Sophos: I Login Compromessi Sono Ora il Principale Punto di Ingresso del Ransomware

La Tendenza dei Login Compromessi nel Ransomware Segnala un Cambiamento nelle Tattiche degli Aggressori

Per anni, il consiglio standard per evitare il ransomware si è concentrato su una cosa: applicare le patch al software prima che gli aggressori sfruttino la vulnerabilità. Quel consiglio è ancora importante, ma non è più l'intera storia. Secondo una nuova ricerca di Sophos, phishing, attacchi di forza bruta e altre minacce basate sull'identità hanno ormai superato le vulnerabilità software come principale metodo con cui le bande di ransomware ottengono il loro primo punto d'appoggio all'interno di una rete.

Si tratta di un cambiamento significativo. Significa che anche le organizzazioni con un solido programma di applicazione delle patch possono essere ancora vulnerabili se la password di un dipendente viene rubata, indovinata o riutilizzata da una vecchia violazione di dati. Per gli utenti di Internet di tutti i giorni, il concetto è simile: le tue credenziali, non solo il tuo software, sono ora saldamente nel mirino degli aggressori.

Perché gli Attacchi Basati sull'Identità Stanno Vincendo

Le vulnerabilità software richiedono agli aggressori di trovare una falla non corretta, sviluppare o acquistare un exploit e sperare che l'obiettivo non abbia ancora aggiornato. Questo richiede tempo e competenze tecniche. I login compromessi, d'altra parte, spesso sono già presenti in database trapelati da violazioni non correlate, in attesa di essere provati contro altri servizi attraverso il credential stuffing. Le email di phishing rimangono economiche da inviare e hanno solo bisogno di ingannare una persona. Gli strumenti di forza bruta possono indovinare silenziosamente password deboli o riutilizzate 24 ore su 24.

L'avvertimento di Sophos riflette una tendenza più ampia nel settore della sicurezza: gli aggressori seguono il percorso di minor resistenza, e in questo momento quel percorso passa attraverso le credenziali umane piuttosto che il codice del server. Questo è particolarmente importante per i settori già sotto pressione. Le istituzioni finanziarie, ad esempio, hanno visto gli operatori di ransomware prendere di mira sempre più ecosistemi di fornitori e difetti del software di terze parti, e le intrusioni basate sull'identità aggiungono un ulteriore livello di rischio a tale esposizione. Una volta che un aggressore dispone di credenziali di accesso valide, può spesso muoversi attraverso una rete sembrando un utente legittimo, il che rende il rilevamento molto più difficile rispetto all'individuazione di un ovvio tentativo di exploit.

La Password È Ancora l'Anello Più Debole

La scomoda verità è che molti incidenti di ransomware non iniziano con un attacco informatico sofisticato. Iniziano con una password che è stata riutilizzata su più account, un'email di phishing che sembrava abbastanza convincente, o un login che non aveva un secondo fattore di autenticazione a proteggerlo. Gli aggressori non hanno bisogno di violare la crittografia o scrivere malware personalizzato se possono semplicemente accedere.

Ecco perché l'igiene dell'identità è diventata importante quanto gli aggiornamenti software. Una singola password compromessa, specialmente se riutilizzata tra account di lavoro e personali, può fornire a un aggressore un punto d'ingresso dall'aspetto legittimo che aggira molti strumenti di sicurezza tradizionali progettati per catturare malware o tentativi di exploit.

Cosa Significa Questo Per Te

Se sei un utente individuale, questo cambiamento nei punti di ingresso del ransomware è un promemoria che le tue abitudini di sicurezza personali si propagano verso l'esterno. Password deboli o riutilizzate, specialmente quelle legate a email di lavoro o account cloud, possono diventare l'apertura di cui un aggressore ha bisogno, che l'obiettivo sia tu personalmente o un'organizzazione a cui sei connesso.

La buona notizia è che le difese contro gli attacchi basati sull'identità sono ben comprese e accessibili a chiunque:

• Usa un gestore di password per generare e memorizzare password uniche e complesse per ogni account, eliminando il rischio di riutilizzo delle credenziali.
• Abilita l'autenticazione a più fattori (MFA) ovunque sia offerta. Anche se una password viene rubata, l'MFA può impedire a un aggressore di accedere.
• Verifica l'esposizione a violazioni utilizzando servizi affidabili di monitoraggio delle violazioni per sapere quando una password deve essere cambiata immediatamente.
• Sii scettico riguardo a richieste di login o email inaspettate che chiedono di verificare le credenziali, un segno distintivo dei tentativi di phishing progettati per raccogliere login.
• Considera l'uso di una VPN su reti pubbliche o non fidate, che riduce il rischio che il tuo traffico di login venga intercettato, specialmente su Wi-Fi non protetti dove il furto di credenziali è più facile.

Stare al Passo con la Minaccia

I gruppi di ransomware si adattano rapidamente e il passaggio verso attacchi basati sull'identità dimostra che stanno prendendo di mira la debolezza più facilmente disponibile piuttosto che quella tecnicamente più impressionante. Quella debolezza, in molti casi, è una password che non è stata cambiata da anni o un account senza MFA abilitato.

Il cambiamento descritto da Sophos non significa che l'applicazione delle patch software non sia più importante. Lo è. Ma conferma che la sicurezza delle credenziali merita pari attenzione. Rafforzare le password, abilitare l'MFA e rimanere vigili contro i tentativi di phishing non sono più extra opzionali; sono difese fondamentali contro il modo più comune con cui il ransomware riesce effettivamente ad entrare oggi.

Adottare queste misure ora, prima che una notifica di violazione arrivi nella tua casella di posta, è il modo più efficace per stare un passo avanti agli aggressori che scommettono sempre più sui login rubati piuttosto che sui difetti del software.