Hvad Sophos-rapporten fandt om kompromitterede identiteter

En nyligt offentliggjort rapport fra Sophos sætter et konkret tal på noget, som sikkerhedsteams har haft mistanke om i årevis: ransomwarebander bryder ikke længere hoveddøren op, de går ind med en stjålet nøgle. Ifølge resultaterne stammer 79 % af ransomwareangreb nu fra kompromitterede identiteter, hvilket betyder, at det første adgangspunkt i de fleste tilfælde er et gyldigt brugernavn og kodeord i stedet for en softwareudnyttelse eller en ondsindet vedhæftning.

Rapporten fremhæver også en markant kløft i, hvordan organisationer af forskellige størrelser reagerer, når et angreb begynder. Kun 34 % af små organisationer formåede at stoppe et angreb, før kryptering eller afpresning fandt sted. Sammenlign det med organisationer med 3.001 til 5.000 ansatte, som stoppede angreb 46 % af gangene. Den kløft antyder, at ressourcer, bemanding og modenhed i detektion stadig betyder meget, selv når angriberens indgangsmetode ser ens ud på tværs af virksomhedsstørrelser.

Geografisk bemærker rapporten, at Storbritannien registrerede det højeste medianløsepengekrav blandt de regioner, der var dækket af undersøgelsen. Selvom den fulde opdeling af tal ikke blev detaljeret, forstærker mønsteret en bredere tendens: løsepengekrav kalibreres ud fra den opfattede betalingsevne, ikke kun værdien af selve dataene.

Hvorfor MFA alene ikke stopper ransomware

Her er fundet, der bør omforme mange sikkerhedsbudgetter: multifaktorautentifikation var implementeret i en eller anden form i 97 % af hændelserne, hvor kompromitterede legitimationsoplysninger var grundårsagen. Med andre ord havde næsten enhver organisation, der blev brudt gennem stjålne legitimationsoplysninger, allerede MFA slået til et eller andet sted i deres miljø.

Det betyder ikke, at MFA er ubrugelig. Det betyder, at MFA ikke er en komplet løsning, når den anvendes inkonsekvent. Dækningshuller, såsom ældre systemer, der ikke understøtter moderne autentifikation, servicekonti, der er undtaget fra MFA-politikker, eller fjernadgangsværktøjer konfigureret med svagere verifikation, giver angriberne præcis den åbning, de har brug for. En målrettet angriber behøver ikke at besejre MFA overalt; de skal bare finde den ene loginvej, hvor den aldrig blev håndhævet.

Dette er den kernekonflikt, Sophos-dataene afslører. Sikkerhedsteams har i årevis behandlet MFA som et flueben, men ransomwareoperatører har tilpasset sig ved at jage efter de konti, systemer og integrationer, der falder uden for det flueben. Resultatet er en forsvarsstrategi, der ser stærk ud på papiret, men har reelle huller i praksis.

Praktisk identitetshygiejne ud over MFA

Hvis kompromittering af legitimationsoplysninger er den dominerende indgangsvej, fortjener identitetshygiejne den samme operationelle opmærksomhed, som patchhåndtering eller endpointdetektion typisk får. Nogle få praktiske trin skiller sig ud baseret på rapportens implikationer:

  • Auditer MFA-dækning, ikke kun MFA-eksistens. Bekræft, at hvert fjernadgangspunkt, administratorkonto og tredjepartsintegration faktisk håndhæver MFA, ikke kun det primære login-skærmbillede.
  • Prioriter phishing-resistent autentifikation, hvor det er muligt, da traditionelle engangskoder stadig kan opsnappes eller socialt manipuleres.
  • Overvåg for genbrug af legitimationsoplysninger og inaktive konti. Hvilende konti og delte login er almindelige blinde vinkler, som angribere udnytter længe efter, at medarbejdere er flyttet videre eller har skiftet roller.
  • Segmenter adgang efter rolle og nødvendighed. Selv en kompromitteret legitimationsoplysning er langt mindre nyttig for en angriber, hvis den ikke giver bred lateral bevægelse på tværs af netværket.
  • Opbyg hurtigere detektions- og responskapacitet, især for mindre organisationer. Forskellen mellem 34 % og 46 % inddæmningsrater antyder, at detektionshastighed, ikke kun forebyggelse, er der, hvor ressourcebegrænsede teams taber terræn.

Ingen af disse trin kræver eksotiske værktøjer. De kræver disciplin, synlighed og en vilje til at behandle identitet som et levende system, der har brug for regelmæssig revision frem for en engangsopsætningsopgave.

Hvor krypterede værktøjer og VPN'er passer ind i lagdelt forsvar

VPN'er og krypterede adgangsværktøjer forbliver et nyttigt lag i en bredere identitetsbeskyttelsesstrategi, især til sikring af fjernlogin og reduktion af eksponering på utroværdige netværk. Men Sophos-resultaterne er en påmindelse om, at intet enkelt værktøj, hvad enten det er en VPN, MFA eller endpointbeskyttelse, kan erstatte konsekvent identitetsstyring på tværs af en hel organisation. Angribere leder efter hullet mellem værktøjer, ikke selve værktøjerne.

Dette er også et godt tidspunkt at overveje, hvordan adgangskontroller og internetpolitik krydser hinanden bredere. Ligesom regeringer i stigende grad gransker, hvordan VPN-udbydere håndterer adgangsbegrænsninger, bliver organisationer bedt om at granske, hvordan deres egne adgangsværktøjer er konfigureret og overvåget. At forstå, hvordan lagdelte begrænsningssystemer fungerer, ligesom nationale internetcensursystemer er bygget med flere håndhævelseslag frem for en enkelt port, tilbyder en nyttig analogi for, hvorfor ransomwareforsvar også kræver flere, overlappende kontroller snarere end tillid til en enkelt sikkerhedsforanstaltning.

Hvad dette betyder for dig

Hvis du administrerer IT-sikkerhed i en organisation af en hvilken som helst størrelse, er denne rapport et signal om at genoverveje antagelser. At have MFA aktiveret er ikke det samme som at have MFA håndhævet overalt, hvor det betyder noget. Forsvar mod ransomware baseret på legitimationsoplysningstyveri kræver i 2026 at behandle identitet som en løbende operationel disciplin, ikke et projekt, der blev afsluttet, da MFA-udrulningen blev markeret som færdig.

Især for mindre organisationer er inddæmningsratekløften værd at tage alvorligt. Den antyder, at investering i detektions- og responskapacitet, selv beskedne forbedringer, meningsfuldt kan ændre udfaldet af et angreb, der allerede har opnået første adgang.

Nøglepunkter

  • 79 % af ransomwareangreb starter nu med kompromitterede legitimationsoplysninger, ifølge Sophos.
  • MFA var til stede i 97 % af ransomwarehændelser baseret på legitimationsoplysninger, hvilket viser, at dækningshuller, ikke fraværet af MFA, er det virkelige problem.
  • Små organisationer stoppede angreb kun 34 % af tiden, sammenlignet med 46 % for større organisationer med 3.001 til 5.000 ansatte.
  • Storbritannien registrerede det højeste medianløsepengekrav i rapporten.
  • Effektivt forsvar mod ransomware baseret på legitimationsoplysningstyveri kræver auditering af MFA-dækning, overvågning af inaktive eller genbrugte legitimationsoplysninger, segmentering af adgang og opbygning af hurtigere detektionskapacitet, ikke tillid til et enkelt sikkerhedsværktøj.