A zsarolóvírusok most már több alkalmazottat céloznak, nem csak az IT-részleget

Új minta a zsarolóvírusoknál: terjedés a munkaerőn keresztül

A zsarolóvírus-csoportok sokáig egy ismerős forgatókönyvre támaszkodtak: találni egy kiemelt jogosultságú IT-adminisztrátort, ellopni a hitelesítő adatait, és ezt a hozzáférést használni a hálózaton való észrevétlen mozgáshoz. Ám az új jelentések szerint ez a minta változik. A támadók immár ugyanazon szervezeten belül több alkalmazottat is kompromittálnak, gyakran olyanokat, akik semmilyen különleges technikai jogosultsággal nem rendelkeznek, és mindezt egyetlen összehangolt behatolás keretében teszik.

Ennek azért van jelentősége, mert alapvető szemléletváltozást tükröz a zsarolóvírus-üzemeltetők hozzáférésről alkotott gondolkodásában. Ahelyett, hogy egyetlen aranyat érő adminisztrátori hitelesítő adatkészletre vadásznának, szélesebb hálót vetnek ki az osztályok, szerepkörök és üzleti funkciók között. A cél változatlan, a rendszerek lezárása és váltságdíj kicsikarása, de a belépési pontok megsokszorozódnak. A jelentés szerint az ipari szervezetek tették ki az áldozatok legnagyobb részét 35,5%-kal, őket követték az információtechnológiai vállalatok 14,6%-kal, ami arra utal, hogy a komplex üzemeltetési technológiával és rétegzett személyzeti struktúrával rendelkező ágazatok különösen vonzó célpontoknak bizonyulnak.

Miért váltak a hétköznapi alkalmazottak elsődleges célponttá?

Éveken át a biztonsági csapatok védelmi energiájuk nagy részét a kiemelt jogosultságú fiókok – rendszergazdák, adatbázis-kezelők, hálózatmérnökök – védelmére összpontosították. Ennek volt értelme, amikor a zsarolóvírus-csoportoknak mély technikai hozzáférésre volt szükségük a kritikus infrastruktúra titkosításához. Ám a támadók alkalmazkodtak. Számos zsarolóvírus-művelet most már megértette, hogy egy vállalat kritikus üzleti folyamatai – bérszámfejtés, beszerzés, ügyfélnyilvántartások, logisztikai koordináció – hétköznapi alkalmazotti fiókokon keresztül futnak, amelyeket gyakran kevésbé ellenőriznek és védenek, mint az IT-hitelesítő adatokat.

Azáltal, hogy egyszerre több alkalmazottat is kompromittálnak, a támadók redundanciát nyernek. Ha az egyik kompromittált fiókot észlelik és zárolják, a többi aktív marad, így a behatolóknak több kapaszkodójuk is van, amikre visszaeshetnek. Ez a megközelítés a laterális mozgást is megkönnyíti, mivel a különböző osztályokon dolgozó alkalmazottak gyakran átfedő rendszerekhez, megosztott meghajtókhoz és kommunikációs eszközökhöz férnek hozzá, amelyeket soha nem ilyen rétegzett támadásra terveztek. Ahogyan azt a Zsarolóvírus-bandák most már a vezetőket is célba veszik, nem csak az IT-t című írásunkban részletesen kifejtettük, a célpontok ilyen kiszélesítése egy tágabb trend része, ahol a támadók szándékosan keresik a döntéshozatali jogkörrel vagy folyamatfelelősséggel bíró személyeket, nem csupán a hálózat technikai kulcsait.

Adatvédelmi következmények az alkalmazottakra és az ügyfelekre nézve

Ennek a szemléletváltásnak jelentős adatvédelmi következményei vannak. Amikor a zsarolóvírus-csoportok egyetlen adminisztrátor helyett több alkalmazotti fiókot is kompromittálnak, jellemzően a személyes és működési adatok sokkal szélesebb köréhez férnek hozzá: a különböző osztályokon szétszórtan megtalálható HR-nyilvántartásokhoz, belső kommunikációkhoz, ügyfélfájlokhoz és pénzügyi dokumentumokhoz. Ez a kibővült hozzáférés növeli annak valószínűségét, hogy érzékeny személyes információk kerülnek nyilvánosságra vagy lesznek kiszivárogtatva, ha nem fizetik ki a váltságdíjat.

A közelmúltbeli zsarolási esetek jól mutatják, milyen messzire érhetnek ezek a következmények. A Stadler Rail adatszivárgás során az adatcsere-platformhoz kötődő támadók többmillió dolláros váltságdíjat követeltek, miután a cég működéséhez kapcsolódó hozzáférést szereztek. Hasonlóképpen, a Qilin zsarolóvírus-banda 2026 júliusában követelte a brazil Cpcg-t mutatja, hogy a zsarolóvírus-csoportok továbbra is célba veszik a szervezeteket régiókon és iparágakon átívelően, a megszerzett hozzáféréssel nyomást gyakorolva az áldozatokra a fizetés érdekében. Ezek az esetek mind ugyanazt az alapvető tanulságot hangsúlyozzák: minél több fiókot és rendszert érnek el a támadók, annál erősebb a nyomásgyakorló képességük, és annál több személyes adat kerül veszélybe.

Mit jelent ez Önnek?

Ha olyan vállalatnál dolgozik, amely érzékeny adatokat kezel – legyen szó ügyfélnyilvántartásokról, pénzügyi részletekről vagy belső kommunikációról –, ennek a trendnek hatással kell lennie arra, hogyan gondolkodik saját fiókjának biztonságáról. Ahhoz, hogy célponttá váljon, nem kell rendszergazdának lennie. A zsarolóvírus-üzemeltetők egyre inkább mindenkit érdekesnek találnak, akinek a fiókja kapaszkodót nyújthat az üzleti szempontból kritikus folyamatokba.

Az érintett vállalatok fogyasztói és ügyfelei számára a tanulság hasonlóan fontos. Az a jogsértés, amely több kompromittált alkalmazotti fiókkal kezdődik, gyakran a személyes adatok szélesebb körű kitettségét eredményezi, mint egy egyetlen ponton történő behatolás. Ez azt jelenti, hogy a saját adatai kitettségére utaló jelek figyelése, az érintett szolgáltatásokhoz tartozó jelszavak cseréje, valamint az ilyen incidenseket gyakran követő adathalász-kísérletekkel szembeni óvatosság minden eddiginél fontosabb.

Gyakorlati lépések a továbblépéshez

Szervezeteknek és magánszemélyeknek egyaránt megvan a szerepük abban, hogy csökkentsék az ilyen típusú támadásoknak való kitettséget. Az alkalmazottak használjanak egyedi, erős jelszavakat a munkahelyi fiókjaikhoz, és engedélyezzék a többtényezős hitelesítést mindenhol, ahol elérhető, még a „lényegtelennek” tűnő fiókok esetében is. A vállalatok terjesszék ki az IT-adminfiókokra alkalmazott ellenőrzések szintjét a szélesebb alkalmazotti körre is, mivel a támadók már nem húznak éles határt a privilégizált és a nem privilégizált hozzáférés között.

A zsarolóvírus-csoportok bebizonyították, hogy hajlandóak módosítani a célzási stratégiájukon, hogy kihasználják a szervezetek kockázati gondolkodásában lévő hézagokat. Mivel több alkalmazotti fiók is életképes belépési ponttá válik, a védelemmel kapcsolatos felelősség is ennek megfelelően szélesedik, az IT-részlegektől minden egyes bejelentkezési azonosítóval rendelkező személyre. A szokatlan fióktevékenységre való odafigyelés, a gyanús e-mailek azonnali jelentése, valamint a vállalati szintű biztonsági képzések támogatása egyszerű, de hatékony módjai annak, hogy segítsenek bezárni azt a rést, amelyet ezek a támadók kihasználnak.