Mitä Sophoksen raportti paljasti vaarantuneista identiteeteistä

Tuore Sophoksen raportti antaa kovan luvun asialle, jota tietoturvatiimit ovat epäilleet vuosia: kiristyshaittaohjelmajengit eivät enää murra etuovea, vaan kävelevät sisään varastetulla avaimella. Tulosten mukaan 79 % kiristyshaittaohjelmahyökkäyksistä saa nyt alkunsa vaarantuneista identiteeteistä, mikä tarkoittaa, että useimmissa tapauksissa alkuperäinen sisäänpääsykohta on pätevä käyttäjätunnus ja salasana ohjelmistohaavoittuvuuden tai haitallisen liitetiedoston sijaan.

Raportti nostaa esiin myös huomattavan eron siinä, miten erikokoiset organisaatiot reagoivat hyökkäyksen alettua. Vain 34 % pienistä organisaatioista onnistui pysäyttämään hyökkäyksen ennen salausta tai kiristystä. Vertailun vuoksi organisaatiot, joissa on 3 001–5 000 työntekijää, pysäyttivät hyökkäykset 46 % ajasta. Tämä ero viittaa siihen, että resursseilla, henkilöstömäärällä ja havainnointikypsyydellä on edelleen suuri merkitys, vaikka hyökkääjän sisäänpääsymenetelmä näyttää samankaltaiselta yrityksen koosta riippumatta.

Maantieteellisesti tarkasteltuna raportissa todetaan, että Yhdistyneessä kuningaskunnassa kiristyssummien mediaani oli korkein kaikista tutkimuksessa käsitellyistä alueista. Vaikka täydellistä lukujen erittelyä ei esitetty yksityiskohtaisesti, tämä havainto vahvistaa laajempaa suuntausta: kiristysvaatimukset mitoitetaan havaitun maksukyvyn, ei pelkästään datan arvon, perusteella.

Miksi pelkkä monivaiheinen tunnistautuminen ei pysäytä kiristyshaittaohjelmia

Tässä on havainto, jonka pitäisi muokata monia tietoturvabudjetteja uusiksi: monivaiheinen tunnistautuminen oli käytössä jossain muodossa 97 %:ssa tapauksista, joissa vaarantuneet tunnistetiedot olivat perimmäinen syy. Toisin sanoen lähes jokaisessa organisaatiossa, johon murtauduttiin varastetuilla tunnistetiedoilla, monivaiheinen tunnistautuminen oli jo kytketty päälle jossain päin ympäristöä.

Tämä ei tarkoita, että monivaiheinen tunnistautuminen olisi hyödytöntä. Se tarkoittaa, ettei monivaiheinen tunnistautuminen ole täydellinen ratkaisu, kun sitä sovelletaan epäjohdonmukaisesti. Kattavuuspuutteet – kuten vanhat järjestelmät, jotka eivät tue nykyaikaista tunnistautumista, palvelutilit, jotka on jätetty monivaiheisen tunnistautumisen käytäntöjen ulkopuolelle, tai etäkäyttötyökalut, joihin on määritetty heikompi varmennus – antavat hyökkääjille juuri sen aukon, jota he tarvitsevat. Päättäväisen hyökkääjän ei tarvitse murtaa monivaiheista tunnistautumista kaikkialla; heidän tarvitsee vain löytää se yksi kirjautumispolku, jossa sitä ei koskaan otettu käyttöön.

Tämä on se keskeinen jännite, jonka Sophoksen data paljastaa. Tietoturvatiimit ovat vuosien ajan käsitelleet monivaiheista tunnistautumista rasti ruutuun -tehtävänä, mutta kiristyshaittaohjelmaoperaattorit ovat sopeutuneet etsimällä niitä tilejä, järjestelmiä ja integraatioita, jotka jäävät tämän ruudun ulkopuolelle. Lopputuloksena on puolustusstrategia, joka näyttää paperilla vahvalta, mutta jossa on käytännössä todellisia reikiä.

Käytännön identiteettihygieniaa monivaiheisen tunnistautumisen lisäksi

Jos tunnistetietojen vaarantuminen on hallitseva sisäänpääsykohta, identiteettihygienia ansaitsee saman operatiivisen huomion kuin mitä korjaustenhallinta tai päätelaitteiden valvonta tyypillisesti saavat. Muutama käytännön toimenpide nousee esiin raportin johtopäätösten perusteella:

  • Tarkasta monivaiheisen tunnistautumisen kattavuus, ei pelkkä olemassaolo. Varmista, että jokainen etäkäyttöpiste, järjestelmänvalvojatili ja kolmannen osapuolen integraatio todella pakottaa monivaiheisen tunnistautumisen, ei pelkästään ensisijainen kirjautumisnäyttö.
  • Suosi tietojenkalastelulta suojattua tunnistautumista aina kun mahdollista, sillä perinteiset kertakäyttökoodit voidaan edelleen kaapata tai niitä voidaan kalastella sosiaalisesti.
  • Valvo tunnistetietojen uudelleenkäyttöä ja vanhentuneita tilejä. Lepäävät tilit ja jaetut kirjautumiset ovat yleisiä katvealueita, joita hyökkääjät hyödyntävät kauan sen jälkeen, kun työntekijät ovat siirtyneet eteenpäin tai vaihtaneet rooleja.
  • Segmentoi pääsy roolin ja tarpeellisuuden mukaan. Jopa vaarantunut tunnistetieto on hyökkääjälle paljon vähemmän hyödyllinen, jos se ei mahdollista laajaa sivuttaisliikettä verkossa.
  • Rakenna nopeampaa havainnointi- ja reagointikykyä, erityisesti pienemmissä organisaatioissa. Ero 34 %:n ja 46 %:n torjuntaprosenttien välillä viittaa siihen, että havainnoinnin nopeus, ei pelkästään estäminen, on se osa-alue, jolla resurssirajoitteiset tiimit menettävät jalansijaa.

Mikään näistä toimenpiteistä ei vaadi eksoottisia työkaluja. Ne vaativat kurinalaisuutta, näkyvyyttä ja halukkuutta käsitellä identiteettiä elävänä järjestelmänä, joka tarvitsee säännöllistä auditointia, eikä kertaluonteisena asennustehtävänä.

Salattujen työkalujen ja VPN:ien rooli kerrostetussa puolustuksessa

VPN:t ja salatut käyttötyökalut ovat edelleen hyödyllinen kerros laajemmassa identiteetinsuojausstrategiassa, erityisesti etäkirjautumisten suojaamisessa ja altistumisen vähentämisessä epäluotettavissa verkoissa. Mutta Sophoksen havainnot ovat muistutus siitä, ettei mikään yksittäinen työkalu – olipa se sitten VPN, monivaiheinen tunnistautuminen tai päätelaitesuojaus – voi korvata johdonmukaista identiteetinhallintaa koko organisaation laajuisesti. Hyökkääjät etsivät työkalujen välistä aukkoa, eivät itse työkaluja.

Tämä on myös hyvä hetki pohtia, miten pääsynhallinta ja internet-käytännöt risteävät laajemmin. Aivan kuten hallitukset tarkastelevat yhä tarkemmin, miten VPN-palveluntarjoajat käsittelevät pääsyrajoituksia, organisaatioita pyydetään tarkastelemaan, miten niiden omia käyttötyökaluja on määritetty ja valvotaan. Sen ymmärtäminen, miten kerrostetut rajoitusjärjestelmät toimivat – samaan tapaan kuin kansalliset internet-sensuurijärjestelmät on rakennettu useilla täytäntöönpanokerroksilla yhden portinvartijan sijaan – tarjoaa hyödyllisen analogian sille, miksi kiristyshaittaohjelmilta puolustautuminen vaatii myös useita päällekkäisiä kontrolleja yhden suojauskeinon sijaan.

Mitä tämä tarkoittaa sinulle

Jos hallinnoit IT-tietoturvaa minkä tahansa kokoisessa organisaatiossa, tämä raportti on signaali tarkistaa oletuksesi. Monivaiheisen tunnistautumisen käytössä oleminen ei ole sama asia kuin sen pakottaminen kaikkialla, missä sillä on merkitystä. Puolustus tunnistetietovarkauksiin perustuvia kiristyshaittaohjelmia vastaan vuonna 2026 edellyttää identiteetin käsittelemistä jatkuvana operatiivisena toimintona, ei projektina, joka valmistui, kun monivaiheisen tunnistautumisen käyttöönotto merkittiin suoritetuksi.

Erityisesti pienempien organisaatioiden kohdalla torjuntaprosenttien ero kannattaa ottaa vakavasti. Se viittaa siihen, että panostus havainnointi- ja reagointikykyyn – jopa vaatimattomat parannukset – voi muuttaa merkityksellisesti sellaisen hyökkäyksen lopputulosta, joka on jo saanut alkuperäisen pääsyn.

Keskeiset havainnot

  • 79 % kiristyshaittaohjelmahyökkäyksistä alkaa nyt vaarantuneilla tunnistetiedoilla, kertoo Sophos.
  • Monivaiheinen tunnistautuminen oli käytössä 97 %:ssa tunnistetietoihin perustuvista kiristyshaittaohjelmahavainnoista, mikä osoittaa, että kattavuuspuutteet, eivät monivaiheisen tunnistautumisen puuttuminen, ovat todellinen ongelma.
  • Pienet organisaatiot pysäyttivät hyökkäykset vain 34 % ajasta, kun taas suuremmat, 3 001–5 000 työntekijän organisaatiot pysäyttivät ne 46 % ajasta.
  • Yhdistyneessä kuningaskunnassa kiristyssummien mediaani oli raportin korkein.
  • Tehokas puolustus tunnistetietovarkauksiin perustuvia kiristyshaittaohjelmia vastaan edellyttää monivaiheisen tunnistautumisen kattavuuden auditointia, vanhentuneiden tai uudelleenkäytettyjen tunnistetietojen valvontaa, pääsyn segmentointia ja nopeamman havainnointikyvyn rakentamista – eikä mihinkään yksittäiseen tietoturvatyökaluun tukeutumista.