Manapság ötből négy zsarolóvírus-támadás ugyanúgy kezdődik: valakinek a személyazonosságával, nem a szervereivel. Ez az egyetlen adat, amelyről a The Manila Times beszámolt, egy olyan eltolódást ragad meg, amely évek óta épül, de ma már lehetetlen figyelmen kívül hagyni. A támadók már nem versenyeznek azért, hogy találjanak egy javítatlan szervert vagy egy nulladik napi sebezhetőséget. Egyszerűen bejelentkeznek, olyan hitelesítő adatokkal, amelyeket adathalászattal szereztek meg, vásároltak, vagy kiszivárogtak, és besétálnak a főbejáraton, mint bármely más jogosult felhasználó.

Ez az eltolódás azért számít, mert megváltoztatja, mit jelent valójában a „biztonság” a legtöbb szervezet és egyén számára. A tűzfal nem tudja megállítani azt, akinek érvényes felhasználóneve és jelszava van. A javított szerver sem segít, ha a támadónak soha nem volt szüksége arra, hogy kihasználja. A hitelesítő adatokra épülő zsarolóvírus-támadások a csatateret a hálózati infrastruktúráról az emberi személyazonosságra helyezték át, és ez azt jelenti, hogy a legfontosabb védekezések is megváltoztak.

Miért a személyazonosság, nem pedig az infrastruktúra az új belépési pont a zsarolóvírusok számára

Évekig a zsarolóvírusok elleni védekezési stratégia középpontjában az infrastruktúra állt: javítsd a szervereket, szegmentáld a hálózatot, figyeld a behatolásokat. Ezek a védekezések még mindig számítanak, de egy olyan fenyegetési modellre adnak választ, amely egyre inkább elavult. Amikor a támadások négyötöde bejelentkezéssel kezdődik, nem pedig betöréssel, a számítás megváltozik. A támadók rájöttek, hogy a hitelesítő adatok olcsóbbak, gyorsabbak és sokkal kevésbé valószínű, hogy riasztást váltanak ki, mint egy technikai sebezhetőség kihasználása.

Az adathalász készletek, a hitelesítőadat-tömő eszközök és az infostealer kártevők a bejelentkezési adatok begyűjtését alacsony erőfeszítésű, magas megtérülésű üzletté tették. Ha ehhez hozzávesszük a személyes és munkahelyi fiókok között újrahasznált jelszavak puszta számát, a támadók folyamatos készlettel rendelkeznek működő hitelesítő adatokból anélkül, hogy valaha is hozzáérnének egy tűzfalhoz. Amint bent vannak, nem tűnnek behatolóknak. Úgy néznek ki, mint az alkalmazottak, alvállalkozók vagy rendszergazdák, akik a munkájukat végzik, és pontosan ez teszi ezt a megközelítést olyan hatékonnyá.

Hogyan kerülik meg a lopott hitelesítő adatok a hagyományos biztonsági védelmeket

A hagyományos biztonsági eszközök anomáliák észlelésére készültek: szokatlan forgalmi minták, jogosulatlan hozzáférési kísérletek, kártevő-aláírások. Egy valódi hitelesítő adatokkal történő érvényes bejelentkezés a legtöbb ilyen dróton nem akad fenn. A végpontészlelő rendszerek, a behatolásmegelőző eszközök és még a jól konfigurált tűzfalak is arra szolgálnak, hogy megállítsák azokat a támadókat, akik megpróbálnak feltörni valamit. Sokkal kevésbé hatékonyak valakivel szemben, aki egyszerűen csak egy kulcsot használ, amit átadtak neki, még akkor is, ha ezt a kulcsot ellopták.

Ez is része annak, hogy a zsarolóvírus-műveletek miért váltak olyan gyorssá, amint hozzáférést szereznek. A Spirals zsarolóvírus-műveletről szóló beszámoló kimutatta, hogy a támadók a kezdeti hozzáférés után kevesebb mint 24 óra alatt titkosították az áldozat teljes környezetét. Amikor a belépéshez nincs szükség sebezhetőség kihasználására, több idő és erőforrás megy egyenesen a károkozási fázisba. Ugyanez a minta jelenik meg a CVE-2026-0257-hez, egy hitelesítés-megkerülési hibához a Palo Alto tűzfalakban, amelyet a Qilin zsarolóvírus-szereplők kihasználtak kapcsolódó támadásokban, ahol a kompromittált hitelesítés, nem pedig a brute force hackelés adta meg a támadóknak a szükséges támaszpontot.

A többtényezős hitelesítés és a jelszókezelők mint az első védelmi vonal

Mivel a lopott hitelesítő adatok az elsődleges belépési pontok, a leghatékonyabb védekezések azok, amelyek a lopott jelszót önmagában kevésbé hasznossá teszik. A többtényezős hitelesítés (MFA) a legtisztább példa. Még ha egy jelszót adathalászattal vagy adatszivárgással kompromittálnak is, az MFA egy második ellenőrzési lépést igényel, például egy hitelesítő alkalmazásból származó kódot vagy egy hardveres kulcsot, mielőtt hozzáférést adna. Nem szünteti meg teljesen a kockázatot, de lezárja a legkönnyebb utat azoknak a támadóknak, akik kizárólag bejelentkezési adatokra támaszkodnak.

A jelszókezelők egy kapcsolódó problémát kezelnek: a jelszavak újrahasználatát. Amikor az emberek ugyanazt a jelszót használják több fiókban, egyetlen kiszivárgott hitelesítő adat számos, egymással nem kapcsolódó rendszerhez biztosíthat hozzáférést. A jelszókezelő lehetővé teszi, hogy minden fiókhoz egyedi, összetett jelszót használjunk, ami korlátozza a robbanási sugarat, amikor egy hitelesítő adat készlet kikerül. Egyik eszköz beállítása sem bonyolult, és mindkettő közvetlenül azt a gyenge pontot célozza meg, amelyet a hitelesítő adatokra épülő zsarolóvírus-támadások kihasználnak.

Hol illeszkednek a VPN-ek a rendszergazdai és érzékeny fiókok hozzáférésének védelmébe

A VPN-ek nem jelentenek csodaszert a hitelesítő adatok lopása ellen, de sajátos és hasznos szerepet játszanak, különösen a rendszergazdák és bárki számára, aki távolról fér hozzá érzékeny rendszerekhez. A VPN titkosítja a felhasználó és a hálózat közötti kapcsolatot, ami segít megakadályozni, hogy a hitelesítő adatokat a forgalomban elfogják, különösen nem biztonságos vagy nyilvános hálózatokon. A kritikus infrastruktúrát felügyelő távoli rendszergazdák esetében a VPN-hozzáférés MFA-val való párosítása értelmes súrlódási réteget ad a támadóknak, akik csak egy lopott jelszóval dolgozhatnak.

Érdemes egyértelművé tenni, hogy mit nem csinál a VPN: nem fogja megállítani azt, aki érvényes, lopott hitelesítő adatokkal jelentkezik be egy legális hozzáférési ponton keresztül. Ezért a VPN használatát egy rétegként kell kezelni a többi között, az MFA-val, a jelszóhigiénével és a hozzáférési monitorozással együttműködve, nem pedig önálló megoldásként.

Mit jelent ez Önnek

Ha érzékeny fiókokat kezel, akár üzleti, akár személyes használatra, a tanulság egyértelmű: a jelszava már nem elég, és valószínűleg már egy ideje nem is volt az. A hitelesítő adatokra épülő zsarolóvírus-támadások azért sikeresek, mert kiszámítható emberi szokásokat használnak ki: újrahasznált jelszavakat, védelem nélküli bejelentkezéseket és második ellenőrzési lépés nélküli fiókokat. E hiányosságok megszüntetése nem igényel vállalati szintű költségvetést vagy technikai szakértelmet. Következetes szokásokat igényel, amelyeket minden fontos fiókra alkalmazni kell.

Megvalósítható teendők

  • Engedélyezze a többtényezős hitelesítést minden fiókban, amely támogatja, kezdve az e-mailekkel, pénzügyi szolgáltatásokkal és bármilyen rendszergazdai hozzáféréssel.
  • Használjon jelszókezelőt egyedi jelszavak generálásához és tárolásához, kiküszöbölve az újrahasznált hitelesítő adatok több fiókban való kihasználásának kockázatát.
  • Párosítsa a VPN-használatot MFA-val a távoli rendszergazdai hozzáféréshez, különösen, ha rendszereket kezel nyilvános vagy nem megbízható hálózatokon keresztül.
  • Kezelje a hitelesítő adatok higiéniáját folyamatos gyakorlatként, ne egyszeri beállításként, mivel rendszeresen adnak hozzá új fiókokat és szolgáltatásokat.

A zsarolóvírus-csoportok azért igazították ki a stratégiájukat, mert az működik. A jó hír az, hogy az ellenintézkedések, az MFA, a jelszókezelők és a rétegzett hozzáférés-vezérlés jól ismertek és szinte bárki számára elérhetőek. A betörésről a bejelentkezésre való áttérés azt jelenti, hogy a védekezés felelőssége is áthelyeződött, és most már ugyanannyira az egyéni személyazonosság-higiénián, mint a hálózatbiztonsági csapatokon nyugszik.