Какво установи докладът на Sophos за компрометираните идентичности

Новопубликуван доклад на Sophos дава точна цифра за нещо, което екипите по сигурността подозират от години: бандите за рансъмуер вече не разбиват входната врата, а влизат с откраднат ключ. Според констатациите 79% от атаките с рансъмуер вече произхождат от компрометирани идентичности, което означава, че първоначалната точка на достъп в повечето случаи е валидно потребителско име и парола, а не софтуерен експлойт или зловреден прикачен файл.

Докладът също така подчертава огромна разлика в начина, по който организациите с различни размери реагират, след като атаката започне. Само 34% от малките организации са успели да спрат атаката преди да настъпи криптиране или изнудване. За сравнение, организациите с между 3001 и 5000 служители са спирали атаките в 46% от случаите. Тази разлика подсказва, че ресурсите, персоналът и зрелостта на откриване все още имат голямо значение, дори когато методът на проникване на нападателя изглежда сходен при компании от различен мащаб.

От географска гледна точка, докладът отбелязва, че Обединеното кралство е регистрирало най-високата медианна сума за откуп от всички региони, обхванати от проучването. Въпреки че пълната разбивка на цифрите не е подробна, тази тенденция подсилва по-широка закономерност: исканията за откуп се калибрират въз основа на възприеманата способност за плащане, а не само въз основа на стойността на самите данни.

Защо MFA сама по себе си не спира рансъмуера

Ето констатацията, която трябва да пренасочи много бюджети за сигурност: многофакторното удостоверяване (MFA) е било внедрено в някаква степен в 97% от инцидентите, при които компрометираните идентификационни данни са били основната причина. С други думи, почти всяка организация, пробита чрез откраднати идентификационни данни, вече е имала включено MFA някъде в своята среда.

Това не означава, че MFA е безполезно. Това означава, че MFA не е пълно решение, когато се прилага непоследователно. Пропуски в покритието, като наследени системи, които не поддържат модерно удостоверяване, сервизни акаунти, изключени от MFA политиките, или инструменти за отдалечен достъп, конфигурирани с по-слаба проверка, дават на нападателите точно пролуката, от която се нуждаят. Решителен атакуващ не трябва да преодолява MFA навсякъде; просто трябва да открие единствения път за вход, където то никога не е било налагано.

Това е основното напрежение, което данните на Sophos разкриват. Екипите по сигурността години наред са третирали MFA като отметка, но операторите на рансъмуер са се адаптирали, като търсят акаунтите, системите и интеграциите, които попадат извън тази отметка. Резултатът е стратегия за защита, която изглежда силна на хартия, но има реални дупки в практиката.

Практически стъпки за хигиена на идентичността отвъд MFA

Ако компрометирането на идентификационни данни е доминиращата входна точка, тогава хигиената на идентичността заслужава същото оперативно внимание, което обикновено получават управлението на пачове или откриването на крайни точки. Няколко практически стъпки изпъкват въз основа на изводите от доклада:

  • Одитирайте покритието на MFA, а не само наличието му. Потвърдете, че всяка точка за отдалечен достъп, администраторски акаунт и интеграция от трета страна действително налага MFA, а не само основният екран за вход.
  • Приоритизирайте устойчиво на фишинг удостоверяване там, където е възможно, тъй като традиционните еднократни кодове все още могат да бъдат прихванати или манипулирани чрез социално инженерство.
  • Следете за повторно използване на идентификационни данни и остарели акаунти. Неактивните акаунти и споделените входове са често срещани слепи петна, които нападателите експлоатират дълго след като служителите са напуснали или сменили ролите си.
  • Сегментирайте достъпа по роля и необходимост. Дори компрометирани идентификационни данни са много по-малко полезни за нападателя, ако не му предоставят широко странично придвижване в мрежата.
  • Изградете по-бърз капацитет за откриване и реагиране, особено за по-малки организации. Разликата между 34% и 46% в степента на ограничаване на атаките подсказва, че скоростта на откриване, а не само превенцията, е мястото, където екипите с ограничени ресурси изостават.

Нито една от тези стъпки не изисква екзотични инструменти. Те изискват дисциплина, видимост и готовност идентичността да се третира като жива система, която се нуждае от редовен одит, а не като еднократна задача по настройка.

Къде се вписват криптираните инструменти и VPN в многослойната защита

VPN и криптираните инструменти за достъп остават полезен слой в по-широка стратегия за защита на идентичността, особено за осигуряване на сигурни отдалечени влизания и намаляване на излагането на риск в ненадеждни мрежи. Но констатациите на Sophos напомнят, че нито един инструмент, независимо дали е VPN, MFA или защита на крайни точки, не може да замести последователното управление на идентичността в цялата организация. Нападателите търсят празнината между инструментите, а не самите инструменти.

Това също е добър момент да помислим как контролът на достъпа и интернет политиките се пресичат по-широко. Точно както правителствата все повече проверяват как доставчиците на VPN управляват ограниченията за достъп, така и от организациите се изисква да проверяват как са конфигурирани и наблюдавани собствените им инструменти за достъп. Разбирането как работят системите с многослойни ограничения, подобно на това как националните системи за интернет цензура са изградени с множество слоеве за прилагане, а не с една-единствена врата, предлага полезна аналогия защо защитата срещу рансъмуер също изисква множество, припокриващи се контроли, а не разчитане на която и да е единична защита.

Какво означава това за вас

Ако управлявате ИТ сигурността в организация от всякакъв размер, този доклад е сигнал да преразгледате предположенията си. Да имате активирано MFA не е същото като да имате MFA, наложено навсякъде, където има значение. Защитата срещу рансъмуер, базиран на кражба на идентификационни данни, през 2026 г. изисква третирането на идентичността като постоянна оперативна дисциплина, а не като проект, приключил, след като внедряването на MFA е отбелязано като завършено.

Особено за по-малките организации, разликата в степента на овладяване на атаките заслужава да бъде взета на сериозно. Това подсказва, че инвестирането в способност за откриване и реагиране, дори и скромни подобрения, може значително да промени изхода от атака, която вече е получила първоначален достъп.

Основни изводи

  • 79% от атаките с рансъмуер вече започват с компрометирани идентификационни данни, според Sophos.
  • MFA е присъствало в 97% от инцидентите с рансъмуер, базирани на идентификационни данни, което показва, че пропуските в покритието, а не липсата на MFA, са истинският проблем.
  • Малките организации спират атаките само в 34% от случаите, в сравнение с 46% за по-големите организации с между 3001 и 5000 служители.
  • Обединеното кралство регистрира най-високата медианна сума за откуп в доклада.
  • Ефективната защита срещу рансъмуер чрез кражба на идентификационни данни изисква одитиране на покритието на MFA, наблюдение за остарели или повторно използвани идентификационни данни, сегментиране на достъпа и изграждане на по-бърз капацитет за откриване, без да се разчита на нито един единствен инструмент за сигурност.