Ransomware útoky jen zřídka začínají šifrováním. Dávno předtím, než jsou systémy uzamčeny a objeví se výkupné, mohou útočníci již mít přihlašovací údaje, které potřebují k tomu, aby vešli do sítě organizace. To je hlavní poselství nedávného článku na Security Boulevard vycházejícího z reportu Verizon Data Breach Investigations Report (DBIR) pro rok 2026, a mění to způsob, jakým bychom měli přemýšlet o ransomware útocích prostřednictvím ukradených přihlašovacích údajů: uzamčení je posledním dějstvím, nikoli úvodním tahem.

Dostupný výňatek z tohoto zpravodajství o reportu je krátký, takže tento příspěvek se drží toho, co uvádí, a toho, co již vpn.social reportoval. Hlavní sdělení je stále jasné a praktické pro jednotlivce i organizace.

Jak se ukradené přihlašovací údaje stávají vstupním bodem pro ransomware

Pomáhá představit si ransomware jako dodavatelský řetězec, nikoli jako jedinou událost. Různí aktéři zajišťují různé fáze. Jedna skupina získává přihlašovací údaje, další je kupuje nebo používá k proniknutí do sítě a samotný ransomware přichází později, jakmile je přístup zajištěn.

To je důležité, protože platné uživatelské jméno a heslo vypadá jako normální aktivita. Útočník, který se přihlásí skutečnými přihlašovacími údaji, nemusí prorazit firewall ani zneužít softwarovou zranitelnost. Jednoduše se přihlásí a bezpečnostní nástroje zpočátku nemusí nic neobvyklého zaznamenat.

V době, kdy začne šifrování, mohl být útočník uvnitř již nějakou dobu. Požadavek na výkupné je okamžikem, kdy se oběť dozví, nikoli okamžikem, kdy útok začal.

Kde začíná dodavatelský řetězec přihlašovacích údajů: Infostealery a uniklé přihlašovací údaje

Takže odkud přihlašovací údaje pocházejí? Hlavním zdrojem je infostealer malware, který tiše sklízí uložené přihlašovací údaje, data relací a další tajemství z infikovaných zařízení. Ukradená data jsou obvykle zabalena do "logů", se kterými mohou zločinci obchodovat nebo je prodávat.

vpn.social tento posun podrobně pokryl. Jak jsme reportovali, infostealer logy předstihly phishing jako hlavní příčinu úniků, přičemž výzkumníci poukazují na infostealer malware jako na stále běžnější způsob, jakým se útočníci dostávají do podnikových sítí. To zapadá do obrazu dodavatelského řetězce: sklízení přihlašovacích údajů je samostatným krokem, který živí jakýkoli následující útok, včetně ransomwaru.

Stačí jeden infikovaný osobní notebook. Pokud zaměstnanec uloží pracovní přihlašovací údaje do prohlížeče na kompromitovaném zařízení, mohou tyto údaje skončit na zločineckém tržišti, aniž by o tom zaměstnavatel kdy věděl.

Co říká DBIR 2026 o přístupu pro ransomware

Verizon DBIR je jednou z nejcitovanějších každoročních studií o tom, jak dochází k únikům. Podle zpravodajství o vydání pro rok 2026 mohou útočníci již mít přihlašovací údaje, které potřebují, dříve než se ransomware útok stane viditelným. Toto rámování staví přihlašovací údaje na začátek útočného řetězce, místo aby šifrování považovalo za výchozí bod.

Nebudeme zde tomuto zjištění přiřazovat čísla, protože výňatek zdroje je neuvádí. Čtenáři, kteří chtějí přesná čísla, by si měli prostudovat samotný report. Směr je však konzistentní s širším trendem krádeže přihlašovacích údajů pohánějící počáteční přístup.

Praktickým důsledkem je změna zaměření. Obrana proti ransomwaru není jen o zálohách a ochraně koncových bodů na konci řetězce. Znamená to také snížit počet platných, exponovaných přihlašovacích údajů, které mohou zločinci na začátku posbírat.

Co to znamená pro vás: Praktické kroky ke snížení exponovaných přihlašovacích údajů

Nemůžete zastavit každý infostealer, ale můžete učinit ukradené přihlašovací údaje mnohem méně užitečnými. Zvažte tyto kroky:

  • Používejte jedinečné heslo pro každý účet. Pokud jeden údaj unikne, neměl by odemknout nic jiného.
  • Zaveďte správce hesel. Umožňuje realistická jedinečná a dlouhá hesla a vyhýbá se volnému ukládání přihlašovacích údajů v prohlížeči na zařízení, kterému plně nedůvěřujete.
  • Zapněte vícefaktorové ověřování (MFA). Ukradené heslo samo o sobě pak nestačí k přihlášení. Upřednostněte aplikace nebo hardwarové metody, kde jsou dostupné.
  • Udržujte zařízení v čistotě. Instalujte aktualizace, vyhýbejte se neoficiálním stahováním softwaru a odstraňujte programy, které nepoznáváte, protože infostealery často přicházejí tímto způsobem.
  • Oddělte pracovní a osobní použití. Vyhýbejte se přihlašování k pracovním účtům na osobních nebo sdílených zařízeních.
  • Změňte hesla po podezření na infekci nebo oznámení o úniku. Udělejte to z známého čistého zařízení a odhlaste se z aktivních relací.

Pokud spravujete tým, stejná logika se škáluje: vynucujte MFA, omezte, kdo má privilegovaný přístup, a kontrolujte, které účty stále mají přístup, který již nepotřebují.

Odřízněte zásobovací linii

Ústředním ponaučením ze zpravodajství o Verizon DBIR 2026 je, že ransomware útoky prostřednictvím ukradených přihlašovacích údajů začínají dávno předtím, než někdo uvidí výkupné. Nejúčinnější obranou je učinit vaše přihlašovací údaje těžko ukraditelnými a méně cennými, pokud ukradeny jsou.

Začněte dnes jednoduchým auditem: sepište své důležité účty, zkontrolujte opakovaně používaná hesla a zapněte MFA všude, kde je nabízeno. Poté přesuňte své přihlašovací údaje do správce hesel s jedinečnými údaji pro každou službu. Pro hlubší pohled na to, jak jsou přihlašovací údaje vůbec sklízeny, si přečtěte náš report o infostealer logech předstihujících phishing jako hlavní příčinu úniků. Trocha hygieny nyní může přerušit první článek řetězce.