23 октября 2026 года The Hacker News сообщило, что исследователи SOCRadar обнаружили открытую инфраструктуру аффилиатов вымогательских групп INC и The Gentlemen1. По оценке исследователей, русскоязычный оператор использовал фреймворк Phantom: человек давал запрос под конкретную жертву и проверял каждый шаг, а вторжения выполнялись через OpenCode с коммерческими моделями на OpenRouter1. Если модели отказывались, запросы переписывались как «авторизованная проверка red team»1. По данным SOCRadar и записям оператора, первичный доступ получали через уязвимости в FortiClient EMS, SimpleHelp, cPanel и VPN-шлюзах1. SOCRadar назвала главным усилителем атак повторное использование паролей: в одном случае один повторно использованный пароль открыл VPN, серверы, RMM, резервные копии и платформы управления безопасностью1. Целями, по оценке, стали 62 организации, четыре из них оказались на сайтах утечек1. Итоги требований выкупа неизвестны: кошельков и записей о платежах не найдено1. Наш вывод, а не утверждение источника: стоит своевременно обновлять пограничные системы и исключать повторное использование паролей.

  1. [1] Exposed Infrastructure Reveals How Ransomware Affiliates Used AI Agents to Execute IntrusionsThe Hacker News