Ransomware was in 2025 opnieuw de meest voorkomende vorm van cyber-aanval en vertegenwoordigde 44% van alle incidenten die Arctic Wolf behandelde. Dat aandeel bleef stabiel ten opzichte van het jaar voordien.

De impact op organisaties blijft aanzienlijk. Ransomware-aanvallen leiden doorgaans tot acute operationele verstoring, stil gelegde productie- of dienstverleningsprocessen en reputatieschade.

In de gevallen waarin de daders met zekerheid konden worden geïdentificeerd, domineren drie groepen het dreigingslandschap:

• Akira blijft voor het tweede jaar op rij de meest actieve ransomware-groep en verhoogde zijn aandeel van 14,6% naar 18,3%. De groep staat bekend om snelle aanvallen en een stabiel affiliatiemodel.

• Qilin is de sterkste stijger en is inmiddels verantwoordelijk voor 16,9% van de toegewezen ransomware-aanvallen. De groei wordt onder meer toegeschreven aan actieve werving van affiliates en het invullen van het machtsvacuüm na het verdwijnen van andere groepen.

• RansomHub vertegenwoordigde 12,2% van de incidenten, maar kende een daling na een overname door DragonForce. Dergelijke herstructureringen en rebrands zijn kenmerkend voor het ransomware-ecosysteem.

Daarnaast zijn ook andere groepen actief:

• FOG nam 7,5% van de incidenten voor zijn rekening, met een sterke piek begin 2025.

• PLAY groeide geleidelijk naar 5,6%.

• INC debuteerde met 7,5% en viel op door snelle expansie en werving van affiliates.

Volgens Arctic Wolf hebben internationale politieacties het ransomware-landschap in 2025 herschikt. Groepen zoals LockBit, ALPHV BlackCat en BlackSuit verdwenen, maar werden snel opgevolgd door nieuwe namen en herstructureringen.

Aanvallen worden sneller, gerichter en professioneler uitgevoerd. Het ecosysteem evolueert steeds meer naar een schaalbaar en winstgedreven model, waarbij affiliates, rebrands en overnames een vaste plaats innemen.