Temuan Laporan Sophos tentang Identitas yang Disusupi

Laporan terbaru Sophos menegaskan dengan angka pasti sesuatu yang telah dicurigai oleh tim keamanan selama bertahun-tahun: geng ransomware tidak lagi mendobrak pintu depan, mereka masuk menggunakan kunci yang dicuri. Menurut temuan tersebut, 79% serangan ransomware kini berasal dari identitas yang disusupi, artinya titik akses awal pada sebagian besar kasus adalah nama pengguna dan kata sandi yang sah, bukan eksploitasi perangkat lunak atau lampiran berbahaya.

Laporan ini juga menyoroti kesenjangan mencolok dalam cara organisasi dengan ukuran berbeda merespons begitu serangan dimulai. Hanya 34% organisasi kecil yang berhasil menghentikan serangan sebelum enkripsi atau pemerasan terjadi. Bandingkan dengan organisasi yang memiliki 3.001 hingga 5.000 karyawan, yang menghentikan serangan sebanyak 46% dari waktu. Kesenjangan itu menunjukkan bahwa sumber daya, staf, dan kematangan deteksi masih sangat berarti, bahkan ketika metode masuk penyerang terlihat serupa di berbagai ukuran perusahaan.

Secara geografis, laporan mencatat bahwa Inggris mencatat permintaan tebusan median tertinggi dari semua wilayah yang tercakup dalam studi. Meskipun rincian angka lengkap tidak diuraikan, pola tersebut memperkuat tren yang lebih luas: permintaan tebusan dikalibrasi berdasarkan kemampuan yang dipersepsikan untuk membayar, bukan hanya nilai data itu sendiri.

Mengapa MFA Saja Tidak Menghentikan Ransomware

Inilah temuan yang seharusnya mengubah banyak anggaran keamanan: autentikasi multi-faktor diterapkan dalam kapasitas tertentu di 97% insiden di mana kredensial yang dicuri adalah akar penyebabnya. Dengan kata lain, hampir setiap organisasi yang dibobol melalui kredensial curian sudah mengaktifkan MFA di suatu tempat di lingkungan mereka.

Ini tidak berarti MFA tidak berguna. Ini berarti MFA bukanlah solusi lengkap ketika diterapkan secara tidak konsisten. Celah cakupan, seperti sistem lawas yang tidak mendukung autentikasi modern, akun layanan yang dikecualikan dari kebijakan MFA, atau alat akses jarak jauh yang dikonfigurasi dengan verifikasi yang lebih lemah, memberi penyerang celah yang mereka butuhkan. Penyerang yang gigih tidak perlu mengalahkan MFA di mana-mana; mereka hanya perlu menemukan satu jalur masuk di mana MFA tidak pernah diberlakukan.

Inilah ketegangan inti yang diungkap oleh data Sophos. Tim keamanan telah bertahun-tahun memperlakukan MFA sebagai kotak centang, tetapi operator ransomware telah beradaptasi dengan memburu akun, sistem, dan integrasi yang berada di luar kotak centang itu. Hasilnya adalah strategi pertahanan yang terlihat kuat di atas kertas, tetapi memiliki lubang nyata dalam praktiknya.

Langkah-langkah Higiene Identitas Praktis di Luar MFA

Jika kompromi kredensial adalah titik masuk utama, maka higiene identitas layak mendapatkan perhatian operasional yang sama seperti manajemen tambalan atau deteksi titik akhir yang biasanya didapatkan. Beberapa langkah praktis menonjol berdasarkan implikasi laporan:

  • Audit cakupan MFA, bukan hanya keberadaan MFA. Konfirmasi bahwa setiap titik akses jarak jauh, akun admin, dan integrasi pihak ketiga benar-benar memberlakukan MFA, bukan hanya layar login utama.
  • Prioritaskan autentikasi tahan phishing jika memungkinkan, karena kode sekali pakai tradisional masih dapat dicegat atau direkayasa secara sosial.
  • Pantau penggunaan ulang kredensial dan akun usang. Akun tidak aktif dan login bersama adalah titik buta umum yang dieksploitasi penyerang lama setelah karyawan pindah atau berganti peran.
  • Segmentasikan akses berdasarkan peran dan kebutuhan. Bahkan kredensial yang disusupi menjadi jauh kurang berguna bagi penyerang jika tidak memberikan gerakan lateral yang luas di seluruh jaringan.
  • Bangun kapasitas deteksi dan respons yang lebih cepat, terutama untuk organisasi kecil. Kesenjangan antara tingkat keberhasilan pengendalian 34% dan 46% menunjukkan bahwa kecepatan deteksi, bukan hanya pencegahan, adalah area di mana tim dengan sumber daya terbatas kehilangan pijakan.

Tidak satu pun langkah ini memerlukan alat yang eksotis. Mereka membutuhkan disiplin, visibilitas, dan kemauan untuk memperlakukan identitas sebagai sistem hidup yang memerlukan audit rutin, bukan tugas penyiapan satu kali.

Bagaimana Alat Terenkripsi dan VPN Cocok dalam Pertahanan Berlapis

VPN dan alat akses terenkripsi tetap menjadi lapisan yang berguna dalam strategi perlindungan identitas yang lebih luas, terutama untuk mengamankan login jarak jauh dan mengurangi paparan pada jaringan yang tidak tepercaya. Namun, temuan Sophos adalah pengingat bahwa tidak ada satu alat pun, entah itu VPN, MFA, atau perlindungan titik akhir, yang dapat menggantikan tata kelola identitas yang konsisten di seluruh organisasi. Penyerang mencari celah di antara alat, bukan alat itu sendiri.

Ini juga saat yang tepat untuk memikirkan bagaimana kontrol akses dan kebijakan internet saling beririsan secara lebih luas. Sama seperti pemerintah yang semakin meneliti bagaimana penyedia VPN menangani pembatasan akses, organisasi diminta untuk meneliti bagaimana alat akses mereka sendiri dikonfigurasi dan dipantau. Memahami cara kerja sistem pembatasan berlapis, serupa dengan bagaimana sistem penyensoran internet nasional dibangun dengan beberapa lapisan penegakan alih-alih satu gerbang tunggal, menawarkan analogi yang berguna untuk mengapa pertahanan ransomware juga memerlukan banyak kontrol yang tumpang tindih, bukan bertumpu pada satu perlindungan saja.

Apa Artinya Bagi Anda

Jika Anda mengelola keamanan TI di organisasi dalam ukuran apa pun, laporan ini adalah sinyal untuk meninjau kembali asumsi. Mengaktifkan MFA tidak sama dengan memberlakukan MFA di mana pun yang penting. Pertahanan ransomware berbasis pencurian kredensial pada tahun 2026 memerlukan perlakuan identitas sebagai disiplin operasional yang berkelanjutan, bukan proyek yang selesai begitu peluncuran MFA ditandai rampung.

Bagi organisasi yang lebih kecil khususnya, kesenjangan tingkat keberhasilan penahahan patut ditanggapi dengan serius. Ini menunjukkan bahwa investasi dalam kemampuan deteksi dan respons, bahkan peningkatan yang moderat, dapat secara berarti mengubah hasil dari serangan yang telah mendapatkan akses awal.

Poin Penting

  • 79% serangan ransomware kini dimulai dengan kredensial yang dicuri, menurut Sophos.
  • MFA ada di 97% insiden ransomware berbasis kredensial, menunjukkan bahwa celah cakupan, bukan ketiadaan MFA, adalah masalah sebenarnya.
  • Organisasi kecil menghentikan serangan hanya 34% dari waktu, dibandingkan dengan 46% untuk organisasi yang lebih besar dengan 3.001 hingga 5.000 karyawan.
  • Inggris mencatat permintaan tebusan median tertinggi dalam laporan tersebut.
  • Pertahanan ransomware pencurian kredensial yang efektif memerlukan audit cakupan MFA, pemantauan terhadap kredensial usang atau digunakan ulang, segmentasi akses, dan membangun kapasitas deteksi yang lebih cepat, alih-alih hanya mengandalkan satu alat keamanan tunggal.