Black Kite führt den Anstieg der Fallzahlen auf mehrere Entwicklungen zurück. Dazu zählen die stärkere Fragmentierung des Ransomware-Ökosystems, das Auftauchen von mehr als 60 neuen Gruppen und Angriffe auf kleinere Organisationen mit schwächerer Verteidigung. Zusätzlich verweist das Unternehmen auf Kompromittierungen bei Dritten und in Lieferketten, etwa im Zusammenhang mit Oracle und Salesforce. Solche Vorfälle erlaubten es Angreifern, eine einzelne Kompromittierung in Kampagnen mit vielen Opfern umzuwandeln.

Ferhat Dikbiyik, Forschungs- und Intelligence-Chef von Black Kite, nennt dafür ein konkretes Beispiel: „Gruppen wie Qilin haben neu definiert, wie ein einzelner Angriff aussieht: Eine einzige Kompromittierung eines Managed Service Providers erreichte 32 südkoreanische Finanzinstitute.“ Sein Fazit: „Ein Anbieter, Dutzende Opfer.“ Dikbiyik betont zudem, dass das Problem keineswegs eingedämmt sei. Ransomware bleibe ein lukratives Geschäft, während die Hürden für den Betrieb solcher Gruppen weiter sinken.

Ein wiederkehrendes Muster in der Auswertung waren hohe Werte beim Ransomware Susceptibility Index, kurz RSI. Mit diesem Wert misst Black Kite die Anfälligkeit einer Organisation für Ransomware anhand von außen sichtbaren Faktoren wie offengelegten Zugangsdaten und ungepatchten Schwachstellen. Laut Black Kite erlebten 41 Prozent der Unternehmen mit einem RSI über 0,8 im Untersuchungszeitraum einen Ransomware-Vorfall. Bei Organisationen mit Werten unter 0,2 waren es lediglich 0,14 Prozent. Bei mehr als 90 Prozent der Opfer stellte Black Kite kurz vor dem Angriff einen deutlichen Anstieg des RSI fest.

Dikbiyik unterscheidet dabei zwischen Exponierung und Veranlagung. Zur Exponierung zählt er nach außen sichtbare Fehlkonfigurationen, offen erreichbare Fernzugänge, Credential Stuffing und Protokolle aus Stealer-Logs. Die Veranlagung betreffe Merkmale wie Geografie, Branche, Umsatzklasse und die Größe des digitalen Fußabdrucks. Die meisten Opfer seien nicht deshalb kompromittiert worden, weil sie einzigartig schwach gewesen seien. Sie seien vielmehr sichtbar, exponiert und passend zu dem gewesen, wonach Angreifer ohnehin gesucht hätten.

Nach Branchen blieben Fertigungsunternehmen das wichtigste Ziel und machten 1.660 Opfer aus. Dahinter folgten 1.389 Organisationen aus dem Bereich professionelle, wissenschaftliche und technische Dienstleistungen. Bauunternehmen rückten auf Platz drei der am stärksten betroffenen Sektoren vor. Fast die Hälfte aller Opfer, genau 49,3 Prozent, waren Organisationen mit Sitz in den USA. Beim Wachstum der Angriffe lag Europa jedoch vor den USA.

Auch bei der Unternehmensgröße sieht Black Kite eine Verschiebung. Große Unternehmen blieben zwar attraktive Ziele, trieben das Mengenwachstum aber nicht mehr maßgeblich an. Ein großer Teil der Aktivität entfiel stattdessen auf Organisationen mit 50 bis 100 Millionen US-Dollar Umsatz sowie auf die Spanne von 1 bis 5 Millionen US-Dollar. Nach dieser Beobachtung war kein Unternehmen zu klein, um ins Visier zu geraten.

Zu den weiterhin besonders aktiven etablierten Gruppen zählt Black Kite Qilin, Everest, Cl0p und World Leaks, die sich überwiegend auf Organisationen in den USA konzentrierten. Kleinere und neuere Gruppen sammelten ihre Opfer dagegen vor allem in Europa, Südamerika, Afrika, Asien und dem Nahen Osten. Insgesamt schätzt Black Kite derzeit 146 aktive Ransomware-Gruppen — nach 127 im März. Operationen, die zwischen April und September 2025 gestartet wurden, hielten im Median nur 4,9 Monate durch, bevor sie wieder verschwanden.

Künstliche Intelligenz sieht Black Kite dabei nicht als eigentlichen Beschleuniger der Angriffswelle. Dikbiyik sagt, Open-Source-LLMs und Code-Agenten hätten die Kosten gesenkt, eine eigene Operation aufzubauen, und Black Kite habe erste Anzeichen KI-unterstützten Codes in Verschlüsselungswerkzeugen gesehen. Ob KI die Beschleunigung tatsächlich verursacht habe, lasse sich aber schwer sagen. Sein Fazit lautet: „Was ich sagen kann, ist: Das Wachstum ist menschlich. KI hat nur dafür gesorgt, dass mehr Menschen gleichzeitig auftauchen konnten.“