Българската аптечна верига се появи в списъка на ransomware групата, но доказателства за компрометиране засега няма

Българската верига Аптеки Марешки е посочена като жертва на ransomware групата The Gentlemen. Публикацията се появява на 14 септември 2026 г. в инфраструктура, следена от няколко независими източника за наблюдение на ransomware активността. Въпреки това към момента няма публично потвърждение от страна на компанията, нито независими доказателства, че е извършен успешен пробив, какви системи са били засегнати или дали действително са били откраднати данни.

GalaxyWarden категоризира случая като „непотвърдено твърдение“, а не като установен инцидент. Самият сайт изрично предупреждава, че публикация в ransomware leak сайт представлява твърдение на нападателите по време на евентуален процес на изнудване и сама по себе си не доказва, че е извършен пробив.

Какво твърди The Gentlemen

На 14 септември името Apteki Mareshki се появява в публикация, приписвана на The Gentlemen. Същата публикация е засечена и от RansomLook, който проследява публикациите на ransomware групите, като записът за Аптеки Марешки е отчетен в 19:25 ч. на 14 септември.

В публикацията групата представя обща информация за бизнеса и посочва домейна mareshki.com. Тя описва Аптеки Марешки като голяма българска аптечна верига и прави твърдения относно корпоративната структура около бранда.

Тук обаче трябва да се направи важно разграничение.

Тази информация не представлява доказателство за проникване в инфраструктурата на компанията. Това е съдържание, публикувано от самите нападатели и цитирано от GalaxyWarden като такова. Платформата изрично отбелязва, че не е потвърдила независимо нито факта на пробива, нито характера на евентуално откраднатата информация.

Към момента няма публично посочен брой компрометирани записи, няма надеждно потвърждение за изтекли клиентски данни и няма информация, която да позволява да се заключи, че личните данни на клиентите на аптечната верига са били достъпени.

Защо появата в leak сайт все пак е сериозен сигнал

Непотвърденото твърдение не трябва да бъде представяно като факт. Това обаче не означава, че може да бъде игнорирано.

Ransomware операторите използват публичните си leak сайтове като инструмент за натиск. Публикуването на име на организация може да бъде част от различни етапи на атаката – от реална компрометация и кражба на данни до опит за изнудване, а в някои случаи и до фалшиво или преувеличено твърдение.

Именно затова реакцията на организацията трябва да започне не с публичен спор с нападателите, а с техническа проверка.

Необходимо е да се установи дали има следи от:

• неоторизиран достъп до акаунти;
• компрометирани администраторски профили;
• необичайна VPN или RDP активност;
• подозрителни входове в облачни услуги;
• създадени нови потребителски акаунти;
• необичайно използване на PowerShell или други административни инструменти;
• архивиране или компресиране на големи обеми информация;
• трансфер на данни към външна инфраструктура;
• изключване или заобикаляне на защитни механизми;
• промени в резервните копия;
• ransomware артефакти в крайни устройства и сървъри.

Това е особено важно, защото липсата на криптирани файлове не означава автоматично липса на ransomware инцидент. При съвременните операции кражбата на данни може да бъде самостоятелна цел, а криптирането да бъде използвано по-късно като допълнителен инструмент за натиск.

The Gentlemen вече е значим играч в ransomware екосистемата

Случаят с Аптеки Марешки идва на фона на бързо разрастващата се активност на The Gentlemen.

Според актуалното проследяване на Ransomnews групата е публикувала стотици твърдения за жертви през 2026 г. В базата са отчетени 922 жертви, като 844 от тях са за 2026 г. Тези числа обаче представляват заявени от групата жертви, а не броя на независимо потвърдените атаки. Ransomnews посочва само 81 проверени инцидента, подкрепени от публичен източник като уведомление за пробив, регулаторно подаване или медийно съобщение.

Това разграничение е критично.

При ransomware групите leak сайтовете не са надежден еквивалент на полицейски или регулаторен регистър. Те са част от престъпната инфраструктура и се използват за натиск върху жертвите. Затова всяко име в подобен списък трябва да бъде проверявано независимо.

Въпреки това мащабът на активността на The Gentlemen е достатъчен, за да превърне подобна публикация в сериозен индикатор за потенциален инцидент.

Ransomnews отчита потвърдени случаи на групата в 36 държави, като сред засегнатите сектори има производство, здравеопазване, държавна администрация, образование, търговия и финансови услуги.

Особено чувствителен случай заради характера на бизнеса

Ако твърдението за компрометиране на Аптеки Марешки бъде потвърдено, потенциалното значение на инцидента няма да се изчерпва с корпоративната киберсигурност.

Аптечният бизнес обработва информация, която може да има висока чувствителност. В зависимост от конкретните системи и архитектурата на организацията това може да включва клиентски профили, данни за покупки, информация за лекарства, служителски данни, счетоводна информация, договори, доставчици и различни видове вътрешна бизнес комуникация.

Не трябва обаче автоматично да се твърди, че подобна информация е изтекла. Няма публични доказателства за това към момента.

Точно тази граница е важна както за медиите, така и за самите организации. Разликата между „ransomware група твърди, че е пробила компанията“ и „компанията е потвърдила изтичане на клиентски данни“ е огромна.

Какво трябва да направи организацията при подобно твърдение

Най-важната реакция е техническа и организационна, а не комуникационна.

Първата стъпка е проверка на автентичността на твърдението. Екипът по сигурността трябва да съпостави времето на предполагаемия инцидент с логовете от защитните системи, системите за идентичност, крайните устройства, сървърите и мрежовата инфраструктура.

Втората стъпка е търсене на доказателства за достъп и ексфилтрация. Особено внимание трябва да бъде отделено на акаунти с високи привилегии, отдалечен достъп, облачни платформи и системи, които съдържат чувствителна информация.

Третата стъпка е проверка на резервните копия. Те трябва да бъдат разглеждани не само като средство за възстановяване, но и като потенциална цел на нападателя. Ако резервните копия са били достъпни от компрометираната среда, тяхната цялост трябва да бъде проверена.

Четвъртата стъпка е контролиране на идентичностите. При съмнение за компрометирани акаунти трябва да се извърши ротация на пароли, ключове и токени, да се прекратят активните сесии и да се прегледат правилата за многофакторна автентикация.

Накрая идва комуникацията с клиенти, партньори и институции. Тя трябва да се основава на проверени факти, а не на съдържанието на престъпния leak сайт.

Най-опасната грешка е преждевременното обявяване на „изтичане на данни“

Случаят с Аптеки Марешки показва един от големите проблеми на съвременната ransomware екосистема.

Публикуването на име в leak сайт вече само по себе си се превръща в киберзаплаха.

То може да предизвика паника сред клиенти и служители, да създаде вторична вълна от фишинг атаки и измами и да даде на нападателите допълнителен инструмент за натиск.

От друга страна, игнорирането на публикацията също е грешка.

Правилният подход е между двете крайности: нито сляпо приемане на твърдението за факт, нито автоматичното му отхвърляне като измама.

На този етап най-точната формулировка е, че Аптеки Марешки са посочени от The Gentlemen като предполагаема жертва на ransomware атака, но твърдението остава непотвърдено. GalaxyWarden също определя случая като непотвърден, а независимото проследяване на RansomLook потвърждава, че името на веригата действително е публикувано като жертва от групата на 14 септември.

Докато не бъде публикувана официална позиция или не се появят надеждни технически доказателства, всякакви твърдения за конкретни откраднати бази данни, брой засегнати клиенти или изтекли медицински и лични данни биха били спекулация.

За бизнеса обаче сигналът е достатъчно сериозен, за да оправдае незабавна проверка. При ransomware атаките времето между първоначалния достъп, кражбата на данни и публичното изнудване може да бъде значително по-кратко, отколкото организацията предполага.