A zsarolóvírus-támadások ritkán a titkosítással kezdődnek. jóval azelőtt, hogy a rendszereket zárolják és megjelenik a váltságdíj-követelés, a támadók már birtokában lehetnek azoknak a hitelesítő adatoknak, amelyekkel beléphetnek egy szervezet hálózatába. Ez a fő üzenete egy nemrég megjelent Security Boulevard-cikknek, amely a 2026-os Verizon Data Breach Investigations Report (DBIR) alapján készült, és újraértelmezi, hogyan gondolkodjunk a lopott hitelesítő adatokkal végrehajtott zsarolóvírus-támadásokról: a zárolás a záróakkord, nem a nyitó lépés.

A jelentés ismertetéséből elérhető részlet rövid, ezért ez a bejegyzés ahhoz tartja magát, amit az állít, és ahhoz, amiről a vpn.social már beszámolt. A tanulság így is világos és gyakorlatias mind egyének, mind szervezetek számára.

Hogyan válnak a lopott hitelesítő adatok a zsarolóvírus belépési pontjává

Hasznos a zsarolóvírust inkább ellátási láncként elképzelni, mintsem egyetlen eseményként. A különböző szereplők különböző szakaszokat kezelnek. Az egyik csoport megszerzi a bejelentkezési adatokat, egy másik megvásárolja vagy felhasználja azokat, hogy bejusson egy hálózatba, maga a zsarolóvírus pedig később érkezik, miután a hozzáférés biztosított.

Ez azért fontos, mert egy érvényes felhasználónév és jelszó normál tevékenységnek tűnik. Egy támadónak, aki valódi hitelesítő adatokkal jelentkezik be, nem kell áttörnie egy tűzfalat vagy kihasználnia egy szoftverhibát. Egyszerűen bejelentkezik, és a biztonsági eszközök eleinte talán semmi szokatlant nem jeleznek.

Mire a titkosítás elkezdődik, a támadó már jó ideje bent lehetett. A váltságdíj-követelés az a pillanat, amikor az áldozat tudomást szerez, nem pedig az, amikor a támadás elkezdődött.

Hol kezdődik a hitelesítő adatok ellátási lánca: infostealerek és kiszivárgott bejelentkezések

Honnan származnak tehát a hitelesítő adatok? Jelentős forrás az infostealer kártevő, amely észrevétlenül gyűjti be a mentett bejelentkezési adatokat, a munkamenet-adatokat és egyéb titkokat a fertőzött eszközökről. A lopott adatokat általában "logokba" csomagolják, amelyekkel a bűnözők kereskedhetnek vagy eladhatják azokat.

A vpn.social részletesen beszámolt erről a változásról. Ahogy jelentettük, az infostealer logok megelőzték az adathalászatot mint vezető adatvédelmi incidens-okot, a kutatók pedig az infostealer kártevőt egyre gyakoribb támadási módként jelölik meg, amellyel a támadók vállalati hálózatokba jutnak be. Ez illeszkedik az ellátási lánc képéhez: a hitelesítő adatok begyűjtése egy különálló lépés, amely táplálja a következő támadást, beleértve a zsarolóvírust is.

Egyetlen fertőzött személyes laptop is elegendő lehet. Ha egy alkalmazott a munkahelyi bejelentkezési adatait egy böngészőben menti egy kompromittált eszközön, az a hitelesítő adat bűnözői piactérre kerülhet anélkül, hogy a munkáltató valaha is tudomást szerezne róla.

Mit mond a 2026-os DBIR a zsarolóvírus-hozzáférésről

A Verizon DBIR az egyik legszélesebb körben idézett éves tanulmány arról, hogyan történnek adatvédelmi incidensek. A 2026-os kiadás ismertetése szerint a támadók már birtokában lehetnek a szükséges hitelesítő adatoknak, mielőtt egy zsarolóvírus-támadás láthatóvá válik. Ez a megközelítés a hitelesítő adatokat a támadási lánc elejére helyezi, ahelyett hogy a titkosítást tekintené kiindulópontnak.

Nem közlünk számokat erről a megállapításról, mert a forrásrészlet nem tartalmaz ilyeneket. Azok az olvasók, akik pontos adatokra kíváncsiak, magát a jelentést tanulmányozzák. Az irány azonban összhangban van azzal a szélesebb tendenciával, hogy a hitelesítő adatok ellopása vezet a kezdeti hozzáféréshez.

A gyakorlati következmény a fókusz megváltozása. A zsarolóvírus elleni védekezés nem csak a biztonsági mentésekről és a végpontvédelemről szól a lánc végén. Arról is szól, hogy csökkentsük azon érvényes, nyilvánosságra került bejelentkezések számát, amelyeket a bűnözők a kezdetén összeszedhetnek.

Mit jelent ez számodra: gyakorlati lépések a kiszivárgott bejelentkezések csökkentésére

Nem tudod megállítani az összes infostealert, de sokkal kevésbé használhatóvá teheted a lopott bejelentkezéseket. Fontold meg ezeket a lépéseket:

  • Használj egyedi jelszót minden fiókhoz. Ha egy hitelesítő adat kiszivárog, ne nyisson hozzáférést semmi máshoz.
  • Vezess be jelszókezelőt. Ez realistává teszi az egyedi, hosszú jelszavakat, és elkerüli, hogy a bejelentkezési adatokat lazán egy böngészőben tároljuk egy olyan eszközön, amelyben nem bízunk teljesen.
  • Kapcsold be a többtényezős hitelesítést (MFA). Egy lopott jelszó önmagában így nem elegendő a bejelentkezéshez. Ahol elérhető, részesítsd előnyben az alkalmazásalapú vagy hardveres módszereket.
  • Tartsd tisztán az eszközöket. Telepítsd a frissítéseket, kerüld a nem hivatalos szoftverletöltéseket, és távolítsd el az általad nem ismert programokat, mivel az infostealerek gyakran így érkeznek.
  • Válaszd szét a munkahelyi és személyes használatot. Kerüld a munkahelyi fiókokba való bejelentkezést személyes vagy megosztott eszközökön.
  • Változtass jelszót gyanús fertőzés vagy adatvédelmi incidensről szóló értesítés után. Ezt egy ismerten tiszta eszközről tedd, és jelentkezz ki az aktív munkamenetekből.

Ha csapatot vezetsz, ugyanez a logika nagyobb léptékben is érvényes: kényszerítsd ki az MFA-t, korlátozd, ki rendelkezik kiemelt hozzáféréssel, és vizsgáld felül, mely fiókoknak van még olyan hozzáférése, amelyre már nincs szükségük.

Vágd el az ellátási vonalat

A 2026-os Verizon DBIR ismertetésének központi tanulsága, hogy a lopott hitelesítő adatokkal végrehajtott zsarolóvírus-támadások jóval azelőtt kezdődnek, hogy bárki váltságdíj-követelést látna. A leghatékonyabb védekezés az, ha a bejelentkezéseidet nehézzé tesszük ellopni, és kevésbé értékessé, ha mégis ellopják őket.

Kezdd ma egy egyszerű átvizsgálással: listázd a fontos fiókjaidat, ellenőrizd az újrahasznált jelszavakat, és kapcsold be az MFA-t, ahol csak kínálják. Ezután helyezd át a bejelentkezéseidet egy jelszókezelőbe, egyedi hitelesítő adatokkal minden szolgáltatáshoz. Ha mélyebben szeretnéd megérteni, hogyan gyűjtik be a hitelesítő adatokat eleve, olvasd el jelentésünket arról, hogy az infostealer logok megelőzték az adathalászatot mint vezető adatvédelmi incidens-okot. Egy kis higiénia most megtörheti a lánc első szemét.