Аб большасці заражэнняў еўрапейскіх кампаній і ўстаноў праграмамі-вымагальнікамі ўладам не паведамляецца. Таксама невядома, колькі пацярпелых заражаюцца і ці плацяць яны выкуп. Гэта ўскладніла б падыход да праграм-вымагальнікаў.
Enisa, агенцтва Еўрапейскага саюза па кібербяспецы, піша ў справаздачы, што яно мала ведае аб ахвярах праграм-вымагальнікаў. Для расследавання агенцтва прааналізавала 623 інцыдэнты як у ЕС, так і ў Вялікабрытаніі і ЗША, якія адбыліся ў мінулым годзе. Усяго было выкрадзена дзесяць тэрабайт дадзеных. У 58 працэнтах выпадкаў даныя таксама былі скрадзеныя ў супрацоўнікаў. Enisa выкарыстоўвала справаздачы кампаній і ўрадаў, паведамленні ў СМІ і блогах, а ў некаторых выпадках і паведамленні ў цёмным сеціве.
Прыкметная выснова ў справаздачы заключаецца ў тым, што ў 94.2 працэнтах усіх інцыдэнтаў ENISA не змагла вызначыць, ці заплаціла кампанія выкуп. У 37.88 працэнта выпадкаў даныя, якія былі выкрадзены падчас атакі, былі пазней перададзены ў Інтэрнэт. «З гэтага можна зрабіць выснову, што 61.12% усіх кампаній пагадзіліся са зламыснікамі або знайшлі іншае рашэнне», - пішуць даследчыкі. У выпадку заражэння праграмамі-вымагальнікамі стала нормай для зламыснікаў таксама пагражаць абнародаваць скрадзеныя дадзеныя ў якасці дадатковага сродкі ціску на ахвяру. Гэта адбываецца ў пераважнай большасці выпадкаў.
Даследчыкі таксама кажуць, што колькасць вывучаных выпадкаў - гэта «толькі вяршыня айсберга». У рэчаіснасці колькасць заражэнняў праграмамі-вымагальнікамі будзе значна вышэй. Па словах даследчыкаў, гэта цяжка вызначыць, таму што многія пацярпелыя не публікуюць свае інцыдэнты або не паведамляюць пра іх уладам.
Гэта таксама ўскладняе далейшыя даследаванні праграм-вымагальнікаў, кажа Эніса. У многіх выпадках пацярпелыя не могуць або не жадаюць сказаць, як зламыснікі ўвайшлі ўнутр. У спалучэнні з тым фактам, што плацяжы за праграмы-вымагальнікі часта вырабляюцца таемна, «такі падыход не дапамагае ў барацьбе з праграмамі-вымагальнікамі, наадварот», пішуць даследчыкі.
ENisa выступае за лепшыя правілы, якія патрабуюць паведамляць пра кіберінцыдэнты. Гэта стане больш магчымым у адпаведнасці з Дырэктывай па сеткавай і інфармацыйнай бяспецы або NIS2. Гэта еўрапейскі рэгламент, які цяпер распрацоўваецца і які абавяжа кампаніі ў пэўных сектарах паведамляць пра кіберінцыдэнты.