Što je Sophosovo izvješće otkrilo o kompromitiranim identitetima

Novoobjavljeno izvješće Sophosa daje konkretne brojke o nečemu što sigurnosni timovi sumnjaju već godinama: bande koje koriste iznuđivački softver više ne provaljuju kroz ulazna vrata, već ulaze s ukradenim ključem. Prema nalazima, 79% napada iznuđivačkim softverom sada potječe od kompromitiranih identiteta, što znači da je početna točka pristupa u većini slučajeva valjano korisničko ime i lozinka, a ne iskorištavanje softverskog propusta ili zlonamjerni privitak.

Izvješće također ističe izrazitu razliku u tome kako organizacije različitih veličina reagiraju nakon što napad započne. Samo 34% malih organizacija uspjelo je zaustaviti napad prije nego što je došlo do enkripcije ili iznude. Usporedno, organizacije s 3.001 do 5.000 zaposlenika zaustavile su napade u 46% slučajeva. Ta razlika sugerira da resursi, osoblje i zrelost detekcije i dalje igraju veliku ulogu, čak i kada način ulaska napadača izgleda slično bez obzira na veličinu tvrtke.

Geografski gledano, izvješće navodi da je Ujedinjeno Kraljevstvo zabilježilo najveći medijan zahtjeva za otkupninom od svih regija obuhvaćenih studijom. Iako potpuna raščlamba brojki nije detaljno navedena, obrazac pojačava širi trend: zahtjevi za otkupninom kalibriraju se prema percipiranoj sposobnosti plaćanja, a ne samo prema vrijednosti samih podataka.

Zašto samo višefaktorska autentifikacija (MFA) ne zaustavlja iznuđivački softver

Evo nalaza koji bi trebao preoblikovati mnoge sigurnosne proračune: višefaktorska autentifikacija (MFA) bila je u nekoj mjeri implementirana u 97% incidenata u kojima su kompromitirane vjerodajnice bile temeljni uzrok. Drugim riječima, gotovo svaka organizacija koja je probijena putem ukradenih vjerodajnica već je imala uključen MFA negdje u svom okruženju.

To ne znači da je MFA beskoristan. Znači da MFA nije cjelovito rješenje kada se nedosljedno primjenjuje. Praznine u pokrivenosti, poput naslijeđenih sustava koji ne podržavaju modernu autentifikaciju, servisnih računa isključenih iz MFA politika ili alata za udaljeni pristup konfiguriranih sa slabijom provjerom, napadačima daju upravo priliku koja im je potrebna. Odlučni napadač ne mora poraziti MFA svugdje; treba samo pronaći jedan put za prijavu na kojem nikada nije bilo prisilno primijenjeno.

To je ključna napetost koju Sophosovi podaci razotkrivaju. Sigurnosni timovi godinama su tretirali MFA kao stavku s popisa za označavanje, ali operateri iznuđivačkog softvera prilagodili su se tako da love račune, sustave i integracije koji su izvan te stavke. Rezultat je obrambena strategija koja na papiru izgleda snažno, ali u praksi ima stvarne rupe.

Praktični koraci za higijenu identiteta iza MFA

Ako je kompromitacija vjerodajnica dominantna ulazna točka, tada higijena identiteta zaslužuje istu operativnu pažnju koju obično dobivaju upravljanje zakrpama ili detekcija krajnjih točaka. Nekoliko praktičnih koraka ističe se na temelju implikacija izvješća:

  • Revizija pokrivenosti MFA-om, a ne samo postojanja MFA-a. Potvrdite da svaka točka udaljenog pristupa, administratorski račun i integracija treće strane zapravo provode MFA, a ne samo primarni zaslon za prijavu.
  • Dajte prednost autentifikaciji otpornoj na phishing gdje god je to moguće, budući da se tradicionalni jednokratni kodovi i dalje mogu presresti ili dobiti socijalnim inženjeringom.
  • Nadzirite ponovnu upotrebu vjerodajnica i neaktivne račune. Uspavani računi i dijeljene prijave su uobičajene slijepe točke koje napadači iskorištavaju dugo nakon što su zaposlenici otišli ili promijenili uloge.
  • Segmentirajte pristup prema ulozi i nužnosti. Čak i kompromitirana vjerodajnica daleko je manje korisna napadaču ako ne omogućava široko bočno kretanje mrežom.
  • Izgradite kapacitet za bržu detekciju i odgovor, posebno za manje organizacije. Razlika između stopa zaustavljanja od 34% i 46% sugerira da je brzina detekcije, a ne samo prevencija, ono gdje timovi s ograničenim resursima gube tlo pod nogama.

Nijedan od ovih koraka ne zahtijeva egzotične alate. Zahtijevaju disciplinu, vidljivost i spremnost da se identitet tretira kao živući sustav koji treba redovitu reviziju, a ne kao jednokratni zadatak postavljanja.

Gdje se šifrirani alati i VPN uklapaju u slojevitu obranu

VPN-ovi i šifrirani pristupni alati ostaju koristan sloj u široj strategiji zaštite identiteta, posebno za osiguranje udaljenih prijava i smanjenje izloženosti na nepouzdanim mrežama. No, Sophosovi nalazi podsjetnik su da nijedan pojedinačni alat, bilo to VPN, MFA ili zaštita krajnjih točaka, ne može zamijeniti dosljedno upravljanje identitetom u cijeloj organizaciji. Napadači traže prazninu između alata, a ne same alate.

Ovo je također dobar trenutak za razmišljanje o tome kako se kontrole pristupa i internetska politika šire isprepliću. Baš kao što vlade sve više propituju kako VPN pružatelji upravljaju ograničenjima pristupa, od organizacija se traži da propituju kako su njihovi vlastiti pristupni alati konfigurirani i nadzirani. Razumijevanje načina na koji slojeviti sustavi ograničenja funkcioniraju, slično kao što su nacionalni sustavi internetske cenzure izgrađeni s više provedbenih slojeva, a ne s jednim vratima, nudi korisnu analogiju zašto obrana od iznuđivačkog softvera također zahtijeva višestruke, preklapajuće kontrole, a ne oslanjanje na bilo koji pojedinačni zaštitni mehanizam.

Što to znači za vas

Ako upravljate IT sigurnošću u organizaciji bilo koje veličine, ovo izvješće signal je za ponovno razmatranje pretpostavki. Imati uključen MFA nije isto što i imati prisilno primijenjen MFA svugdje gdje je to važno. Obrana od iznuđivačkog softvera koji koristi krađu vjerodajnica 2026. zahtijeva tretiranje identiteta kao trajne operativne discipline, a ne kao projekta koji je dovršen nakon što je implementacija MFA-e označena završenom.

Za manje organizacije posebno, razliku u stopi zaustavljanja vrijedi ozbiljno shvatiti. To sugerira da ulaganje u sposobnost detekcije i odgovora, čak i skromna poboljšanja, mogu značajno promijeniti ishod napada koji je već stekao početni pristup.

Ključni zaključci

  • 79% napada iznuđivačkim softverom sada počinje s kompromitiranim vjerodajnicama, prema Sophosu.
  • MFA je bio prisutan u 97% incidenata iznuđivačkog softvera koji se temelje na vjerodajnicama, što pokazuje da su praznine u pokrivenosti, a ne izostanak MFA-e, stvarni problem.
  • Male organizacije zaustavile su napade u samo 34% slučajeva, u usporedbi sa 46% za veće organizacije s 3.001 do 5.000 zaposlenika.
  • Ujedinjeno Kraljevstvo zabilježilo je najveći medijan zahtjeva za otkupninom u izvješću.
  • Učinkovita obrana od iznuđivačkog softvera koji krade vjerodajnice zahtijeva reviziju MFA pokrivenosti, nadzor neaktivnih ili ponovno korištenih vjerodajnica, segmentaciju pristupa i izgradnju bržeg kapaciteta za detekciju, a ne oslanjanje na bilo koji pojedinačni sigurnosni alat.