Kompromittierte Logins: Ransomware-Trend signalisiert einen Wandel in der Taktik der Angreifer

Jahrelang drehte sich der Standardrat zur Vermeidung von Ransomware um eine Sache: Patchen Sie Ihre Software, bevor Angreifer die Schwachstelle zuerst ausnutzen. Dieser Rat ist nach wie vor wichtig, doch er erzählt nicht mehr die ganze Geschichte. Laut neuer Forschung von Sophos haben Phishing, Brute-Force-Angriffe und andere identitätsbasierte Bedrohungen inzwischen Software-Schwachstellen als Hauptweg abgelöst, über den sich Ransomware-Banden einen ersten Zugang zu einem Netzwerk verschaffen.

Dies ist eine bedeutsame Verschiebung. Sie bedeutet, dass selbst Organisationen mit einem starken Patch-Programm angreifbar bleiben können, wenn das Passwort eines Mitarbeiters gestohlen, erraten oder aus einem alten Datenleck wiederverwendet wird. Für Alltagsnutzer des Internets gilt Ähnliches: Ihre Anmeldedaten – nicht nur Ihre Software – stehen nun direkt im Fadenkreuz der Angreifer.

Warum identitätsbasierte Angriffe die Oberhand gewinnen

Software-Schwachstellen erfordern, dass Angreifer eine nicht gepatchte Lücke finden, einen Exploit entwickeln oder kaufen und darauf hoffen, dass das Ziel noch nicht aktualisiert hat. Das kostet Zeit und technisches Können. Kompromittierte Logins hingegen liegen oft einfach in geleakten Datenbanken aus anderen Datenschutzverletzungen und warten darauf, mittels Credential Stuffing bei anderen Diensten ausprobiert zu werden. Phishing-E-Mails sind nach wie vor günstig zu versenden und müssen nur eine einzige Person täuschen. Brute-Force-Tools können rund um die Uhr leise schwache oder wiederverwendete Passwörter erraten.

Die Warnung von Sophos spiegelt einen breiteren Trend in der Sicherheitsbranche wider: Angreifer gehen den Weg des geringsten Widerstands, und dieser Weg führt im Moment über menschliche Anmeldedaten statt über Server-Code. Dies ist besonders für Bereiche von Bedeutung, die bereits unter Druck stehen. Finanzinstitute beispielsweise sehen, wie Ransomware-Betreiber zunehmend Anbieter-Ökosysteme und Schwachstellen in Drittanbieter-Software ins Visier nehmen, und identitätsbasierte Angriffe fügen dieser Gefährdung eine weitere Risikoebene hinzu. Hat ein Angreifer erst einmal gültige Anmeldedaten, kann er sich oft wie ein legitimer Benutzer durch das Netzwerk bewegen, was die Erkennung weitaus schwieriger macht als das Entdecken eines offensichtlichen Exploit-Versuchs.

Das Passwort ist nach wie vor das schwächste Glied

Die unbequeme Wahrheit ist, dass viele Ransomware-Vorfälle nicht mit einem raffinierten Hack beginnen. Sie beginnen mit einem Passwort, das über mehrere Konten hinweg wiederverwendet wurde, einer Phishing-E-Mail, die überzeugend genug aussah, oder einem Login, der durch keinen zweiten Authentifizierungsfaktor geschützt war. Angreifer müssen keine Verschlüsselung knacken oder maßgeschneiderte Malware schreiben, wenn sie sich einfach anmelden können.

Deshalb ist Identitätshygiene genauso wichtig geworden wie Software-Updates. Ein einziges kompromittiertes Passwort – insbesondere eines, das beruflich und privat genutzt wird – kann einem Angreifer einen legitim erscheinenden Zugang verschaffen, der viele traditionelle Sicherheitswerkzeuge umgeht, die darauf ausgelegt sind, Malware oder Exploit-Versuche zu erkennen.

Was das für Sie bedeutet

Wenn Sie ein einzelner Nutzer sind, ist dieser Wandel bei den Einstiegspunkten für Ransomware eine Erinnerung daran, dass Ihre persönlichen Sicherheitsgewohnheiten nach außen wirken. Schwache oder wiederverwendete Passwörter, vor allem solche, die mit geschäftlichen E-Mail- oder Cloud-Konten verknüpft sind, können zur Öffnung werden, die ein Angreifer braucht – ob das Ziel nun Sie persönlich oder eine Organisation ist, mit der Sie verbunden sind.

Die gute Nachricht ist, dass die Abwehrmechanismen gegen identitätsbasierte Angriffe gut verstanden und für jeden zugänglich sind:

  • Nutzen Sie einen Passwort-Manager, um einzigartige, komplexe Passwörter für jedes Konto zu generieren und zu speichern – so eliminieren Sie das Risiko der Wiederverwendung von Zugangsdaten.
  • Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA), wo immer sie angeboten wird. Selbst wenn ein Passwort gestohlen wird, kann MFA einen Angreifer am Anmelden hindern.
  • Überprüfen Sie, ob Ihre Daten von einem Datenleck betroffen sind, indem Sie seriöse Dienste zur Überwachung von Datenschutzverletzungen nutzen, damit Sie wissen, wann ein Passwort sofort geändert werden muss.
  • Seien Sie skeptisch bei unerwarteten Login-Aufforderungen oder E-Mails, in denen Sie aufgefordert werden, Ihre Anmeldedaten zu bestätigen – ein Markenzeichen von Phishing-Versuchen, die darauf abzielen, Logins abzugreifen.
  • Ziehen Sie ein VPN in Betracht, wenn Sie öffentliche oder nicht vertrauenswürdige Netzwerke nutzen – das reduziert das Risiko, dass Ihr Login-Verkehr abgefangen wird, insbesondere in ungesicherten WLANs, wo der Diebstahl von Anmeldedaten leichter ist.

Der Bedrohung einen Schritt voraus sein

Ransomware-Gruppen passen sich schnell an, und der Trend zu identitätsbasierten Angriffen zeigt, dass sie die einfachste verfügbare Schwachstelle ins Visier nehmen und nicht die technisch beeindruckendste. Diese Schwachstelle ist in vielen Fällen ein Passwort, das seit Jahren nicht geändert wurde, oder ein Konto ohne aktiviertes MFA.

Die von Sophos beschriebene Verschiebung bedeutet nicht, dass Software-Patching nicht mehr wichtig ist. Das ist es nach wie vor. Aber sie bestätigt, dass die Sicherheit von Anmeldedaten gleiche Aufmerksamkeit verdient. Die Stärkung Ihrer Passwörter, die Aktivierung von MFA und die Wachsamkeit gegenüber Phishing-Versuchen sind keine optionalen Extras mehr; sie sind Kernverteidigungen gegen die häufigste Art und Weise, wie Ransomware heute tatsächlich ins Haus kommt.

Diese Maßnahmen jetzt zu ergreifen, bevor eine Benachrichtigung über eine Datenschutzverletzung in Ihrem Posteingang landet, ist der effektivste Weg, um Angreifern einen Schritt voraus zu bleiben, die zunehmend auf gestohlene Logins statt auf Software-Schwachstellen setzen.