KnowBe4: Ransomware skifter til identitetstyveri, ikke kun kryptering

Ransomware handler ikke længere kun om kryptering

I årevis handlede standardrådet for bekæmpelse af ransomware om én ting: sørg for backup af dine data, så du aldrig behøver at betale en løsesum. Det råd betyder stadig noget, men ifølge en nylig analyse fra sikkerhedsbevidsthedsudbyderen KnowBe4 dækker det ikke længere hele billedet af, hvordan moderne ransomware-operationer faktisk fungerer.

Ransomware har udviklet sig til det, KnowBe4 beskriver som en forretningsforstyrrelsesmodel – en model, der i mindre grad bygger på brutal malware og i højere grad på stjålne identiteter og social engineering. I stedet for blot at låse filer og kræve betaling for en dekrypteringsnøgle fokuserer angribere i stigende grad på at komme ind i en organisation ved hjælp af legitime, stjålne legitimationsoplysninger og derefter bruge den betroede adgang til at forårsage maksimal operationel skade, før nogen opdager det.

Dette skift betyder lige så meget for privatlivets fred, som det betyder for IT-sikkerheden. Når ransomware-grupper stjæler identiteter for at komme ind, bliver de personlige data knyttet til disse identiteter – medarbejderlogin, kunderegistre, intern kommunikation – en del af angrebsfladen. En ransomware-hændelse i dag er sjældent kun en krypteringsbegivenhed; det er ofte også en dataeksponeringsbegivenhed.

Hvorfor stjålne identiteter er den nye indgangsvej

Det traditionelle billede af et ransomware-angreb involverer en ondsindet e-mail-vedhæftning eller en sårbar, upatchet server. Disse vektorer er ikke forsvundet, men de bliver i stigende grad suppleret eller erstattet af enklere taktikker: phishing for legitimationsoplysninger, narre helpdesk til at nulstille adgangskoder eller udnyttelse af svage multi-faktor-autentificeringsopsætninger for at få adgang som en betroet bruger.

Når de først er indenfor, behøver angribere ikke at "hacke" noget i traditionel forstand. De logger ind som enhver anden medarbejder, bevæger sig stille gennem netværket og identificerer de systemer og data, hvis forstyrrelse vil forårsage mest smerte – og dermed mest pres for en løsesumskrav. Dette er, hvad KnowBe4 mener med at beskrive ransomware som en forretningsforstyrrelsesmodel: målet er ikke kun at kryptere data, det er at få en organisations operationer til at gå i stå, indtil betaling sker.

Denne tilgang afspejler, hvad der bredt er observeret i ransomware-som-en-tjeneste-økosystemet. Grupper som den operation, der er beskrevet i vores dækning af LockBit 5.0 og livet efter Operation Cronos, viser, hvordan ransomware-tilknyttede selskaber har professionaliseret deres operationer og behandler hvert angreb mindre som et hurtigt røveri og mere som en beregnet forretningsforhandling, komplet med pressetaktikker og omdømmetrusler.

Gentænk ransomware-forsvar mod en identitetsførst-trusel

Hvis identitetstyveri og social engineering nu er den primære måde, ransomware får fodfæste på, så adresserer forsvar, der udelukkende er bygget op omkring netværksperimeter-sikkerhed og antivirusværktøjer, gårsdagens problem. KnowBe4's rammeværk antyder, at organisationer skal behandle identitetsverifikation og menneskelig adfærd som kerneelementer i ransomware-forsvar, ikke som en eftertanke.

I praksis betyder det stærkere identitetsverifikationsprocesser for adgangskodenulstilling og kontogendannelse, phishing-resistent multi-faktor-autentificering i stedet for let omgåelige SMS-koder, og løbende medarbejdertræning, der behandler social engineering som en aktiv, udviklende trussel frem for en engangs-compliance-øvelse. Backups og netværkssegmentering forbliver essentielle, men de er nu anden forsvarslinje snarere end den første.

Indsatsen omkring dette skift tiltrækker også opmærksomhed på politisk niveau. Som vi har rapporteret, overvejer regeringer et forbud mod ransomware-betalinger midt i AI-drevne angreb, et tegn på, at reguleringsmyndigheder anerkender, at den nuværende forsvarsmodel – betal for at få problemet til at forsvinde – ikke er bæredygtig, når angreb bliver hurtigere og mere overbevisende.

Hvad dette betyder for dig

Uanset om du er IT-beslutningstager eller blot en person, hvis arbejdsgiver opbevarer dine personlige data, har denne udvikling i ransomware-taktik reelle konsekvenser. Hvis angribere kommer ind ved at stjæle identiteter frem for at udnytte softwarefejl, så påvirker sikkerheden af dine egne loginoplysninger, og hvor omhyggeligt din organisation verificerer identitet, før der gives adgang, direkte, hvor sårbar organisationen er over for en kostbar forstyrrelse.

For enkeltpersoner understreger dette et velkendt, men i stigende grad presserende punkt: genbrugte adgangskoder, svag MFA og afslappede svar på uventede adgangskodenulstillingsanmodninger er ikke kun personlige risici – de er potentielle indgangsveje for angreb, der kan sprede sig og påvirke tusindvis af menneskers data. For virksomheder betyder det, at ransomware-forsvar skal forstås som et identitets- og menneskelig-adfærdsproblem lige så meget som et teknisk problem.

Handlingsorienterede pointer

• Aktivér phishing-resistent multi-faktor-autentificering, hvor det er muligt, og undgå udelukkende at stole på SMS-baserede koder.
• Vær skeptisk over for uventede adgangskodenulstillings- eller kontoverifikationsanmodninger, selv dem der ser ud til at komme fra interne helpdesks.
• Organisationer bør revidere, hvordan identitetsverifikation fungerer for kontogendannelse, da dette er en stadig mere almindelig indgangsvej for ransomware.
• Behandl regelmæssig sikkerhedsbevidsthedstræning som en løbende nødvendighed, ikke en engangs-afkrydsningsboks, da social engineering-taktikker udvikler sig hurtigt.
• Oprethold offline, testede backups som en anden forsvarslinje, med forståelse for, at det at stoppe identitetsbaserede angreb betyder lige så meget som at gendanne efter kryptering.

Ransomwares udvikling til en identitetsdrevet forretningsforstyrrelsesmodel betyder ikke, at kampen er uafvendelig. Det betyder, at kampen har flyttet sig. Forsvar, der engang fokuserede snævert på malware og backups, skal nu tage højde for, hvor let en stjålet identitet kan åbne døren til et helt netværk, og det begynder med at behandle identitetssikkerhed som uadskillelig fra ransomware-forsvar i sig selv.