Cosa ha scoperto il rapporto Sophos sulle identità compromesse

Un rapporto Sophos appena pubblicato fornisce un dato concreto su qualcosa che i team di sicurezza sospettano da anni: le bande ransomware non abbattono più la porta d'ingresso, entrano con una chiave rubata. Secondo i risultati, il 79% degli attacchi ransomware ha ora origine da identità compromesse, il che significa che il punto di accesso iniziale nella maggior parte dei casi è un nome utente e una password validi anziché un exploit software o un allegato dannoso.

Il rapporto evidenzia anche un netto divario nel modo in cui le organizzazioni di diverse dimensioni rispondono una volta che un attacco è iniziato. Solo il 34% delle piccole organizzazioni è riuscito a fermare un attacco prima che si verificassero crittografia o estorsione. A confronto, le organizzazioni con un numero di dipendenti compreso tra 3.001 e 5.000 hanno fermato gli attacchi nel 46% dei casi. Questo divario suggerisce che risorse, personale e maturità di rilevamento continuano a essere molto importanti, anche quando il metodo di ingresso dell'attaccante appare simile a prescindere dalle dimensioni aziendali.

Dal punto di vista geografico, il rapporto rileva che il Regno Unito ha registrato la richiesta di riscatto mediana più alta tra tutte le regioni coperte dallo studio. Sebbene la ripartizione completa delle cifre non sia stata dettagliata, questo schema rafforza una tendenza più ampia: le richieste di riscatto vengono calibrate in base alla capacità di pagamento percepita, non solo al valore dei dati stessi.

Perché la sola MFA non ferma i ransomware

Ecco il dato che dovrebbe rimodellare molti budget per la sicurezza: l'autenticazione a più fattori era implementata in qualche forma nel 97% degli incidenti in cui le credenziali compromesse erano la causa principale. In altre parole, quasi tutte le organizzazioni che hanno subito una violazione tramite credenziali rubate avevano già attiva la MFA da qualche parte nel proprio ambiente.

Questo non significa che l'MFA sia inutile. Significa che l'MFA non è una soluzione completa quando viene applicata in modo non uniforme. Le lacune di copertura, come sistemi legacy che non supportano l'autenticazione moderna, account di servizio esclusi dalle policy MFA o strumenti di accesso remoto configurati con una verifica più debole, offrono agli aggressori esattamente l'apertura di cui hanno bisogno. Un attaccante determinato non deve sconfiggere l'MFA ovunque; gli basta trovare l'unico percorso di accesso in cui non è mai stata applicata.

Questa è la tensione centrale che i dati Sophos mettono in luce. I team di sicurezza hanno passato anni a trattare l'MFA come una casella da spuntare, ma gli operatori ransomware si sono adattati andando a caccia degli account, dei sistemi e delle integrazioni che sfuggono a quella casella. Il risultato è una strategia difensiva che sulla carta appare solida ma che nella pratica presenta buchi reali.

Passi pratici di igiene dell'identità oltre l'MFA

Se la compromissione delle credenziali è il punto d'ingresso dominante, allora l'igiene dell'identità merita la stessa attenzione operativa che di solito ricevono la gestione delle patch o il rilevamento degli endpoint. Alla luce di quanto emerge dal rapporto, alcuni passi pratici spiccano:

  • Verificare la copertura MFA, non solo la sua esistenza. Assicurarsi che ogni punto di accesso remoto, account amministratore e integrazione di terze parti applichi effettivamente l'MFA, non solo la schermata di accesso principale.
  • Dare priorità all'autenticazione resistente al phishing dove possibile, poiché i tradizionali codici monouso possono ancora essere intercettati o ottenuti tramite ingegneria sociale.
  • Monitorare il riutilizzo delle credenziali e gli account obsoleti. Gli account dormienti e gli accessi condivisi sono punti ciechi comuni che gli attaccanti sfruttano molto tempo dopo che i dipendenti hanno lasciato l'azienda o cambiato ruolo.
  • Segmentare l'accesso in base al ruolo e alla necessità. Anche una credenziale compromessa è molto meno utile per un attaccante se non concede un ampio movimento laterale attraverso la rete.
  • Costruire una capacità di rilevamento e risposta più rapida, soprattutto per le organizzazioni più piccole. Il divario tra tassi di contenimento del 34% e del 46% suggerisce che la velocità di rilevamento, non solo la prevenzione, è dove i team con risorse limitate stanno perdendo terreno.

Nessuno di questi passi richiede strumenti esotici. Richiedono disciplina, visibilità e la volontà di trattare l'identità come un sistema in continua evoluzione che necessita di audit regolari, anziché come un'attività di configurazione una tantum.

Come VPN e strumenti crittografati si inseriscono in una difesa a strati

Le VPN e gli strumenti di accesso crittografato rimangono un livello utile in una strategia di protezione dell'identità più ampia, in particolare per proteggere i login remoti e ridurre l'esposizione su reti non fidate. Ma i risultati di Sophos ricordano che nessuno strumento singolo, che si tratti di una VPN, dell'MFA o della protezione degli endpoint, può sostituire una governance dell'identità coerente in tutta l'organizzazione. Gli attaccanti cercano il varco tra uno strumento e l'altro, non gli strumenti stessi.

Questo è anche un buon momento per riflettere su come i controlli di accesso e le politiche internet si intersechino in modo più ampio. Così come i governi stanno esaminando sempre più attentamente il modo in cui i provider VPN gestiscono le restrizioni di accesso, alle organizzazioni viene chiesto di esaminare come i propri strumenti di accesso sono configurati e monitorati. Comprendere come funzionano i sistemi di restrizione a strati, in modo simile a come i sistemi nazionali di censura di Internet sono costruiti con più livelli di applicazione anziché un unico gate, offre un'analogia utile per capire perché anche la difesa contro i ransomware richieda controlli multipli e sovrapposti anziché la dipendenza da una singola salvaguardia.

Cosa significa per te

Se gestisci la sicurezza IT in un'organizzazione di qualsiasi dimensione, questo rapporto è un segnale per rivedere le ipotesi. Avere l'MFA abilitata non equivale ad averla applicata ovunque sia importante. La difesa contro i ransomware basati sul furto di credenziali nel 2026 richiede di considerare l'identità come una disciplina operativa continua, non come un progetto concluso nel momento in cui l'implementazione dell'MFA è stata contrassegnata come completata.

Soprattutto per le organizzazioni più piccole, il divario nei tassi di contenimento merita di essere preso sul serio. Suggerisce che investire nella capacità di rilevamento e risposta, anche con miglioramenti modesti, può cambiare in modo significativo l'esito di un attacco che ha già ottenuto l'accesso iniziale.

Punti chiave

  • Il 79% degli attacchi ransomware parte ora da credenziali compromesse, secondo Sophos.
  • L'MFA era presente nel 97% degli incidenti ransomware basati su credenziali, a dimostrazione che le lacune di copertura, e non l'assenza di MFA, sono il vero problema.
  • Le piccole organizzazioni hanno fermato gli attacchi solo nel 34% dei casi, contro il 46% delle organizzazioni più grandi con un numero di dipendenti compreso tra 3.001 e 5.000.
  • Il Regno Unito ha registrato la richiesta di riscatto mediana più alta nel rapporto.
  • Una difesa efficace contro i ransomware basati sul furto di credenziali richiede di verificare la copertura MFA, monitorare le credenziali obsolete o riutilizzate, segmentare gli accessi e sviluppare una capacità di rilevamento più rapida, senza fare affidamento su un unico strumento di sicurezza.