Wat het Sophos-rapport ontdekte over gecompromitteerde identiteiten

Een nieuw gepubliceerd rapport van Sophos plakt een hard cijfer op iets wat beveiligingsteams al jaren vermoeden: ransomwarebendes breken niet langer de voordeur open, ze lopen naar binnen met een gestolen sleutel. Volgens de bevindingen begint 79% van de ransomware-aanvallen nu met gecompromitteerde identiteiten, wat betekent dat het eerste toegangspunt in de meeste gevallen een geldige gebruikersnaam en wachtwoord is, in plaats van een softwarelek of een kwaadaardige bijlage.

Het rapport benadrukt ook een scherpe kloof in hoe organisaties van verschillende grootte reageren zodra een aanval begint. Slechts 34% van de kleine organisaties slaagde erin een aanval te stoppen voordat versleuteling of afpersing plaatsvond. Vergelijk dat met organisaties met 3.001 tot 5.000 werknemers, die aanvallen in 46% van de gevallen stopten. Die kloof suggereert dat middelen, personeel en volwassenheid van detectie nog steeds een groot verschil maken, zelfs wanneer de toegangsmethode van de aanvaller er over bedrijfsgroottes heen hetzelfde uitziet.

Geografisch gezien noteert het rapport dat het VK de hoogste mediane losgeldeis noteerde van alle regio's die in het onderzoek zijn opgenomen. Hoewel de volledige cijferuitsplitsing niet werd gedetailleerd, versterkt het patroon een bredere trend: losgeldeisen worden afgestemd op het vermeende betaalvermogen, niet alleen op de waarde van de data zelf.

Waarom MFA alleen ransomware niet stopt

Hier is de bevinding die veel beveiligingsbudgetten zou moeten hervormen: multi-factor authenticatie was in enige mate ingezet in 97% van de incidenten waarbij gecompromitteerde inloggegevens de hoofdoorzaak waren. Met andere woorden, bijna elke organisatie die werd geschonden via gestolen inloggegevens had al ergens in hun omgeving MFA ingeschakeld.

Dit betekent niet dat MFA nutteloos is. Het betekent dat MFA geen complete oplossing is als het inconsistent wordt toegepast. Dekkingshiaten, zoals legacy-systemen die geen moderne authenticatie ondersteunen, serviceaccounts die zijn uitgesloten van MFA-beleid, of tools voor externe toegang die zijn geconfigureerd met zwakkere verificatie, geven aanvallers precies de opening die ze nodig hebben. Een vastberaden aanvaller hoeft MFA niet overal te verslaan; hij hoeft alleen die ene inlogroute te vinden waar het nooit werd afgedwongen.

Dit is de kernspanning die de Sophos-data blootleggen. Beveiligingsteams hebben jarenlang MFA behandeld als een afvinkoefening, maar ransomware-operators hebben zich aangepast door te jagen op de accounts, systemen en integraties die buiten dat vinkje vallen. Het resultaat is een verdedigingsstrategie die op papier sterk lijkt, maar in de praktijk echte gaten heeft.

Praktische stappen voor identiteitshygiëne voorbij MFA

Als het compromitteren van inloggegevens het dominante toegangspunt is, dan verdient identiteitshygiëne dezelfde operationele aandacht die patchbeheer of eindpuntdetectie doorgaans krijgen. Een paar praktische stappen springen eruit op basis van de implicaties van het rapport:

  • Controleer MFA-dekking, niet alleen de aanwezigheid van MFA. Bevestig dat elk extern toegangspunt, admin-account en integratie van derden MFA daadwerkelijk afdwingt, niet alleen het primaire inlogscherm.
  • Geef waar mogelijk prioriteit aan phishing-bestendige authenticatie, aangezien traditionele eenmalige codes nog steeds kunnen worden onderschept of via social engineering buitgemaakt.
  • Monitor op hergebruik van inloggegevens en verouderde accounts. Slapende accounts en gedeelde logins zijn veelvoorkomende blinde vlekken die aanvallers misbruiken lang nadat werknemers zijn vertrokken of van rol zijn veranderd.
  • Segmenteer toegang op basis van rol en noodzaak. Zelfs een gecompromitteerde inloggegevens is veel minder nuttig voor een aanvaller als deze geen brede laterale beweging over het netwerk toestaat.
  • Bouw snellere detectie- en responscapaciteit op, vooral voor kleinere organisaties. De kloof tussen 34% en 46% in indammingspercentages suggereert dat snelheid van detectie, niet alleen preventie, de plek is waar teams met beperkte middelen terrein verliezen.

Geen van deze stappen vereist exotische tools. Ze vereisen discipline, zichtbaarheid en de bereidheid om identiteit te behandelen als een levend systeem dat regelmatige auditing nodig heeft in plaats van een eenmalige installatietaak.

Waar versleutelde tools en VPN’s passen in gelaagde verdediging

VPN’s en versleutelde toegangstools blijven een nuttige laag in een bredere strategie voor identiteitsbescherming, met name voor het beveiligen van externe logins en het verminderen van blootstelling op onvertrouwde netwerken. Maar de bevindingen van Sophos herinneren ons eraan dat geen enkel afzonderlijk hulpmiddel, of het nu een VPN, MFA of eindpuntbeveiliging is, consequente identiteitsgovernance over een hele organisatie kan vervangen. Aanvallers zoeken naar de kloof tussen tools, niet naar de tools zelf.

Dit is ook een goed moment om na te denken over hoe toegangscontroles en internetbeleid breder met elkaar verweven zijn. Net zoals overheden steeds kritischer kijken naar hoe VPN-aanbieders omgaan met toegangsbeperkingen, worden organisaties gevraagd te onderzoeken hoe hun eigen toegangstools zijn geconfigureerd en gemonitord. Begrijpen hoe gelaagde restrictiesystemen werken, vergelijkbaar met hoe nationale internetcensuursystemen zijn opgebouwd uit meerdere handhavingslagen in plaats van één enkele poort, biedt een nuttige analogie voor waarom ransomware-verdediging ook meerdere, overlappende controles vereist in plaats van vertrouwen op één enkele waarborg.

Wat dit voor u betekent

Als u IT-beveiliging beheert bij een organisatie van welke omvang dan ook, dan is dit rapport een signaal om aannames opnieuw te bekijken. MFA ingeschakeld hebben is niet hetzelfde als MFA overal afdwingen waar het ertoe doet. Verdediging tegen ransomware door diefstal van inloggegevens vereist in 2026 dat identiteit wordt behandeld als een doorlopende operationele discipline, niet als een project dat is afgerond toen de MFA-uitrol als voltooid werd gemarkeerd.

Vooral voor kleinere organisaties is de kloof in indammingspercentage het overwegen waard. Het suggereert dat investering in detectie- en responscapaciteit, zelfs bescheiden verbeteringen, de uitkomst van een aanval die al initiële toegang heeft verkregen, zinvol kan veranderen.

Belangrijkste conclusies

  • 79% van de ransomware-aanvallen begint nu met gecompromitteerde inloggegevens, volgens Sophos.
  • MFA was aanwezig in 97% van de op inloggegevens gebaseerde ransomware-incidenten, wat aantoont dat dekkingshiaten, niet de afwezigheid van MFA, het echte probleem zijn.
  • Kleine organisaties stopten aanvallen slechts 34% van de tijd, vergeleken met 46% voor grotere organisaties met 3.001 tot 5.000 werknemers.
  • Het VK noteerde de hoogste mediane losgeldeis in het rapport.
  • Effectieve verdediging tegen ransomware door diefstal van inloggegevens vereist het controleren van MFA-dekking, monitoren op verouderde of hergebruikte inloggegevens, segmenteren van toegang en het opbouwen van snellere detectiecapaciteit, zonder te vertrouwen op één enkel beveiligingshulpmiddel.