Sprzedaż baz danych pochodzących z wycieków okazała się największą kategorią na badanych platformach i forach darknetu. RED Security SOC doszedł do tego wniosku po analizie niemal 80 tys. ogłoszeń dotyczących nielegalnych usług i dóbr cyfrowych.
Według badania 47% publikacji dotyczyło baz zawierających skradzione informacje. Kolejne 18% obejmowało przejęte konta, a 14% dystrybucję złośliwego oprogramowania. Mniej więcej co dziesiąta oferta była związana z oszustwami finansowymi, w tym cardingiem i sprzedażą dokumentów potrzebnych do uzyskania produktów bankowych.
W segmencie malware 58% ofert dotyczyło ransomware, programów wykradających dane, loaderów i trojanów zdalnego dostępu. Pozostałe 42% stanowiły drainery portfeli kryptowalutowych, służące do kradzieży aktywów cyfrowych. RED Security SOC wiąże ich popularność z relatywnie niską ceną i niewielkim progiem wejścia.
Dostępy do infrastruktury firmowej, exploity zero-day i włamania na zlecenie pojawiały się znacznie rzadziej — każda z tych kategorii stanowiła około 1% ogłoszeń. Mimo małego udziału od początku roku analitycy znaleźli ponad tysiąc nowych publikacji w tych obszarach.
Największą aktywność sprzedawców odnotowano w pierwszym kwartale 2026 roku, gdy pojawiło się ponad 42 tys. nowych ogłoszeń. W drugim kwartale ich liczba spadła o około 23%, do nieco ponad 32 tys. RED Security SOC przypuszcza, że wpływ miały zarówno blokady nielegalnych serwisów, jak i przenoszenie sprzedaży do bardziej zamkniętych kanałów.