortiGate по всему миру, а также хранили сотни проверенных VPN‑учетных данных, связанных с этими системами.

Такая база может использоваться как своего рода «пул доступа» для будущих атак. Получив контроль над сетевым устройством, злоумышленники могут постепенно продвигаться дальше по сети — часто оставаясь незамеченными.

Что показали внутренние чаты

Утекшие чаты раскрыли детали координации внутри группы. Сообщения охватывали разные этапы атак, включая:

• обсуждение потенциальных целей
• управление инфраструктурой
• взаимодействие с партнерами
• подготовку публикации данных жертв на сайте утечек

Каналы коммуникации включали несколько рабочих чатов, связанных с различными задачами операции. Анализ этих сообщений помог исследователям восстановить хронологию атак и внутренние рабочие процессы группировки.

Главный вывод для компаний и команд безопасности

Главный урок из этой утечки касается не только одной группы, а всей современной экосистемы ransomware.

Сегодня сетевые устройства на периметре сети становятся одной из главных точек входа для атак.

Многие организации уделяют основное внимание защите рабочих станций и серверов, но взломанные:

• firewall
• VPN‑шлюзы
• системы управления сетью

могут фактически обойти большинство традиционных механизмов защиты.

Эксперты рекомендуют организациям:

• быстро устанавливать обновления безопасности для сетевых устройств
• закрывать публичный доступ к административным интерфейсам
• использовать многофакторную аутентификацию для администраторов
• централизованно анализировать журналы firewall и VPN

Особое внимание стоит уделять критическим уязвимостям вроде CVE‑2024‑55591, которые позволяют получить полный административный доступ к устройствам.

Частичная утечка, но ценный источник информации

Исследователи подчеркивают, что опубликованные данные — это лишь частичный снимок деятельности The Gentlemen, а не полная картина всей операции.

Тем не менее утечка дала редкую возможность увидеть изнутри, как работает современная ransomware‑платформа — и как быстро подобные группы могут масштабироваться благодаря партнерской модели, автоматизированным инструментам и уязвимым сетевым устройствам.

Для специалистов по безопасности вывод очевиден: защита интернет‑доступной инфраструктуры стала одной из ключевых линий обороны в эпоху ransomware.