Sophos: Kompromitterede logins er nu ransomware-bandernes foretrukne indgang

Ransomware-tendens med kompromitterede logins signalerer et skift i angribernes taktik

I årevis var standardrådet for at undgå ransomware centreret omkring én ting: patch din software, før angriberne udnytter sårbarheden først. Det råd er stadig vigtigt, men det er ikke længere hele historien. Ifølge ny forskning fra Sophos er phishing, brute force-angreb og andre identitetsbaserede trusler nu gået forbi softwaresårbarheder som den førende måde, ransomware-bander får deres indledende fodfæste inde i et netværk.

Dette er et betydningsfuldt skift. Det betyder, at selv organisationer med et stærkt patch-program stadig kan være sårbare, hvis en medarbejders adgangskode bliver stjålet, gættet eller genbrugt fra et gammelt databrud. For almindelige internetbrugere er konklusionen den samme: Dine legitimationsoplysninger, ikke kun din software, er nu i høj grad i angribernes sigtekorn.

Hvorfor identitetsbaserede angreb vinder frem

Softwaresårbarheder kræver, at angribere finder en upatch'et fejl, udvikler eller køber et exploit og håber, at målet ikke har opdateret endnu. Det tager tid og teknisk kunnen. Kompromitterede logins ligger derimod ofte bare i lækkede databaser fra ikke-relaterede brud og venter på at blive afprøvet mod andre tjenester gennem credential stuffing. Phishing-e-mails er fortsat billige at sende og behøver kun at narre én person. Brute force-værktøjer kan stille og roligt gætte svage eller genbrugte adgangskoder døgnet rundt.

Sophos' advarsel afspejler en bredere tendens i sikkerhedsbranchen: Angribere følger den mindste modstands vej, og lige nu går den vej gennem menneskelige legitimationsoplysninger snarere end serverkode. Dette er især vigtigt for sektorer, der allerede er under pres. Finansielle institutioner har for eksempel set ransomware-operatører i stigende grad gå efter leverandørøkosystemer og tredjepartssoftwarefejl, og identitetsbaserede indtrængen tilføjer endnu et risikolag oven i den eksponering. Når en angriber har gyldige loginoplysninger, kan de ofte bevæge sig gennem netværket og ligne en legitim bruger, hvilket gør opdagelse langt sværere end at spotte et åbenlyst forsøg på udnyttelse.

Adgangskoden er stadig det svageste led

Den ubekvemme sandhed er, at mange ransomware-hændelser ikke starter med et sofistikeret hack. De starter med en adgangskode, der blev genbrugt på tværs af flere konti, en phishing-e-mail, der så overbevisende nok ud, eller et login, der ikke havde nogen anden faktor til at beskytte det. Angribere behøver ikke at bryde kryptering eller skrive skræddersyet malware, hvis de bare kan logge ind.

Det er grunden til, at identitetshygiejne er blevet lige så vigtig som softwareopdateringer. En enkelt kompromitteret adgangskode, især en der genbruges på tværs af arbejds- og private konti, kan give en angriber et legitimt udseende indgangspunkt, der omgår mange traditionelle sikkerhedsværktøjer designet til at fange malware eller forsøg på udnyttelse.

Hvad det betyder for dig

Hvis du er en individuel bruger, er dette skift i ransomware-indgangspunkter en påmindelse om, at dine personlige sikkerhedsvaner har vidtrækkende konsekvenser. Svage eller genbrugte adgangskoder, især dem, der er knyttet til arbejdsmail eller cloud-konti, kan blive den åbning, en angriber har brug for, uanset om målet er dig personligt eller en organisation, du er forbundet med.

Den gode nyhed er, at forsvaret mod identitetsbaserede angreb er velkendt og tilgængeligt for alle:

• Brug en password manager til at generere og gemme unikke, komplekse adgangskoder til hver konto, hvilket eliminerer risikoen for genbrug af legitimationsoplysninger.
• Aktivér multifaktorgodkendelse (MFA) der, hvor det tilbydes. Selv hvis en adgangskode bliver stjålet, kan MFA forhindre en angriber i at logge ind.
• Tjek for eksponering i databrud ved hjælp af anerkendte overvågningstjenester, så du ved, hvornår en adgangskode skal ændres med det samme.
• Vær skeptisk over for uventede login-anmodninger eller e-mails, der beder dig bekræfte legitimationsoplysninger – et kendetegn ved phishing-forsøg, der er designet til at høste logins.
• Overvej en VPN, når du bruger offentlige eller utroværdige netværk, hvilket reducerer risikoen for, at din login-trafik bliver opsnappet, især på usikret Wi-Fi, hvor tyveri af legitimationsoplysninger er lettere.

Hold dig foran truslen

Ransomware-grupper tilpasser sig hurtigt, og bevægelsen mod identitetsbaserede angreb viser, at de sigter efter den lettest tilgængelige svaghed snarere end den teknisk mest imponerende. Den svaghed er i mange tilfælde en adgangskode, der ikke er blevet ændret i årevis, eller en konto uden MFA aktiveret.

Det skift, Sophos beskriver, betyder ikke, at softwarepatching ikke længere er vigtigt. Det er det. Men det bekræfter, at legitimationssikkerhed fortjener lige så stor opmærksomhed. Styrkelse af dine adgangskoder, aktivering af MFA og årvågenhed over for phishing-forsøg er ikke længere valgfrie ekstraforanstaltninger; de er kerneforsvar mod den mest almindelige måde, ransomware rent faktisk kommer ind ad døren i dag.

At tage disse skridt nu, før en notifikation om et databrud lander i din indbakke, er den mest effektive måde at holde sig foran angribere, der i stigende grad satser på stjålne logins frem for softwarefejl.