Нов модел при рансъмуера: Разпространение сред работната сила
Рансъмуер групите отдавна разчитат на познат сценарий: намират привилегиран ИТ администратор, крадат идентификационните му данни и използват този достъп, за да се придвижват незабелязано в мрежата. Но нови доклади показват, че този модел се променя. Сега нападателите компрометират множество служители в една и съща организация, често хора без никакви специални технически привилегии, като част от една координирана атака.
Това има значение, защото отразява фундаментална промяна в начина, по който операторите на рансъмуер мислят за достъпа. Вместо да търсят един златен набор от администраторски идентификационни данни, те хвърлят по-широка мрежа в отдели, роли и бизнес функции. Целта е същата – блокиране на системите и извличане на откуп, но входните точки се умножават. Според докладите индустриалните организации съставляват най-големия дял от жертвите с 35,5%, следвани от компаниите в сферата на информационните технологии с 14,6%, което подсказва, че сектори със сложни оперативни технологии и многослойна кадрова структура се оказват особено привлекателни цели.
Защо обикновените служители вече са основни цели
В продължение на години екипите по сигурност фокусираха по-голямата част от защитната си енергия върху защитата на привилегировани акаунти: системни администратори, мениджъри на бази данни, мрежови инженери. Това имаше смисъл, когато рансъмуер групите се нуждаеха от дълбок технически достъп, за да криптират критична инфраструктура. Но нападателите се адаптираха. Много операции с рансъмуер вече разбират, че критичните бизнес процеси на една компания – заплати, снабдяване, клиентски досиета, координация на логистиката – преминават през обикновени служителски акаунти, които често са по-малко проверявани и по-слабо защитени от ИТ идентификационните данни.
Като компрометират няколко служители наведнъж, нападателите си осигуряват резервираност. Ако един компрометиран акаунт бъде открит и заключен, други остават активни, давайки на нарушителите множество опорни точки, на които да разчитат. Този подход улеснява и страничното придвижване, тъй като служители от различни отдели често имат достъп до припокриващи се системи, споделени дискове и комуникационни инструменти, които никога не са били проектирани с мисъл за такъв тип многопластова атака. Както е описано подробно в Рансъмуер банди вече преследват мениджъри, не само ИТ, разширяването на целите е част от по-широка тенденция, при която нападателите умишлено преследват хора с правомощия за вземане на решения или собственост върху процеси, а не само технически ключове към мрежата.
Последици за поверителността на данните на служители и клиенти
Последиците за поверителността от тази промяна са значителни. Когато рансъмуер групите компрометират множество служителски акаунти, вместо един-единствен администратор, те обикновено получават достъп до много по-широк набор от лични и оперативни данни: HR досиета, вътрешни комуникации, клиентски файлове и финансови документи, разпръснати из различни отдели. Този разширен обхват увеличава вероятността чувствителна лична информация да бъде изложена или публикувана, ако не бъде платен откуп.
Скорошни случаи на изнудване илюстрират колко далеч могат да стигнат тези последици. При Пробивът в данните на Stadler Rail нападатели, свързани с платформа за обмен на данни, поискаха многомилионен откуп, след като получиха достъп, свързан с операциите на компанията. По подобен начин Рансъмуер групата Qilin пое отговорност за Cpcg в Бразилия през юли 2026 показва как рансъмуер групите продължават да атакуват организации в различни региони и индустрии, използвайки компрометиран достъп, за да притискат жертвите към плащане. Тези случаи подчертават постоянна тема: колкото повече акаунти и системи могат да докоснат нападателите, толкова повече лостове за натиск имат и толкова повече лични данни са изложени на риск.
Какво означава това за вас
Ако работите в компания, която обработва чувствителни данни – независимо дали става въпрос за клиентски досиета, финансови данни или вътрешни комуникации – тази тенденция трябва да промени начина, по който мислите за сигурността на собствения си акаунт. Не е необходимо да сте системен администратор, за да станете мишена. Операторите на рансъмуер все повече се интересуват от всеки, чийто акаунт може да осигури опорна точка в критични за бизнеса процеси.
За потребителите и клиентите на засегнатите компании изводът е също толкова важен. Пробив, който започва с множество компрометирани служителски акаунти, често води до по-широко излагане на лични данни, отколкото при пробив с една точка. Това означава, че следенето за признаци, че информацията ви е била изложена, смяната на паролите, свързани със засегнатите услуги, и запазването на предпазливост относно последващи фишинг опити, които често следват подобни инциденти, е по-важно от всякога.
Практически стъпки занапред
Както организациите, така и отделните лица имат роля за намаляване на излагането на този вид атака. Служителите трябва да използват уникални, силни пароли за работните си акаунти и да активират многофакторна автентикация навсякъде, където се предлага, дори за акаунти, които не изглеждат „важни“. Компаниите трябва да прилагат същата проверка, която се прилага за ИТ администраторските акаунти, към по-широката група служители, тъй като нападателите вече не правят ясна граница между привилегирован и непривилегирован достъп.
Рансъмуер групите показаха, че са готови да адаптират стратегията си за таргетиране, за да използват пропуски в начина, по който организациите мислят за риска. Тъй като множеството служителски акаунти се превръщат в жизнеспособни входни точки, отговорността за защитата се разпределя съответно – от ИТ отделите към всеки, който притежава идентификационни данни за вход. Да останете нащрек за необичайна активност в акаунта, да докладвате незабавно подозрителни имейли и да подкрепяте общофирмени обучения по сигурност са прости, но ефективни начини да помогнете за затваряне на пролуките, които тези нападатели използват.
