Mit talált a Sophos-jelentés a kompromittált identitásokról

A frissen publikált Sophos-jelentés kemény számot ad arra, amit a biztonsági csapatok évek óta gyanítottak: a zsarolóvírus-bűnözők már nem törik be a bejárati ajtót, hanem ellopott kulccsal sétálnak be. Az eredmények szerint a zsarolóvírus-támadások 79%-a kompromittált identitásokból indul ki, vagyis a legtöbb esetben a kezdeti belépési pont egy érvényes felhasználónév és jelszó, nem pedig szoftveres kihasználás vagy rosszindulatú csatolmány.

A jelentés rávilágít arra a jelentős különbségre is, ahogyan a különböző méretű szervezetek reagálnak, miután a támadás elindul. A kis szervezetek mindössze 34%-ának sikerült megállítania a támadást a titkosítás vagy a zsarolás bekövetkezése előtt. Ehhez képest a 3001–5000 alkalmazottat foglalkoztató szervezetek 46%-ban állították meg a támadásokat. Ez a különbség arra utal, hogy az erőforrások, a személyzet és az észlelési érettség továbbra is sokat számítanak, még akkor is, ha a támadók belépési módja hasonló a különböző vállalatméreteknél.

Földrajzi szempontból a jelentés megjegyzi, hogy az Egyesült Királyságban jegyezték fel a legmagasabb medián váltságdíj-követelést a vizsgált régiók közül. Bár a részletes számadatok nem kerültek részletezésre, a minta egy szélesebb tendenciát erősít: a váltságdíj-követeléseket a vélt fizetőképesség alapján kalibrálják, nem csupán az adatok értéke alapján.

Miért nem állítja meg önmagában az MFA a zsarolóvírusokat

Itt az a megállapítás, amely sok biztonsági költségvetés átformálásához vezethet: a többfaktoros hitelesítés (MFA) valamilyen formában az esetek 97%-ában be volt vezetve, ahol a kompromittált hitelesítő adatok voltak a kiváltó ok. Más szóval, szinte minden olyan szervezetnél, amelyet ellopott hitelesítő adatok révén értek el, már be volt kapcsolva az MFA valahol a környezetükben.

Ez nem azt jelenti, hogy az MFA haszontalan. Azt jelenti, hogy az MFA nem teljes megoldás, ha következetlenül alkalmazzák. A lefedettség hiányosságai, például olyan régi rendszerek, amelyek nem támogatják a modern hitelesítést, az MFA-szabályzatokból kizárt szolgáltatásfiókok, vagy a gyengébb ellenőrzéssel konfigurált távoli hozzáférési eszközök pontosan azt a nyílást adják a támadóknak, amire szükségük van. Egy elszánt támadónak nem kell mindenhol legyőznie az MFA-t; elég megtalálnia azt az egyetlen bejelentkezési utat, ahol soha nem volt érvényesítve.

Ez az a feszültség, amit a Sophos adatai feltárnak. A biztonsági csapatok éveken át pipálható négyzetként kezelték az MFA-t, de a zsarolóvírus-üzemeltetők alkalmazkodtak, és most azokra a fiókokra, rendszerekre és integrációkra vadásznak, amelyek kívül esnek ezen a négyzeten. Az eredmény egy olyan védelmi stratégia, amely papíron erősnek tűnik, de a gyakorlatban valódi hézagokkal rendelkezik.

Gyakorlati identitáshigiéniai lépések az MFA-n túl

Ha a hitelesítő adatok kompromittálódása a domináns belépési pont, akkor az identitáshigiénia ugyanazt a működési figyelmet érdemli, mint amit a javításkezelés vagy a végpont-észlelés általában kap. Néhány gyakorlati lépés kiemelkedik a jelentés következtetései alapján:

  • Az MFA-lefedettség ellenőrzése, ne csak az MFA meglétéé. Győződjön meg arról, hogy minden távoli hozzáférési pont, rendszergazdai fiók és külső fél integrációja ténylegesen érvényesíti az MFA-t, ne csak az elsődleges bejelentkezési képernyőn.
  • Előnyben részesíteni az adathalászatnak ellenálló hitelesítést ahol lehetséges, mivel a hagyományos egyszer használatos kódokat még mindig el lehet fogni vagy közösségi manipulációval megszerezni.
  • Figyelni a hitelesítő adatok újrafelhasználását és az elavult fiókokat. A nem használt fiókok és a megosztott bejelentkezések gyakori vakfoltok, amelyeket a támadók kihasználnak, jóval azután, hogy az alkalmazottak továbbléptek vagy szerepet váltottak.
  • A hozzáférést szerep és szükségesség szerint szegmentálni. Még egy kompromittált hitelesítő adat is sokkal kevésbé hasznos a támadó számára, ha nem teszi lehetővé a széles körű oldalirányú mozgást a hálózaton belül.
  • Gyorsabb észlelési és reagálási képesség kiépítése, különösen a kis szervezetek számára. A 34%-os és 46%-os megfékezési arány közötti különbség arra utal, hogy az észlelés sebessége, nem csupán a megelőzés az a pont, ahol az erőforrás-hiányos csapatok területet veszítenek.

Egyik lépés sem igényel egzotikus eszközöket. Fegyelmet, láthatóságot és hajlandóságot igényelnek arra, hogy az identitást élő rendszerként kezeljük, amely rendszeres auditálást igényel, nem pedig egyszeri beállítási feladatként.

Hogyan illeszkednek a titkosított eszközök és a VPN-ek a többrétegű védelembe

A VPN-ek és a titkosított hozzáférési eszközök továbbra is hasznos réteget képeznek egy szélesebb identitásvédelmi stratégiában, különösen a távoli bejelentkezések biztosítására és a biztonsági kitettség csökkentésére nem megbízható hálózatokon. De a Sophos megállapításai emlékeztetnek arra, hogy egyetlen eszköz sem – legyen az VPN, MFA vagy végpontvédelem – helyettesítheti a következetes identitásirányítást az egész szervezetben. A támadók az eszközök közötti hézagokat keresik, nem magukat az eszközöket.

Ez egy jó alkalom arra is, hogy átgondoljuk, hogyan kapcsolódnak össze tágabb értelemben a hozzáférés-szabályozás és az internetes irányelvek. Ahogy a kormányok egyre inkább vizsgálják, hogy a VPN-szolgáltatók hogyan kezelik a hozzáférési korlátozásokat, a szervezeteket is arra kérik, hogy vizsgálják meg, hogyan vannak konfigurálva és monitorozva a saját hozzáférési eszközeik. Ha megértjük, hogy a többrétegű korlátozási rendszerek hogyan működnek – hasonlóan ahhoz, ahogy a nemzeti internet-cenzúrarendszerek több végrehajtási réteggel épülnek fel egyetlen kapu helyett –, hasznos analógiát kínál arra, hogy a zsarolóvírusok elleni védelemhez is miért van szükség több, egymást átfedő ellenőrzésre, nem pedig egyetlen biztonsági intézkedésre hagyatkozni.

Mit jelent ez Önnek

Ha Ön bármilyen méretű szervezetnél az informatikai biztonságot kezeli, ez a jelentés jelzés arra, hogy vizsgálja felül a feltételezéseit. Az MFA bekapcsolása nem ugyanaz, mint az MFA kikényszerítése minden olyan helyen, ahol számít. A hitelesítő adatok ellopásán alapuló zsarolóvírusok elleni védelem 2026-ban megköveteli, hogy az identitást folyamatos működési fegyelemként kezeljük, ne pedig lezárt projektként, miután az MFA bevezetését késznek jelöltük.

Különösen a kisebb szervezetek számára érdemes komolyan venni a megfékezési aránybeli különbséget. Ez arra utal, hogy az észlelési és reagálási képességbe történő beruházás – akár szerény fejlesztések is – érdemben megváltoztathatja a már kezdeti hozzáférést nyert támadás kimenetelét.

Főbb tanulságok

  • A Sophos szerint a zsarolóvírus-támadások 79%-a ellopott hitelesítő adatokkal kezdődik.
  • Az MFA jelen volt a hitelesítő adatokon alapuló zsarolóvírus-esetek 97%-ában, ami azt mutatja, hogy a valódi probléma a lefedettség hiányosságaiban rejlik, nem az MFA hiányában.
  • A kis szervezetek csak az esetek 34%-ában állították meg a támadásokat, szemben a 3001–5000 alkalmazottat foglalkoztató nagyobb szervezetek 46%-os arányával.
  • Az Egyesült Királyságban jegyezték fel a legmagasabb medián váltságdíj-követelést a jelentésben.
  • A hitelesítő adatok ellopásán alapuló zsarolóvírusok elleni hatékony védelem megköveteli az MFA-lefedettség auditálását, az elavult vagy újrahasznált hitelesítő adatok figyelését, a hozzáférés szegmentálását és a gyorsabb észlelési képesség kiépítését, nem pedig egyetlen biztonsági eszközre hagyatkozást.