Атаките срещу идентичността изместват експлойтите като водеща причина за рансъмуер

В продължение на години бандите за рансъмуер бяха най-известни с експлоатирането на неактуализиран софтуер – уязвимостите, които карат ИТ екипите постоянно да прилагат актуализации по сигурността. Това вече не е основният начин тези атаки да започват. Според нови данни, публикувани от Dark Reading, фишингът и зловредните имейли сега са отговорни за половината от всички атаки с рансъмуер, като официално изпреварват софтуерните уязвимости като основна входна точка.

Още по-забележително: многофакторното удостоверяване (MFA), дълго считано за една от най-силните защити срещу откраднати идентификационни данни, вече е било налице в 97% от проучените атаки, базирани на идентификационни данни. С други думи, нападателите не успяват, защото организациите са пренебрегнали основни хигиенни мерки за сигурност. Те успяват, защото са намерили начини да ги заобиколят.

Тази промяна е важна, защото променя мястото на реалния риск. Кръпенето на сървъри и затварянето на софтуерни дупки остава важно, но данните показват, че нападателите са насочили усилията си към подвеждане на хора, вместо към разбиване на код. Един убедителен имейл, фалшива страница за вход или добре премерено телефонно обаждане вече могат да свършат това, което преди правеше експлойт от типа „нулев ден“.

Защо само MFA не спира нападателите

MFA се рекламира от години като почти непробиваема защита срещу кражба на идентификационни данни. Идеята е проста: дори ако паролата е открадната, нападателят все още се нуждае от втори фактор, като код, изпратен на телефон или приложение за удостоверяване, за да влезе. Тази логика издържа срещу основни атаки с отгатване на пароли. Но тя издържа много по-слабо срещу съвременните фишинг комплекти.

Нападателите са се адаптирали с техники, създадени специално за преодоляване на MFA. Фишинг проксита в реално време могат да прихванат както паролата, така и еднократния код в момента, в който жертвата ги въведе, след което да предадат тази информация на истинската система за вход, преди кодът да изтече. Други методи директно атакуват сесийните токени, което позволява на нападателите да отвлекат вече удостоверена сесия, без изобщо да се нуждаят от втория фактор. Фактът, че MFA е бил налице в 97% от атаките с рансъмуер, базирани на идентификационни данни в този набор от данни, показва, че включеното MFA вече не е достатъчно само по себе си. Начинът, по който е внедрено, и дали специално устоява на фишинг, има значение също толкова, колкото и дали съществува.

Това не означава, че MFA е безполезно. То все още блокира голям обем от автоматизирани и нискоусилни атаки. Но организациите и хората, които разчитат на него като на единствено сребърно куршумче, работят по остарял модел на заплахите.

Как се сравнява това с по-широката картина на пробивите

Тази тенденция, специфична за рансъмуера, върви успоредно със свързана, но различна промяна, документирана на други места в индустрията. Както беше разгледано в анализа на vpn.social за Доклада за разследване на пробиви в данните на Verizon за 2026 г., софтуерните дефекти изпревариха откраднатите или слаби пароли като основна входна точка за пробиви като цяло. На пръв поглед това изглежда противоречи на констатациите за рансъмуера, но двата набора от данни измерват различни неща. DBIR разглежда пробиви във всички категории и индустрии, докато това изследване на рансъмуера се фокусира конкретно върху това как операторите на рансъмуер получават първоначалния си достъп.

Взети заедно, очертава се картина на специализация. Някои нападатели усъвършенстват автоматизираното експлоатиране на софтуерни уязвимости в голям мащаб, докато групите за рансъмуер специално залагат двойно повече на социално инженерство, насочено към хора, вероятно защото то предлага по-бърз и по-надежден път към вида привилегирован достъп, необходим за разпространение на рансъмуер в мрежата. И двете тенденции могат да бъдат верни едновременно и двете сочат към една и съща основна реалност: нападателите отиват там, накъдето ги води пътят на най-малкото съпротивление, а този път непрекъснато се променя.

Какво означава това за вас

Ако изобщо използвате имейл, било за работа или лични акаунти, тази тенденция ви засяга пряко. Рансъмуерът не е насочен само към големи корпорации със специализирани ИТ отдели; малките фирми, здравните заведения, училищата и отделните професионалисти редовно са обект на същите фишинг тактики. Един-единствен убедителен имейл, отворен в неподходящ момент, може да бъде входната точка за атака, която криптира файловете на цялата организация.

Практическият извод не е да изоставите MFA. А да осъзнаете, че MFA е един слой в по-широка защита, а не финална линия. Устойчивите на фишинг методи за удостоверяване, внимателното проверяване на неочаквани подкани за вход и базовият скептицизъм към имейли, звучащи спешно, остават от съществено значение, дори за акаунти, вече защитени с MFA.

Практически изводи

  • Третирайте MFA подканите, които не сте заявили, като червен флаг, а не като рутинно известие, и никога не одобрявайте такава, която не сте инициирали.
  • Където е възможно, използвайте устойчиви на фишинг методи за удостоверяване, като хардуерни ключове за сигурност, вместо само SMS или кодове от приложения.
  • Бъдете предпазливи към спешността в имейли, които ви карат да влезете, да нулирате парола или да потвърдите акаунт – това са класически тактики за вход при рансъмуер.
  • Продължавайте да актуализирате софтуера, въпреки че атаките срещу идентичността вече водят причините за рансъмуер; атаките, базирани на експлойти, не са изчезнали, просто честотата им е изпреварена.
  • Ако управлявате екип или организация, инвестирайте в обучение за осведоменост относно фишинга заедно с техническите защити, тъй като данните показват, че хората, а не само системите, сега са основната цел.

Докато тактиките на рансъмуера продължават да се изместват към идентичност и социално инженерство, поддържането на информираност за това как всъщност се развиват тези атаки е една от най-ефективните налични защити. Разбирането къде се крие реалният риск днес е първата стъпка към затваряне на тази пролука, преди нападателите да могат да я използват.