Sophos: Το 79% των επιθέσεων ransomware ξεκινούν με κλεμμένα διαπιστευτήρια

Τι διαπίστωσε η έκθεση της Sophos για τις παραβιασμένες ταυτότητες

Μια νέα έκθεση της Sophos αποδίδει έναν σαφή αριθμό σε κάτι που οι ομάδες ασφαλείας υποψιάζονταν για χρόνια: οι συμμορίες ransomware δεν σπάνε πλέον την πόρτα, μπαίνουν με ένα κλεμμένο κλειδί. Σύμφωνα με τα ευρήματα, το 79% των επιθέσεων ransomware ξεκινούν πλέον από παραβιασμένες ταυτότητες, που σημαίνει ότι το αρχικό σημείο εισόδου στις περισσότερες περιπτώσεις είναι ένα έγκυρο όνομα χρήστη και κωδικός, αντί για κάποιο exploit λογισμικού ή κακόβουλο συνημμένο.

Η έκθεση υπογραμμίζει επίσης ένα έντονο κενό στον τρόπο αντίδρασης οργανισμών διαφορετικών μεγεθών μόλις ξεκινήσει μια επίθεση. Μόλις το 34% των μικρών οργανισμών κατάφεραν να σταματήσουν μια επίθεση πριν από την κρυπτογράφηση ή τον εκβιασμό. Συγκρίνετε το με οργανισμούς με 3.001 έως 5.000 εργαζόμενους, που σταμάτησαν επιθέσεις στο 46% των περιπτώσεων. Αυτό το κενό υποδεικνύει ότι η στελέχωση, οι πόροι και η ωριμότητα ανίχνευσης εξακολουθούν να έχουν μεγάλη σημασία, ακόμη κι όταν η μέθοδος εισόδου του επιτιθέμενου μοιάζει ίδια ανεξαρτήτως μεγέθους εταιρείας.

Γεωγραφικά, η έκθεση σημειώνει ότι το Ηνωμένο Βασίλειο κατέγραψε την υψηλότερη διάμεση απαίτηση λύτρων από οποιαδήποτε άλλη περιοχή στη μελέτη. Αν και η πλήρης ανάλυση των αριθμών δεν αναλύθηκε λεπτομερώς, το μοτίβο ενισχύει μια ευρύτερη τάση: οι απαιτήσεις λύτρων βαθμονομούνται βάσει της αντιλαμβανόμενης ικανότητας πληρωμής, όχι απλώς της αξίας των ίδιων των δεδομένων.

Γιατί το MFA από μόνο του δεν σταματά το ransomware

Ορίστε το εύρημα που θα έπρεπε να αναδιαμορφώσει πολλούς προϋπολογισμούς ασφαλείας: ο έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA) είχε αναπτυχθεί σε κάποιον βαθμό στο 97% των περιστατικών όπου τα παραβιασμένα διαπιστευτήρια ήταν η βασική αιτία. Με άλλα λόγια, σχεδόν κάθε οργανισμός που παραβιάστηκε μέσω κλεμμένων διαπιστευτηρίων είχε ήδη ενεργοποιημένο το MFA κάπου στο περιβάλλον του.

Αυτό δεν σημαίνει ότι το MFA είναι άχρηστο. Σημαίνει ότι το MFA δεν είναι μια ολοκληρωμένη λύση όταν εφαρμόζεται ασυνεπώς. Τα κενά κάλυψης, όπως παλαιά συστήματα που δεν υποστηρίζουν σύγχρονους μηχανισμούς αυθεντικοποίησης, λογαριασμοί υπηρεσιών που εξαιρούνται από τις πολιτικές MFA ή εργαλεία απομακρυσμένης πρόσβασης ρυθμισμένα με ασθενέστερη επαλήθευση, δίνουν στους επιτιθέμενους ακριβώς το άνοιγμα που χρειάζονται. Ένας αποφασισμένος επιτιθέμενος δεν χρειάζεται να νικήσει το MFA παντού· απλώς πρέπει να βρει το ένα μονοπάτι σύνδεσης όπου δεν εφαρμόστηκε ποτέ.

Αυτή είναι η κεντρική ένταση που αποκαλύπτουν τα δεδομένα της Sophos. Οι ομάδες ασφαλείας περνούσαν χρόνια αντιμετωπίζοντας το MFA ως ένα κουτάκι τσεκαρίσματος, αλλά οι επιχειρήσεις ransomware προσαρμόστηκαν κυνηγώντας τους λογαριασμούς, τα συστήματα και τις ενσωματώσεις που μένουν έξω από αυτό το κουτάκι. Το αποτέλεσμα είναι μια αμυντική στρατηγική που φαίνεται ισχυρή στα χαρτιά αλλά έχει πραγματικά κενά στην πράξη.

Πρακτικά βήματα υγιεινής ταυτοτήτων πέρα από το MFA

Αν η παραβίαση διαπιστευτηρίων είναι το κυρίαρχο σημείο εισόδου, τότε η υγιεινή των ταυτοτήτων αξίζει την ίδια επιχειρησιακή προσοχή που λαμβάνουν συνήθως η διαχείριση ενημερώσεων ή η ανίχνευση στα τελικά σημεία. Μερικά πρακτικά βήματα ξεχωρίζουν βάσει των συνεπειών της έκθεσης:

Ελέγξτε την κάλυψη MFA, όχι απλώς την ύπαρξή του. Επιβεβαιώστε ότι κάθε σημείο απομακρυσμένης πρόσβασης, λογαριασμός διαχειριστή και ενσωμάτωση τρίτου μέρους επιβάλλει πραγματικά το MFA, και όχι μόνο η κύρια οθόνη σύνδεσης.
Δώστε προτεραιότητα στην αυθεντικοποίηση ανθεκτική στο phishing όπου είναι δυνατόν, καθώς οι παραδοσιακοί κωδικοί μιας χρήσης μπορούν ακόμα να υποκλαπούν ή να αλιευθούν κοινωνικά.
Παρακολουθήστε για επαναχρησιμοποίηση διαπιστευτηρίων και ανενεργούς λογαριασμούς. Οι αδρανείς λογαριασμοί και τα κοινόχρηστα στοιχεία σύνδεσης είναι συνηθισμένα τυφλά σημεία που εκμεταλλεύονται οι επιτιθέμενοι πολύ μετά την αποχώρηση ή την αλλαγή ρόλων των εργαζομένων.
Τμηματοποιήστε την πρόσβαση βάσει ρόλου και αναγκαιότητας. Ακόμα και ένα παραβιασμένο διαπιστευτήριο είναι πολύ λιγότερο χρήσιμο για έναν επιτιθέμενο αν δεν παρέχει εκτεταμένη πλευρική κίνηση στο δίκτυο.
Δημιουργήστε ταχύτερη ικανότητα ανίχνευσης και απόκρισης, ειδικά για μικρότερους οργανισμούς. Το κενό μεταξύ 34% και 46% στα ποσοστά περιορισμού υποδεικνύει ότι η ταχύτητα ανίχνευσης, όχι μόνο η πρόληψη, είναι εκεί όπου οι ομάδες με περιορισμένους πόρους χάνουν έδαφος.

Κανένα από αυτά τα βήματα δεν απαιτεί εξωτικά εργαλεία. Απαιτούν πειθαρχία, ορατότητα και προθυμία να αντιμετωπίζεται η ταυτότητα ως ένα ζωντανό σύστημα που χρειάζεται τακτικό έλεγχο αντί για μια εφάπαξ ρύθμιση.

Πού ταιριάζουν τα κρυπτογραφημένα εργαλεία και τα VPN σε μια πολυεπίπεδη άμυνα

Τα VPN και τα εργαλεία κρυπτογραφημένης πρόσβασης παραμένουν ένα χρήσιμο επίπεδο σε μια ευρύτερη στρατηγική προστασίας ταυτότητας, ιδιαίτερα για την ασφάλεια των απομακρυσμένων συνδέσεων και τη μείωση της έκθεσης σε αναξιόπιστα δίκτυα. Αλλά τα ευρήματα της Sophos αποτελούν υπενθύμιση ότι κανένα μεμονωμένο εργαλείο, είτε είναι VPN, MFA ή προστασία τερματικών, δεν μπορεί να υποκαταστήσει τη συνεπή διακυβέρνηση ταυτότητας σε ολόκληρο τον οργανισμό. Οι επιτιθέμενοι αναζητούν το κενό μεταξύ των εργαλείων, όχι τα ίδια τα εργαλεία.

Αυτή είναι επίσης μια καλή στιγμή για να σκεφτούμε πώς οι έλεγχοι πρόσβασης και η πολιτική διαδικτύου διασταυρώνονται ευρύτερα. Όπως οι κυβερνήσεις ελέγχουν όλο και περισσότερο τον τρόπο με τον οποίο οι πάροχοι VPN διαχειρίζονται τους περιορισμούς πρόσβασης, έτσι και οι οργανισμοί καλούνται να εξετάσουν πώς τα δικά τους εργαλεία πρόσβασης έχουν ρυθμιστεί και παρακολουθούνται. Η κατανόηση του τρόπου λειτουργίας των πολυεπίπεδων συστημάτων περιορισμού, παρόμοια με το πώς τα εθνικά συστήματα λογοκρισίας του διαδικτύου οικοδομούνται με πολλαπλά στρώματα επιβολής αντί για μία μοναδική πύλη, προσφέρει μια χρήσιμη αναλογία για το γιατί η άμυνα κατά του ransomware απαιτεί επίσης πολλαπλούς, αλληλοκαλυπτόμενους ελέγχους αντί για εξάρτηση από οποιαδήποτε μεμονωμένη δικλείδα ασφαλείας.

Τι σημαίνει αυτό για εσάς

Αν διαχειρίζεστε την ασφάλεια πληροφορικής σε οποιονδήποτε οργανισμό, αυτή η έκθεση είναι ένα σήμα για να επανεξετάσετε τις παραδοχές. Το να έχετε ενεργοποιημένο το MFA δεν είναι το ίδιο με το να έχετε επιβάλει το MFA παντού όπου έχει σημασία. Η άμυνα κατά του ransomware μέσω κλοπής διαπιστευτηρίων το 2026 απαιτεί να αντιμετωπίζεται η ταυτότητα ως μια συνεχής επιχειρησιακή πειθαρχία, όχι ως ένα έργο που τελείωσε μόλις σημειώθηκε η ολοκλήρωση της ανάπτυξης του MFA.

Ειδικά για τους μικρότερους οργανισμούς, το κενό στο ποσοστό περιορισμού αξίζει να ληφθεί σοβαρά υπόψη. Υποδεικνύει ότι η επένδυση στην ικανότητα ανίχνευσης και απόκρισης, ακόμα και μέτριες βελτιώσεις, μπορεί να αλλάξει ουσιαστικά την έκβαση μιας επίθεσης που έχει ήδη αποκτήσει αρχική πρόσβαση.

Βασικά συμπεράσματα

Το 79% των επιθέσεων ransomware ξεκινούν πλέον με παραβιασμένα διαπιστευτήρια, σύμφωνα με τη Sophos.
Το MFA ήταν παρόν στο 97% των περιστατικών ransomware που βασίζονταν σε διαπιστευτήρια, δείχνοντας ότι τα κενά κάλυψης, κι όχι η απουσία MFA, είναι το πραγματικό πρόβλημα.
Οι μικροί οργανισμοί σταμάτησαν επιθέσεις μόνο στο 34% των περιπτώσεων, σε σύγκριση με το 46% για μεγαλύτερους οργανισμούς με 3.001 έως 5.000 εργαζόμενους.
Το Ηνωμένο Βασίλειο κατέγραψε την υψηλότερη διάμεση απαίτηση λύτρων στην έκθεση.
Η αποτελεσματική άμυνα κατά του ransomware μέσω κλοπής διαπιστευτηρίων απαιτεί έλεγχο της κάλυψης MFA, παρακολούθηση για ανενεργά ή επαναχρησιμοποιημένα διαπιστευτήρια, τμηματοποίηση της πρόσβασης και οικοδόμηση ταχύτερης ικανότητας ανίχνευσης, χωρίς να βασίζεται σε κανένα μεμονωμένο εργαλείο ασφαλείας.