Атаките с рансъмуер рядко започват с криптиране. Много преди системите да бъдат заключени и да се появи бележка с искане за откуп, нападателите може вече да разполагат с идентификационните данни, необходими им, за да влязат в мрежата на организацията. Това е основното послание на скорошна статия в Security Boulevard, базирана на Доклада за разследване на изтичане на данни (DBIR) на Verizon за 2026 г., и тя променя начина, по който трябва да мислим за атаките с рансъмуер чрез откраднати идентификационни данни: заключването е последното действие, а не началният ход.

Откъсът, достъпен от отразяването на този доклад, е кратък, затова тази публикация се придържа към това, което той посочва, и към това, което vpn.social вече е съобщил. Изводът остава ясен и практичен както за отделните хора, така и за организациите.

Как откраднатите идентификационни данни се превръщат в точка за вход за рансъмуер

Полезно е да си представим рансъмуера като верига за доставки, а не като отделно събитие. Различни участници отговарят за различни етапи. Една група се сдобива с данни за вход, друга ги купува или използва, за да проникне в мрежа, а самият рансъмуер идва по-късно, след като достъпът е осигурен.

Това е важно, защото валидно потребителско име и парола изглеждат като нормална активност. Нападател, който влиза с истински идентификационни данни, не се нуждае от пробиване на защитна стена или от експлоатиране на софтуерна уязвимост. Той просто влиза, а инструментите за сигурност може първоначално да не отбележат нищо необичайно.

Когато започне криптирането, нападателят може вече от известно време да е вътре. Искането за откуп е моментът, в който жертвата разбира, а не моментът, в който атаката е започнала.

Откъде започва веригата за доставки на идентификационни данни: инфостилъри и изтекли данни за вход

И така, откъде идват идентификационните данни? Основен източник е зловредният софтуер от тип инфостилър, който тихо събира запазени данни за вход, данни от сесии и други тайни от заразени устройства. Откраднатите данни обикновено се обединяват в „логове“, с които престъпниците могат да търгуват или да продават.

vpn.social е отразявал тази промяна подробно. Както съобщихме, логовете от инфостилъри са изпреварили фишинга като водеща причина за изтичане на данни, като изследователите посочват зловредния софтуер от тип инфостилър като все по-често срещан начин, по който нападателите проникват в корпоративни мрежи. Това се вписва в картината на веригата за доставки: събирането на идентификационни данни е отделна стъпка, която захранва каквато и атака да последва, включително рансъмуер.

Един заразен личен лаптоп може да е достатъчен. Ако служител запази работни данни за вход в браузър на компрометирано устройство, тези идентификационни данни може да се озоват на престъпен пазар, без работодателят изобщо да разбере.

Какво казва DBIR за 2026 г. за достъпа при рансъмуер

DBIR на Verizon е едно от най-широко цитираните годишни изследвания за това как се случват изтичания на данни. Според отразяването на изданието за 2026 г. нападателите може вече да разполагат с необходимите им идентификационни данни, преди атака с рансъмуер да стане видима. Тази рамка поставя идентификационните данни в началото на атаката, вместо да третира криптирането като начална точка.

Тук няма да поставяме числа на това заключение, защото откъсът от източника не ги предоставя. Читателите, които искат точни цифри, следва да се обърнат към самия доклад. Посоката обаче е в съответствие с по-широката тенденция кражбата на идентификационни данни да стои в основата на първоначалния достъп.

Практическото следствие е промяна във фокуса. Защитата срещу рансъмуер не е само въпрос на резервни копия и защита на крайните точки в края на веригата. Тя означава също намаляване на броя на валидните, изложени данни за вход, които престъпниците могат да получат в началото.

Какво означава това за вас: Практични стъпки за намаляване на изложените данни за вход

Не можете да спрете всеки инфостилър, но можете да направите откраднатите данни за вход много по-малко полезни. Обмислете следните стъпки:

  • Използвайте уникална парола за всеки акаунт. Ако едни идентификационни данни изтекат, те не трябва да отключват нищо друго.
  • Възприемете мениджър на пароли. Той прави уникалните, дълги пароли реалистични и избягва свободното съхранение на данни за вход в браузър на устройство, на което не се доверявате напълно.
  • Включете многофакторно удостоверяване (MFA). Тогава откраднатата парола сама по себе си не е достатъчна за вход. Предпочитайте базирани на приложения или хардуерни методи, когато са налични.
  • Поддържайте устройствата чисти. Инсталирайте актуализации, избягвайте неофициални изтегляния на софтуер и премахвайте програми, които не разпознавате, тъй като инфостилърите често пристигат по този начин.
  • Разделяйте работата и личната употреба. Избягвайте влизане в работни акаунти на лични или споделени устройства.
  • Сменете паролите след предполагаема инфекция или известие за изтичане. Направете го от известно чисто устройство и излезте от активните сесии.

Ако ръководите екип, същата логика се разширява: наложете MFA, ограничете кой има привилегирован достъп и прегледайте кои акаунти все още имат достъп, който вече не им е необходим.

Прекъснете линията на доставки

Централният урок от отразяването на DBIR на Verizon за 2026 г. е, че атаките с рансъмуер чрез откраднати идентификационни данни започват много преди някой да види бележка с искане за откуп. Най-ефективната защита е да направите данните си за вход трудни за открадване и по-малко ценни, ако бъдат откраднати.

Започнете днес с прост одит: избройте важните си акаунти, проверете за повторно използвани пароли и включете MFA навсякъде, където се предлага. След това преместете данните си за вход в мениджър на пароли с уникални идентификационни данни за всяка услуга. За по-задълбочен поглед върху това как се събират идентификационни данни на първо място, прочетете нашия доклад за логовете от инфостилъри, изпреварили фишинга като водеща причина за изтичане на данни. Малко хигиена сега може да прекъсне първата връзка във веригата.