Четири от пет атаки с ransomware днес започват по един и същи начин: с нечия самоличност, а не със сървърите им. Тази единична статистика, съобщена от The Manila Times, улавя промяна, която се е натрупвала с години, но вече е невъзможно да бъде пренебрегната. Нападателите вече не се надпреварват да намерят неактуализиран сървър или експлойт от типа zero-day. Те просто влизат с идентификационни данни, които са били фишинг, закупени или изтекли, и преминават през входната врата като всеки друг оторизиран потребител.

Тази промяна има значение, защото променя какво всъщност означава "сигурност" за повечето организации и физически лица. Защитната стена не може да спре някой, който разполага с валидно потребителско име и парола. Актуализираният сървър не помага, ако нападателят никога не е имал нужда да го експлоатира. Атаките с ransomware, базирани на идентификационни данни, преместиха бойното поле от мрежовата инфраструктура към човешката самоличност, а това означава, че най-важните защити също са се променили.

Защо самоличността, а не инфраструктурата, е новата входна точка за ransomware

Години наред стратегията за защита срещу ransomware беше съсредоточена върху инфраструктурата: актуализирайте сървърите си, сегментирайте мрежата си, наблюдавайте за прониквания. Тези защити все още имат значение, но те адресират модел на заплаха, който все повече остарява. Когато четири от пет атаки започват с влизане, а не с проникване, сметката се променя. Нападателите са осъзнали, че идентификационните данни са по-евтини, по-бързи и далеч по-малко вероятно да задействат аларми, отколкото технически експлойт.

Фишинг комплектите, инструментите за credential stuffing и зловредният софтуер за кражба на информация превърнаха събирането на данни за вход в бизнес с ниски усилия и висока печалба. Комбинирайте това с огромния брой пароли, използвани повторно в лични и служебни акаунти, и нападателите разполагат с постоянен поток от работещи идентификационни данни, без изобщо да докосват защитна стена. Веднъж вътре, те не изглеждат като нарушители. Те изглеждат като служители, изпълнители или администратори, които си вършат работата, а точно това прави този подход толкова ефективен.

Как откраднатите идентификационни данни заобикалят традиционните защити

Традиционните инструменти за сигурност са създадени да откриват аномалии: необичайни модели на трафик, опити за неоторизиран достъп, подписи на зловреден софтуер. Валидното влизане с истински идентификационни данни не задейства повечето от тези сигнализации. Системите за откриване на крайни точки, инструментите за предотвратяване на прониквания и дори добре конфигурираните защитни стени са предназначени да спират нападатели, които се опитват да разбият нещо. Те са далеч по-неефективни срещу някой, който просто използва ключ, който му е бил предаден, дори ако този ключ е откраднат.

Това е и част от причината операциите с ransomware да са станали толкова бързи, след като получат достъп. Докладът за операцията Spirals ransomware показа, че нападателите са шифровали цялата среда на жертвата за по-малко от 24 часа след първоначалния достъп. Когато влизането не изисква експлоатиране на уязвимост, повече време и ресурси отиват директно във фазата на щетите. Същият модел се наблюдава и при атаките, свързани с CVE-2026-0257, пропуск в заобикаляне на удостоверяването в защитните стени на Palo Alto, експлоатиран от актьорите на Qilin ransomware, при които компрометираното удостоверяване, а не хакването с груба сила, даде на нападателите необходимата опорна точка.

Многофакторното удостоверяване и мениджърите на пароли като първа линия на защита

Като се има предвид, че откраднатите идентификационни данни са основната входна точка, най-ефективните защити са тези, които правят откраднатата парола по-малко полезна сама по себе си. Многофакторното удостоверяване (MFA) е най-ясният пример. Дори ако паролата бъде компрометирана чрез фишинг или пробив в данните, MFA изисква втора стъпка за проверка, като код от приложение за удостоверяване или хардуерен ключ, преди да бъде предоставен достъп. Това не елиминира напълно риска, но затваря най-лесния път за нападателите, които разчитат само на идентификационни данни за вход.

Мениджърите на пароли адресират свързан проблем: повторното използване на пароли. Когато хората използват една и съща парола за множество акаунти, едни-единствени изтекли идентификационни данни могат да отключат няколко несвързани системи. Мениджърът на пароли прави практично използването на уникална, сложна парола за всеки акаунт, което ограничава радиуса на поражение, когато един набор от идентификационни данни бъде изложен. Нито един от тези инструменти не е сложен за настройка и двата директно се насочват към точно тази слабост, която базираните на идентификационни данни атаки с ransomware експлоатират.

Къде VPN-ите се вписват в защитата на администраторски и чувствителни акаунти

VPN-ите не са сребърен куршум срещу кражбата на идентификационни данни, но играят специфична и полезна роля, особено за администратори и всеки, който отдалечено достъпва чувствителни системи. VPN шифрова връзката между потребителя и мрежата, до която той осъществява достъп, което помага да се предотврати прихващането на идентификационни данни по време на предаване, особено в необезопасени или обществени мрежи. За отдалечени администратори, управляващи критична инфраструктура, комбинирането на VPN достъп с MFA добавя значителен слой на триене за нападателите, които разполагат само с открадната парола, с която да работят.

Важно е да се изясни какво VPN не прави: той няма да спре някой да използва валидни, откраднати идентификационни данни, за да влезе през легитимна точка за достъп. Ето защо използването на VPN трябва да се третира като един слой сред няколко, работещ заедно с MFA, хигиена на паролите и мониторинг на достъпа, а не като самостоятелно решение.

Какво означава това за вас

Ако управлявате чувствителни акаунти, било то за бизнес или лична употреба, изводът е ясен: вашата парола вече не е достатъчна и вероятно не е била от известно време. Базираните на идентификационни данни атаки с ransomware успяват, защото експлоатират предвидими човешки навици – повторно използвани пароли, незащитени влизания и акаунти без втора стъпка за проверка. Затварянето на тези пропуски не изисква корпоративни бюджети или техническа експертиза. Изисква последователни навици, прилагани за всеки акаунт, който има значение.

Практически изводи

  • Активирайте многофакторно удостоверяване на всеки акаунт, който го поддържа, като започнете с имейл, финансови услуги и всеки административен достъп.
  • Използвайте мениджър на пароли, за да генерирате и съхранявате уникални пароли, елиминирайки риска от повторно използвани идентификационни данни, които да бъдат експлоатирани в множество акаунти.
  • Комбинирайте използването на VPN с MFA за отдалечен административен достъп, особено когато управлявате системи през обществени или ненадеждни мрежи.
  • Третирайте хигиената на идентификационните данни като постоянна практика, а не като еднократна настройка, тъй като нови акаунти и услуги се добавят редовно.

Групите за ransomware адаптираха стратегията си, защото тя работи. Добрата новина е, че контрамерките – MFA, мениджъри на пароли и многопластов контрол на достъпа – са добре разбрани и достъпни за почти всеки. Преходът от проникване към влизане означава, че отговорността за защитата също се е изместила и сега тя лежи толкова върху индивидуалната хигиена на самоличността, колкото и върху екипите по мрежова сигурност.