Ransomware оператори публикуваха имена на компании и домейни с българска връзка през 2026 г. Сред тях са ABV, „Топливо“, „Аптеки Марешки“, Balkan Polymers и Royal EGT. Два други случая имат официално оповестена информация за инциденти, но с различен от първоначално твърдения характер

През 2026 г. няколко български компании и организации се появиха в публичните сайтове за изтичане на данни на международни ransomware групи. В списъците фигурират имена от финансовия, търговския, производствения, здравния и технологичния сектор. Сред тях са ABV, „Топливо“ АД, „Аптеки Марешки“, Balkan Polymers, Konica Minolta България, както и домейни, свързвани с Royal EGT, Caribe/Subra и други организации.

Паралелно с тези публикации има и два случая с официално оповестена информация от засегнатите дружества – предотвратената атака срещу „Еврохолд България“ и „Евроинс“ и неоторизираният достъп до ограничена тестова среда на Konica Minolta България.

Това са различни по характер събития и не трябва да бъдат поставяни под общото определение „потвърдени ransomware атаки“. В единия случай компанията съобщава за успешно овладяна кибератака, а в другия – за установен неоторизиран достъп, но оспорва твърденията за компрометиране на основните корпоративни системи и изтегляне на 235 GB информация.

Основният проблем при анализа на подобни случаи е разграничението между реално установен инцидент и твърдение, публикувано от самите нападатели. Сайтът за изтичане на данни е инструмент за натиск и изнудване. Появата на име в него доказва, че групата е направила публично твърдение, но сама по себе си не доказва успешен пробив или автентичността на предполагаемо откраднатата информация.

Два случая с официално оповестена информация

„Еврохолд“ и „Евроинс“ съобщиха за предотвратена кибератака

На 19 юли 2026 г. „Еврохолд България“ и дъщерното му застрахователно дружество „Евроинс“ съобщиха, че са предотвратили масирана атака срещу информационните си системи.

Според компанията атаката е била извършена през предходната седмица. Целите са включвали блокиране на дейността, кражба на данни, изнудване и нанасяне на репутационни щети. Дружествата заявяват, че са успели да неутрализират атаката със съдействието на компетентните държавни органи.

Като последици са посочени временни затруднения при достъпа до уебсайта и онлайн системите на застрахователя. В отделно съобщение „Евроинс“ уверява клиентите си, че няма компрометирани данни или загубена информация.

Този случай има особено значение, защото става дума за публично оповестен инцидент, а не само за твърдение в сайт на ransomware оператор. Същевременно през юли мониторингови платформи публикуват записи за Eurohold и Euroins, свързани с групата Krybit.

Съвпадението по време и имената на дружествата заслужава внимание, но не е достатъчно за категоричен извод, че Krybit стои зад описаната от холдинга атака. Няма публично представени технически доказателства, които да установяват тази връзка.

Konica Minolta България: установен достъп, но не и доказан корпоративен пробив

На 11 септември 2026 г. ransomware групата Panzer публикува Konica Minolta България като своя жертва. В публикацията се твърди, че нападателите са компрометирали корпоративната среда и са изтеглили 235 GB информация.

Компанията публикува официална позиция, основана на независимо техническо разследване, извършено от IBM. Според резултатите е установен неоторизиран достъп до ограничена локална тестова среда чрез компрометиран потребителски акаунт на бивш служител.

В наличните за анализа системни данни не са установени доказателства за допълнително злонамерено изпълнение в засегнатата среда или за компрометиране на основните корпоративни системи. Компанията посочва, че ERP, CRM и документната система не са били достъпени и са продължили да работят нормално.

Вътрешната проверка не е установила достъп до чувствителна или конфиденциална информация, лични данни или клиентски данни. Като допълнителна предпазна мярка локалните ИТ ресурси са били премахнати.

Следователно този случай трябва да бъде описван като потвърден неоторизиран достъп до ограничена тестова среда, но не и като доказана кражба на 235 GB корпоративна информация. Първоначалното твърдение на Panzer не се потвърждава в този му мащаб от публично оповестените резултати на техническото разследване.

Публикации на ransomware групи за организации с българска връзка

Освен двата случая с официално оповестена информация, мониторинговите платформи отчитат редица публикации на ransomware оператори. За тях трябва да се използва формулировката „обявени за жертви от групата“, докато не бъдат представени независими доказателства или позиция на засегнатата организация.

„Топливо“ АД – публикацията на N0n

На 25 октомври групата N0n публикува „Топливо“ АД в своя сайт за изтичане на данни. Преди това организацията е била представена като анонимната Company #107. Последващият запис с името TOPLIVO AD и съвпадението на описанието показват, че става дума за един и същ случай, а не за две отделни организации.

N0n твърди, че е придобила значителен обем бизнес информация. В описанието се споменават регистър на контрагенти, митнически документи, записи за шофьори и автоцистерни, измервания от резервоари и потребителски профили в счетоводна система.

Групата посочва статус NOT PAID — EXPOSED. Това е нейна собствена категоризация и не представлява независимо потвърждение на успешен пробив или на автентичността на описаните данни.

Няма публично независимо техническо потвърждение за реалния обем и съдържание на предполагаемо придобитата информация. Затова конкретните категории данни трябва да останат изрично приписани на N0n.

Ако твърденията бъдат потвърдени, потенциалните последствия биха могли да засегнат отношенията с контрагенти, логистични процеси и търговска информация. На този етап обаче това са възможни рискове, а не установени щети.

ABV – публикация на MedusaLocker

На 23 септември MedusaLocker публикува ABV като предполагаема жертва. Според мониторингови платформи групата твърди, че е извлякла 583 имейл адреса.

Това е особено чувствителен случай заради широкото използване на услугата. Но наличието на публикация не доказва, че са компрометирани потребителски пощенски кутии, пароли или цялата инфраструктура на ABV.

Необходимо е да се установи дали има официална позиция на оператора на услугата, дали са предоставени проверими доказателства и дали посочените адреси са автентични и действително придобити при неоторизиран достъп.

До получаването на такава информация случаят остава твърдение на MedusaLocker.

„Аптеки Марешки“ и Balkan Polymers – публикации на The Gentlemen

На 14 септември групата The Gentlemen публикува две организации с българска връзка – „Аптеки Марешки“ и Balkan Polymers.

При аптечната верига потенциалният риск е свързан с чувствителността на информацията, която подобен бизнес може да обработва. В зависимост от използваните системи това може да включва клиентски профили, служителски записи, търговска и счетоводна информация. Няма обаче независимо потвърждение, че такива данни действително са били достъпени или изнесени.

При Balkan Polymers също липсват достатъчно публични доказателства за обхвата на предполагаемия инцидент. Освен това трябва да се установи коя точно юридическа структура и коя инфраструктура са посочени от нападателите, преди случаят да бъде свързван категорично с конкретно българско дружество.

И двете публикации трябва да се разглеждат като твърдения на The Gentlemen, а не като потвърдени пробиви.

Brain Cipher и wildmanbg.com

На 29 септември Brain Cipher публикува домейна wildmanbg.com. Групата твърди, че е придобила над 80 GB информация и повече от 350 000 файла, включително HR и финансови документи.

Тези данни са описани във вторичен анализ, който изрично посочва, че твърденията на нападателите не са независимо проверени. Няма публично потвърждение от организацията, нито доказателства, които да установяват автентичността на файловете.

Има и проблем с идентификацията. Самият домейн с окончание .bg не е достатъчен, за да се установи кое юридическо лице стои зад него и дали действително става дума за българска компания. Затова случаят може да бъде включен като публикация за домейн с българска връзка, но не и като доказана атака срещу конкретно юридическо лице.

Royal EGT и NightSpire

На 8 октомври 2026 г. групата NightSpire обявява Royal EGT за своя жертва. Публикацията е свързана с домейна egt-interactive.com и е отразена от платформи за наблюдение на ransomware активността.

Според вторичния източник групата заплашва с публикуване на информация, ако представител на организацията не се свърже с нея. Не са представени независими доказателства за успешен пробив или за автентичността на предполагаемите данни.

Тук също трябва да се разграничат публичното твърдение и реалният обхват на евентуален инцидент. Не е коректно само въз основа на публикацията да се заключава, че са засегнати всички системи на EGT или клиентските данни на компанията.

Caribe/Subra и Majinahanashi

В мониторинговите платформи се появява и публикация на Majinahanashi, свързана с Caribe и Subra. В описанието са посочени домейните kalimancaribe.com и subra.bg, както и твърдение за над 21 000 файла.

Вторичният анализ на GalaxyWarden изрично определя публикацията като непотвърдено твърдение. Няма независимо потвърждение от двете организации за пробив или изнасяне на информация.

Има разминаване и в датировката на отделните мониторингови записи – някои платформи посочват юли, а други август. Затова не е необходимо да се фиксира точна дата, докато не бъде установен първоначалният запис на нападателите.

Този случай е показателен и за риска от дублиране: един запис може да включва няколко домейна или свързани търговски наименования, без това да означава отделни успешни атаки срещу всяко юридическо лице.

Какво показват регистрите – и какво не могат да докажат

Към 30 октомври 2026 г. платформата Brandefense ATLAS отчита 47 организации с българска връзка, публикувани в ransomware сайтове. Това число обаче не трябва да се представя като брой на потвърдените жертви.

Самата платформа уточнява, че записът в подобен сайт означава, че ransomware група е обявила дадена организация за своя жертва. Това не е доказателство за действителен пробив. Следователно показателят от 47 организации отразява събрани и класифицирани публикации, а не 47 независимо потвърдени инцидента.

Сходно предупреждение прави и Ransomnews. Според неговия Ransomtracker към 30 октомври 2026 г. са отчетени 9088 публикации на организации в сайтове на ransomware оператори в глобален мащаб. Всяка от тях представлява твърдение на нападателите, а не независимо потвърден инцидент.

Тези регистри имат практическа стойност за ранно предупреждение, проследяване на групи и наблюдение на потенциално засегнати доставчици. Те обаче не могат сами да установят дали дадена организация е била успешно компрометирана, какви данни са изнесени и дали публикуваните файлове са автентични.

Възможни са дублирани записи, преувеличени обеми, повторно използване на стари данни и неверни твърдения. От друга страна, организации, които плащат или успяват да договорят непубликуване на информацията, може изобщо да не се появят в публичните регистри.

Затова броят на публикациите не е равен на реалния брой атаки, а още по-малко на броя на доказаните пробиви.

Отделно от ransomware: разследването на ГДБОП за кражба и продажба на лични данни

На 30 октомври Министерството на вътрешните работи съобщи за задържането на 19-годишен български гражданин, разследван за серия от компютърни престъпления. Операцията е проведена на 28 октомври в София под надзора на Софийската градска прокуратура.

Според ГДБОП са засегнати около дузина компании и хиляди техни клиенти и потребители. Сред неправомерно придобитата информация са имена, телефонни номера, електронни и пощенски адреси, история на онлайн покупки и други лични данни.

Софийската градска прокуратура съобщава, че на 29 октомври младежът е привлечен като обвиняем за неправомерен достъп до информационни системи, копиране на база данни с лични данни с цел имотна облага и неправомерно променяне на компютърни данни. Според разследващите са събрани доказателства за съпричастност към пробиви в сайтове на държавни и общински институции, търговски дружества, БНТ и БНР.

По данни на разследването придобитата информация е била предлагана за продажба в интернет канали и хакерски форуми. Има и данни за отправяни призиви за разпространение на зловреден софтуер Cobra Stealer, предназначен за кражба на информация. Това не означава, че обвиняемият е разработил този софтуер или че е доказано използването му при конкретните пробиви.

Случаят не е ransomware инцидент и не трябва да се прибавя към броя на публикациите в сайтовете за изтичане на данни. Той обаче е важен за общата оценка на киберпрестъпната активност в България, защото показва отделен модел – неправомерно придобиване и последваща продажба на лична информация.

Обвиняемият е с инициали М. П. и важи презумпцията за невиновност. Към 30 октомври прокуратурата съобщава, че предстои на 31 октомври да внесе искане за задържане под стража. Разследването продължава.

Какъв е реалният риск за българския бизнес

Наблюдаваните случаи не позволяват да се твърди, че България е изправена пред доказана вълна от успешни ransomware пробиви. Те обаче показват, че организации от различни сектори присъстват в публичното пространство на международни групи за изнудване.

Рискът не се изчерпва с криптиране на системи. При модела на двойно изнудване нападателите се стремят да получат достъп до информация и след това използват заплахата за нейното публикуване като средство за натиск. Дори когато основните системи не са криптирани, евентуалното изнасяне на търговски документи, клиентски данни или вътрешна кореспонденция може да доведе до сериозни последици.

За бизнеса това означава, че защитата трябва да обхваща не само крайните устройства, но и идентичностите, отдалечения достъп, тестовите среди, доставчиците и резервните копия.

Особено важни са:

• многофакторната автентикация за привилегировани и отдалечени достъпи;
• своевременното прекратяване на акаунти на напуснали служители и външни изпълнители;
• сегментацията на мрежите и ограничаването на достъпа между тестови и производствени среди;
• управлението на уязвимости и наблюдението на публично изложени услуги;
• откриването на необичайни трансфери и масово извличане на информация;
• изолирани резервни копия и редовни тестове за възстановяване;
• план за реакция при инцидент, който включва запазване на доказателства и оценка на евентуално засегнатите лични данни.

Най-важният извод от публичните случаи през 2026 г. е необходимостта от по-добра проверимост и по-бърза реакция. Публикацията в ransomware сайт не е доказателство за успешна атака, но е сигнал, който заслужава проверка. А когато има потвърден неоторизиран достъп, както при Konica Minolta България, или официално съобщена атака, както при „Еврохолд“ и „Евроинс“, оценката трябва да се основава на реално установените обстоятелства, а не на първоначалните твърдения на нападателите.

За българските организации това е практическото послание: да не чакат името им да се появи в сайт за изтичане на данни, за да проверят дали достъпът до системите, идентичностите и информацията им е достатъчно добре защитен.