Kiristyshaittaohjelmahyökkäykset alkavat harvoin salauksesta. Kauan ennen kuin järjestelmät lukitaan ja lunasvaatimus ilmestyy, hyökkääjillä voi jo olla hallussaan tunnistetiedot, joilla he voivat kävellä organisaation verkkoon. Tämä on hiljattain julkaistun Security Boulevard -artikkelin ydinviesti, joka perustuu vuoden 2026 Verizon Data Breach Investigations Reportiin (DBIR), ja se kehystää uudelleen sen, miten meidän tulisi ajatella varastettujen tunnistetietojen kiristyshaittaohjelmahyökkäyksiä: lukitseminen on viimeinen näytös, ei avausliike.

Raportin kattavuudesta saatavilla oleva ote on lyhyt, joten tämä kirjoitus pitäytyy siinä, mitä se toteaa, ja siinä, mitä vpn.social on jo raportoinut. Ydinsanoma on silti selkeä ja käytännöllinen sekä yksityishenkilöille että organisaatioille.

Miten varastetuista tunnistetiedoista tulee kiristyshaittaohjelman sisäänkäynti

On hyödyllistä kuvitella kiristyshaittaohjelma toimitusketjuksi yksittäisen tapahtuman sijaan. Erilaiset toimijat hoitavat eri vaiheet. Yksi ryhmä hankkii kirjautumistiedot, toinen ostaa tai käyttää niitä päästäkseen verkkoon, ja itse kiristyshaittaohjelma tulee myöhemmin, kun pääsy on varmistettu.

Tällä on merkitystä, koska kelvollinen käyttäjätunnus ja salasana näyttävät normaalilta toiminnalta. Hyökkääjän, joka kirjautuu sisään oikeilla tunnistetiedoilla, ei tarvitse murtautua palomuurin läpi tai hyödyntää ohjelmistovirhettä. Hän yksinkertaisesti kirjautuu sisään, eivätkä turvatyökalut välttämättä merkitse mitään epätavallista aluksi.

Kun salaus alkaa, hyökkääjä on saattanut olla sisällä jo jonkin aikaa. Lunastusvaatimus on hetki, jolloin uhri saa tietää asiasta, ei hetki, jolloin hyökkäys alkoi.

Mistä tunnistetietojen toimitusketju alkaa: infostealerit ja vuotaneet kirjautumistiedot

Mistä tunnistetiedot sitten tulevat? Merkittävä lähde on infostealer-haittaohjelma, joka hiljaisesti kerää tallennetut kirjautumistiedot, istuntotiedot ja muut salaisuudet tartunnan saaneilta laitteilta. Varastetut tiedot kootaan tyypillisesti "lokeiksi", joilla rikolliset voivat käydä kauppaa tai myydä niitä.

vpn.social on käsitellyt tätä muutosta yksityiskohtaisesti. Kuten raportoimme, infostealer-lokit ovat ohittaneet phishingin yleisimpänä tietomurron syynä, ja tutkijat osoittavat infostealer-haittaohjelman olevan yhä yleisempi tapa, jolla hyökkääjät pääsevät yritysverkkoihin. Tämä sopii toimitusketjun kuvaan: tunnistetietojen kerääminen on erillinen vaihe, joka ruokkii mitä tahansa seuraavaa hyökkäystä, mukaan lukien kiristyshaittaohjelmia.

Yksi tartunnan saanut henkilökohtainen kannettava tietokone voi riittää. Jos työntekijä tallentaa työkirjautumisen selaimeen vaarantuneella laitteella, kyseinen tunnistetieto voi päätyä rikollisten markkinapaikalle työnantajan koskaan tietämättä.

Mitä vuoden 2026 DBIR sanoo kiristyshaittaohjelmien pääsystä

Verizon DBIR on yksi laajimmin siteeratuista vuosittaisista tutkimuksista siitä, miten tietomurrot tapahtuvat. Vuoden 2026 painoksen kattavuuden mukaan hyökkääjillä voi jo olla tarvitsemansa tunnistetiedot ennen kuin kiristyshaittaohjelmahyökkäys tulee näkyväksi. Kehystys asettaa tunnistetiedot hyökkäysketjun etuosaan sen sijaan, että salausta pidettäisiin lähtökohtana.

Emme esitä tässä lukuja kyseisestä havainnosta, koska lähdeote ei tarjoa niitä. Lukijoiden, jotka haluavat tarkat luvut, tulisi tutustua itse raporttiin. Suunta on kuitenkin johdonmukainen laajemman suuntauksen kanssa, jossa tunnistetietojen varastaminen ohjaa alkuperäistä pääsyä.

Käytännön seuraus on painopisteen muutos. Kiristyshaittaohjelmilta puolustautuminen ei tarkoita vain varmuuskopioita ja päätepistesuojausta ketjun lopussa. Se tarkoittaa myös kelvollisten, paljastuneiden kirjautumistietojen määrän vähentämistä, joita rikolliset voivat poimia alussa.

Mitä tämä tarkoittaa sinulle: käytännön toimenpiteitä paljastuneiden kirjautumistietojen vähentämiseksi

Et voi pysäyttää jokaista infostealeria, mutta voit tehdä varastetuista kirjautumistiedoista paljon vähemmän hyödyllisiä. Harkitse näitä toimenpiteitä:

  • Käytä ainutlaatuista salasanaa jokaiseen tiliin. Jos yksi tunnistetieto vuotaa, sen ei pitäisi avata mitään muuta.
  • Ota salasananhallintaohjelma käyttöön. Se tekee ainutlaatuisista, pitkistä salasanoista realistisia ja välttää kirjautumistietojen löyhän tallentamisen selaimeen laitteella, johon et täysin luota.
  • Ota monivaiheinen tunnistautuminen (MFA) käyttöön. Pelkkä varastettu salasana ei silloin riitä kirjautumiseen. Suosi soveltopohjaisia tai laitteistopohjaisia menetelmiä, kun niitä on saatavilla.
  • Pidä laitteet puhtaina. Asenna päivitykset, vältä epävirallisia ohjelmistolatauksia ja poista ohjelmat, joita et tunnista, sillä infostealerit saapuvat usein sitä kautta.
  • Erottele työ- ja henkilökohtainen käyttö. Vältä kirjautumista työtilille henkilökohtaisilla tai jaetuilla laitteilla.
  • Vaihda salasanat epäillyn tartunnan tai tietomurtoilmoituksen jälkeen. Tee se tunnetusti puhtaalta laitteelta ja kirjaudu ulos aktiivisista istunnoista.

Jos hallinnoit tiimiä, sama logiikka skaalautuu: pakota MFA, rajoita ketkä omaavat etuoikeutetun pääsyn ja tarkista, millä tileillä on vielä pääsy, jota ne eivät enää tarvitse.

Katkaise toimituslinja

Vuoden 2026 Verizon DBIR -kattavuuden keskeinen oppi on, että varastettujen tunnistetietojen kiristyshaittaohjelmahyökkäykset alkavat hyvissä ajoin ennen kuin kukaan näkee lunasvaatimusta. Tehokkain puolustus on tehdä kirjautumistiedoistasi vaikeasti varastettavia ja vähemmän arvokkaita, jos ne varastetaan.

Aloita tänään yksinkertaisella auditoinnilla: luettele tärkeät tilisi, tarkista uudelleenkäytetyt salasanat ja ota MFA käyttöön kaikkialla, missä sitä tarjotaan. Siirrä sitten kirjautumistietosi salasananhallintaohjelmaan, jossa on ainutlaatuiset tunnistetiedot jokaista palvelua varten. Saadaksesi syvemmän käsityksen siitä, miten tunnistetiedot ylipäätään kerätään, lue raporttimme infostealer-lokeista, jotka ohittavat phishingin yleisimpänä tietomurron syynä. Pieni hygienia nyt voi katkaista ketjun ensimmäisen lenkin.