Τέσσερις στις πέντε επιθέσεις ransomware σήμερα ξεκινούν με τον ίδιο τρόπο: με την ταυτότητα κάποιου, όχι με τους διακομιστές τους. Αυτό το μεμονωμένο στατιστικό, που δημοσιεύτηκε από τους The Manila Times, αποτυπώνει μια μετατόπιση που χτίζεται εδώ και χρόνια αλλά πλέον είναι αδύνατο να αγνοηθεί. Οι επιτιθέμενοι δεν τρέχουν πια να βρουν έναν αδιόρθωτο διακομιστή ή ένα zero-day exploit. Απλώς συνδέονται, χρησιμοποιώντας διαπιστευτήρια που έχουν υποκλαπεί μέσω phishing, αγοραστεί ή διαρρεύσει, και μπαίνουν από την κύρια είσοδο όπως κάθε άλλος εξουσιοδοτημένος χρήστης.

Αυτή η μετατόπιση έχει σημασία γιατί αλλάζει το τι σημαίνει πραγματικά «ασφάλεια» για τους περισσότερους οργανισμούς και ιδιώτες. Ένα τείχος προστασίας δεν μπορεί να σταματήσει κάποιον που έχει έγκυρο όνομα χρήστη και κωδικό πρόσβασης. Ένας διορθωμένος διακομιστής δεν βοηθά αν ο επιτιθέμενος δεν χρειάστηκε ποτέ να τον εκμεταλλευτεί. Οι επιθέσεις ransomware που βασίζονται σε κλεμμένα διαπιστευτήρια έχουν μεταφέρει το πεδίο της μάχης από την υποδομή δικτύου στην ανθρώπινη ταυτότητα, και αυτό σημαίνει ότι έχουν αλλάξει και οι άμυνες που έχουν τη μεγαλύτερη σημασία.

Γιατί η ταυτότητα, όχι η υποδομή, είναι το νέο σημείο εισόδου για ransomware

Για χρόνια, η στρατηγική άμυνας κατά του ransomware επικεντρωνόταν στην υποδομή: διορθώστε τους διακομιστές σας, κατατμήστε το δίκτυό σας, παρακολουθήστε για εισβολές. Αυτές οι άμυνες εξακολουθούν να έχουν σημασία, αλλά αντιμετωπίζουν ένα μοντέλο απειλής που είναι όλο και πιο ξεπερασμένο. Όταν τέσσερις στις πέντε επιθέσεις ξεκινούν με σύνδεση αντί για διάρρηξη, ο υπολογισμός αλλάζει. Οι επιτιθέμενοι έχουν συνειδητοποιήσει ότι τα διαπιστευτήρια είναι φθηνότερα, ταχύτερα και πολύ λιγότερο πιθανό να ενεργοποιήσουν συναγερμούς από ένα τεχνικό exploit.

Τα κιτ phishing, τα εργαλεία credential stuffing και το κακόβουλο λογισμικό infostealer έχουν κάνει τη συλλογή στοιχείων σύνδεσης μια επιχείρηση χαμηλής προσπάθειας και υψηλής ανταμοιβής. Συνδυάστε αυτό με τον τεράστιο αριθμό κωδικών πρόσβασης που επαναχρησιμοποιούνται σε προσωπικούς και επαγγελματικούς λογαριασμούς και οι επιτιθέμενοι έχουν μια σταθερή προμήθεια λειτουργικών διαπιστευτηρίων χωρίς να αγγίξουν ποτέ ένα τείχος προστασίας. Μόλις μπουν μέσα, δεν μοιάζουν με εισβολείς. Μοιάζουν με υπαλλήλους, εργολάβους ή διαχειριστές που κάνουν τη δουλειά τους, κάτι που ακριβώς κάνει αυτή την προσέγγιση τόσο αποτελεσματική.

Πώς τα κλεμμένα διαπιστευτήρια παρακάμπτουν τις παραδοσιακές άμυνες ασφαλείας

Τα παραδοσιακά εργαλεία ασφαλείας είναι φτιαγμένα για να ανιχνεύουν ανωμαλίες: ασυνήθιστα μοτίβα κίνησης, μη εξουσιοδοτημένες απόπειρες πρόσβασης, υπογραφές κακόβουλου λογισμικού. Μια έγκυρη σύνδεση με πραγματικά διαπιστευτήρια δεν ενεργοποιεί τους περισσότερους από αυτούς τους μηχανισμούς. Τα συστήματα ανίχνευσης τελικών σημείων, τα εργαλεία πρόληψης εισβολών, ακόμη και τα σωστά ρυθμισμένα τείχη προστασίας είναι σχεδιασμένα για να σταματούν επιτιθέμενους που προσπαθούν να σπάσουν κάτι. Είναι πολύ λιγότερο αποτελεσματικά ενάντια σε κάποιον που απλώς χρησιμοποιεί ένα κλειδί που του παραδόθηκε, ακόμα κι αν αυτό το κλειδί ήταν κλεμμένο.

Αυτό εξηγεί εν μέρει γιατί οι επιχειρήσεις ransomware έχουν γίνει τόσο γρήγορες μόλις αποκτήσουν πρόσβαση. Ρεπορτάζ για την επιχείρηση ransomware Spirals έδειξε ότι οι επιτιθέμενοι κρυπτογράφησαν ολόκληρο το περιβάλλον ενός θύματος σε λιγότερο από 24 ώρες μετά την αρχική πρόσβαση. Όταν η είσοδος δεν απαιτεί εκμετάλλευση ευπάθειας, περισσότερος χρόνος και πόροι πηγαίνουν κατευθείαν στη φάση της ζημιάς. Το ίδιο μοτίβο εμφανίζεται σε επιθέσεις που συνδέονται με το CVE-2026-0257, μια ευπάθεια παράκαμψης ελέγχου ταυτότητας σε τείχη προστασίας της Palo Alto που αξιοποιείται από παράγοντες του ransomware Qilin, όπου ο παραβιασμένος έλεγχος ταυτότητας, όχι το brute-force hacking, έδωσε στους επιτιθέμενους το πάτημα που χρειάζονταν.

Έλεγχος ταυτότητας πολλαπλών παραγόντων και διαχειριστές κωδικών πρόσβασης ως πρώτη γραμμή άμυνας

Δεδομένου ότι τα κλεμμένα διαπιστευτήρια είναι το κύριο σημείο εισόδου, οι πιο αποτελεσματικές άμυνες είναι εκείνες που κάνουν έναν κλεμμένο κωδικό λιγότερο χρήσιμο από μόνο του. Ο έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA) είναι το πιο ξεκάθαρο παράδειγμα. Ακόμα κι αν ένας κωδικός πρόσβασης παραβιαστεί μέσω phishing ή παραβίασης δεδομένων, το MFA απαιτεί ένα δεύτερο βήμα επαλήθευσης, όπως έναν κωδικό από μια εφαρμογή authenticator ή ένα κλειδί υλικού, πριν χορηγηθεί πρόσβαση. Δεν εξαλείφει εντελώς τον κίνδυνο, αλλά κλείνει το ευκολότερο μονοπάτι για επιτιθέμενους που βασίζονται μόνο στα διαπιστευτήρια σύνδεσης.

Οι διαχειριστές κωδικών πρόσβασης αντιμετωπίζουν ένα σχετικό πρόβλημα: την επαναχρησιμοποίηση κωδικών πρόσβασης. Όταν οι άνθρωποι χρησιμοποιούν τον ίδιο κωδικό πρόσβασης σε πολλούς λογαριασμούς, ένα μεμονωμένο διαπιστευτήριο που έχει διαρρεύσει μπορεί να ξεκλειδώσει πολλά άσχετα συστήματα. Ένας διαχειριστής κωδικών πρόσβασης καθιστά πρακτική τη χρήση ενός μοναδικού, πολύπλοκου κωδικού για κάθε λογαριασμό, γεγονός που περιορίζει την ακτίνα έκρηξης όταν ένα σύνολο διαπιστευτηρίων εκτεθεί. Κανένα από τα δύο εργαλεία δεν είναι περίπλοκο στη ρύθμιση και αμφότερα στοχεύουν άμεσα την αδυναμία που εκμεταλλεύονται οι επιθέσεις ransomware που βασίζονται σε κλεμμένα διαπιστευτήρια.

Πού ταιριάζουν τα VPN στην προστασία της πρόσβασης σε διαχειριστικούς και ευαίσθητους λογαριασμούς

Τα VPN δεν είναι πανάκεια ενάντια στην κλοπή διαπιστευτηρίων, αλλά παίζουν έναν συγκεκριμένο και χρήσιμο ρόλο, ιδιαίτερα για διαχειριστές και οποιονδήποτε έχει πρόσβαση σε ευαίσθητα συστήματα εξ αποστάσεως. Ένα VPN κρυπτογραφεί τη σύνδεση μεταξύ ενός χρήστη και του δικτύου στο οποίο έχει πρόσβαση, κάτι που βοηθά στην αποτροπή της υποκλοπής διαπιστευτηρίων κατά τη μεταφορά, ειδικά σε μη ασφαλή ή δημόσια δίκτυα. Για απομακρυσμένους διαχειριστές που διαχειρίζονται κρίσιμες υποδομές, ο συνδυασμός πρόσβασης VPN με MFA προσθέτει ένα ουσιαστικό επίπεδο τριβής για επιτιθέμενους που έχουν μόνο έναν κλεμμένο κωδικό πρόσβασης στη διάθεσή τους.

Αξίζει να είμαστε σαφείς σχετικά με το τι δεν κάνει ένα VPN: δεν θα σταματήσει κάποιον από το να χρησιμοποιήσει έγκυρα, κλεμμένα διαπιστευτήρια για να συνδεθεί μέσω ενός νόμιμου σημείου πρόσβασης. Γι' αυτό η χρήση VPN θα πρέπει να αντιμετωπίζεται ως ένα επίπεδο μεταξύ πολλών, που λειτουργεί μαζί με το MFA, την υγιεινή κωδικών πρόσβασης και την παρακολούθηση πρόσβασης, και όχι ως αυτόνομη λύση.

Τι σημαίνει αυτό για εσάς

Εάν διαχειρίζεστε ευαίσθητους λογαριασμούς, είτε για επαγγελματική είτε για προσωπική χρήση, το συμπέρασμα είναι απλό: ο κωδικός πρόσβασής σας δεν είναι πλέον αρκετός και πιθανότατα δεν ήταν εδώ και καιρό. Οι επιθέσεις ransomware που βασίζονται σε κλεμμένα διαπιστευτήρια πετυχαίνουν επειδή εκμεταλλεύονται προβλέψιμες ανθρώπινες συνήθειες, επαναχρησιμοποιημένους κωδικούς πρόσβασης, απροστάτευτες συνδέσεις και λογαριασμούς χωρίς δεύτερο βήμα επαλήθευσης. Το κλείσιμο αυτών των κενών δεν απαιτεί προϋπολογισμούς επιχειρηματικού επιπέδου ή τεχνική εξειδίκευση. Απαιτεί συνεπείς συνήθειες που εφαρμόζονται σε κάθε λογαριασμό που έχει σημασία.

Πρακτικά βήματα

  • Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων σε κάθε λογαριασμό που τον υποστηρίζει, ξεκινώντας από το email, τις χρηματοοικονομικές υπηρεσίες και οποιαδήποτε διαχειριστική πρόσβαση.
  • Χρησιμοποιήστε έναν διαχειριστή κωδικών πρόσβασης για να δημιουργείτε και να αποθηκεύετε μοναδικούς κωδικούς, εξαλείφοντας τον κίνδυνο εκμετάλλευσης επαναχρησιμοποιημένων διαπιστευτηρίων σε πολλούς λογαριασμούς.
  • Συνδυάστε τη χρήση VPN με MFA για απομακρυσμένη διαχειριστική πρόσβαση, ειδικά όταν διαχειρίζεστε συστήματα μέσω δημόσιων ή μη αξιόπιστων δικτύων.
  • Αντιμετωπίστε την υγιεινή των διαπιστευτηρίων ως μια συνεχή πρακτική, όχι ως εφάπαξ ρύθμιση, καθώς νέοι λογαριασμοί και υπηρεσίες προστίθενται τακτικά.

Οι ομάδες ransomware έχουν προσαρμόσει τη στρατηγική τους επειδή λειτουργεί. Τα καλά νέα είναι ότι τα αντίμετρα, MFA, διαχειριστές κωδικών πρόσβασης και έλεγχοι πρόσβασης σε επίπεδα, είναι καλά κατανοητά και προσιτά σχεδόν για οποιονδήποτε. Η μετατόπιση από τη διάρρηξη στη σύνδεση σημαίνει ότι η ευθύνη για την άμυνα έχει μετατοπιστεί επίσης, και τώρα εναπόκειται τόσο στην ατομική υγιεινή ταυτότητας όσο και στις ομάδες ασφάλειας δικτύου.