Neljä viidestä nykyisestä ransomware-hyökkäyksestä alkaa samalla tavalla: jonkun identiteetillä, ei palvelimella. Tämä yksittäinen tilasto, jonka The Manila Times raportoi, kiteyttää muutoksen, joka on rakentunut vuosia, mutta jota ei voi enää jättää huomiotta. Hyökkääjät eivät enää kiirehdi etsimään päivittämätöntä palvelinta tai nollapäivähaavoittuvuutta. He vain kirjautuvat sisään käyttäen tunnuksia, jotka on kalasteltu, ostettu tai vuodettu, ja kävelevät etuovesta sisään kuin kuka tahansa valtuutettu käyttäjä.

Tämä muutos on merkittävä, koska se muuttaa sen, mitä "tietoturva" todella tarkoittaa useimmille organisaatioille ja yksityishenkilöille. Palomuuri ei voi pysäyttää henkilöä, jolla on kelvollinen käyttäjätunnus ja salasana. Päivitetty palvelin ei auta, jos hyökkääjän ei koskaan tarvinnut hyödyntää sitä. Tunnuksiin perustuvat ransomware-hyökkäykset ovat siirtäneet taistelukentän verkkainfrastruktuurista ihmisten identiteetteihin, ja se tarkoittaa, että myös tärkeimmät puolustuskeinot ovat muuttuneet.

Miksi identiteetti, ei infrastruktuuri, on uusi ransomwaren sisäänpääsyreitti

Vuosien ajan ransomware-puolustusstrategia keskittyi infrastruktuuriin: päivitä palvelimet, segmentoi verkkosi, valvo tunkeutumisia. Nämä puolustukset ovat yhä tärkeitä, mutta ne vastaavat uhkamalliin, joka on yhä vanhentuneempi. Kun neljä viidestä hyökkäyksestä alkaa sisäänkirjautumisella eikä murtautumisella, laskelmat muuttuvat. Hyökkääjät ovat ymmärtäneet, että tunnukset ovat halvempia, nopeampia ja paljon epätodennäköisemmin hälytyksiä laukaisevia kuin tekninen hyväksikäyttö.

Tietojenkalastelupaketit, tunnusten täyttötyökalut ja tietoja varastavat haittaohjelmat ovat tehneet kirjautumistietojen keräämisestä vähäriskistä ja tuottoisaa liiketoimintaa. Kun tähän yhdistetään salasanojen uudelleenkäytön valtava määrä henkilökohtaisten ja työtilien välillä, hyökkääjillä on jatkuva tarjonta toimivia tunnuksia ilman, että heidän tarvitsee koskea palomuuriin. Sisällä ollessaan he eivät näytä tunkeutujilta. He näyttävät työntekijöiltä, alihankkijoilta tai järjestelmänvalvojilta, jotka tekevät työtään, mikä tekee tästä lähestymistavasta juuri niin tehokkaan.

Kuinka varastetut tunnukset ohittavat perinteiset tietoturvapuolustukset

Perinteiset tietoturvatyökalut on rakennettu havaitsemaan poikkeavuuksia: epätavallisia liikennekuvioita, luvattomia käyttöyrityksiä, haittaohjelmien tunnisteita. Kelvollinen kirjautuminen aitoja tunnuksia käyttäen ei laukaise useimpia näistä hälytyksistä. Päätelaitteiden havaitsemisjärjestelmät, tunkeutumisenestotyökalut ja jopa hyvin konfiguroidut palomuurit on suunniteltu pysäyttämään hyökkääjät, jotka yrittävät murtaa jotakin. Ne ovat paljon vähemmän tehokkaita henkilöä vastaan, joka yksinkertaisesti käyttää hänelle annettua avainta, vaikka avain olisikin varastettu.

Tämä on osittain syy siihen, miksi ransomware-operaatiot ovat muuttuneet niin nopeiksi heti sisäänpääsyn jälkeen. Spirals ransomware -operaatiota käsittelevä raportointi osoitti hyökkääjien salaavan koko uhrin ympäristön alle 24 tunnissa alkuperäisen pääsyn jälkeen. Kun sisäänpääsy ei vaadi haavoittuvuuden hyödyntämistä, enemmän aikaa ja resursseja menee suoraan vahingontekovaheeseen. Sama kaava näkyy hyökkäyksissä, jotka liittyvät CVE-2026-0257:aan, Palo Alto -palomuurien todennuksen ohitushaavoittuvuuteen, jota Qilin ransomware -toimijat hyödyntävät, missä vaarantunut todennus, ei raaka voima -hakkerointi, antoi hyökkääjille tarvitsemansa jalansijan.

Monivaiheinen todennus ja salasananhallintaohjelmat ensisijaisena puolustuslinjana

Koska varastetut tunnukset ovat ensisijainen sisäänpääsyreitti, tehokkaimmat puolustuskeinot ovat niitä, jotka tekevät varastetusta salasanasta vähemmän hyödyllisen sellaisenaan. Monivaiheinen todennus (MFA) on selkein esimerkki. Vaikka salasana vaarantuisi tietojenkalastelun tai tietomurron seurauksena, MFA vaatii toisen varmistusvaiheen, kuten koodin todennussovelluksesta tai laitteistoavaimen, ennen kuin pääsy myönnetään. Se ei poista riskiä kokonaan, mutta se sulkee pois helpoimman reitin hyökkääjiltä, jotka luottavat pelkkiin kirjautumistunnuksiin.

Salasananhallintaohjelmat vastaavat liittyvään ongelmaan: salasanojen uudelleenkäyttöön. Kun ihmiset käyttävät samaa salasanaa useilla tileillä, yksi vuotanut tunnus voi avata useita toisiinsa liittymättömiä järjestelmiä. Salasananhallintaohjelma tekee käytännölliseksi käyttää yksilöllistä, monimutkaista salasanaa jokaiselle tilille, mikä rajoittaa vahingon laajuutta, kun yhdet tunnukset paljastuvat. Kumpaakaan työkalua ei ole monimutkaista ottaa käyttöön, ja molemmat kohdistuvat suoraan juuri siihen heikkouteen, jota tunnuspohjaiset ransomware-hyökkäykset hyödyntävät.

Mikä on VPN:ien rooli järjestelmänvalvojien ja arkaluontoisten tilien käytön suojaamisessa

VPN:t eivät ole taikaluoti tunnusvarkauksia vastaan, mutta niillä on erityinen ja hyödyllinen rooli erityisesti järjestelmänvalvojille ja kaikille, jotka käyttävät arkaluontoisia järjestelmiä etänä. VPN salaa yhteyden käyttäjän ja verkon välillä, johon hän on yhteydessä, mikä auttaa estämään tunnusten sieppaamisen siirrettäessä, erityisesti suojaamattomissa tai julkisissa verkoissa. Etäjärjestelmänvalvojille, jotka hallinnoivat kriittistä infrastruktuuria, VPN-käytön yhdistäminen MFA:han lisää merkityksellisen kitkakerroksen hyökkääjille, joilla on käytössään vain varastettu salasana.

On syytä olla selkeä siitä, mitä VPN ei tee: se ei estä ketään käyttämästä kelvollisia, varastettuja tunnuksia kirjautuakseen sisään laillisen yhteyspisteen kautta. Siksi VPN:n käyttöä tulisi käsitellä yhtenä kerroksena useiden joukossa, yhdessä MFA:n, salasanahygienian ja käytönvalvonnan kanssa, eikä itsenäisenä ratkaisuna.

Mitä tämä tarkoittaa sinulle

Jos hallinnoit arkaluontoisia tilejä, joko yritykselle tai henkilökohtaiseen käyttöön, johtopäätös on suoraviivainen: salasanasi ei enää riitä, eikä se todennäköisesti ole riittänyt vähään aikaan. Tunnuspohjaiset ransomware-hyökkäykset onnistuvat, koska ne hyödyntävät ennustettavia inhimillisiä tapoja, uudelleenkäytettyjä salasanoja, suojaamattomia kirjautumisia ja tilejä ilman toista varmistusvaihetta. Näiden aukkojen sulkeminen ei vaadi yritystason budjetteja tai teknistä asiantuntemusta. Se vaatii johdonmukaisia tapoja, joita sovelletaan jokaiseen tärkeään tiliin.

Toiminnalliset oivallukset

  • Ota käyttöön monivaiheinen todennus jokaisella tilillä, joka sitä tukee, aloittaen sähköpostista, rahoituspalveluista ja kaikista järjestelmänvalvojan oikeuksista.
  • Käytä salasananhallintaohjelmaa luomaan ja tallentamaan yksilölliset salasanat, poistaen riskin, että uudelleenkäytettyjä tunnuksia hyödynnetään useilla tileillä.
  • Yhdistä VPN:n käyttö MFA:han etäjärjestelmänvalvojan käytössä, erityisesti hallittaessa järjestelmiä julkisten tai epäluotettavien verkkojen yli.
  • Käsittele tunnushygieniaa jatkuvana käytäntönä, ei kertaluonteisena asennuksena, sillä uusia tilejä ja palveluita lisätään säännöllisesti.

Ransomware-ryhmät ovat sopeuttaneet strategiaansa, koska se toimii. Hyvä uutinen on, että vastatoimet, MFA, salasananhallintaohjelmat ja kerrostetut pääsynhallinnat, ovat hyvin ymmärrettyjä ja lähes kaikkien ulottuvilla. Siirtyminen murtautumisesta sisäänkirjautumiseen tarkoittaa, että vastuu puolustuksesta on siirtynyt, ja se lepää nyt yhtä paljon yksilöllisen identiteettihygienian kuin verkkoturvatiimien harteilla.