Een onbeschermd eindpunt werd de zwakke schakel

Een nieuw gedocumenteerd Interlock-ransomware-incident, gemeld door Sophos, illustreert duidelijk een probleem waar beveiligingsteams al maanden op wijzen: één enkel onbeschermd eindpunt kan aanvallers alle tijd geven die ze nodig hebben om inloggegevens te stelen en zich in te graven voordat iemand het merkt. Volgens Sophos vond het incident plaats omdat een apparaat zonder eindpuntbeveiliging de Interlock-groep in staat stelde te opereren zonder de waarschuwingen te activeren die normaal gesproken verdacht gedrag op een bewaakte machine zouden signaleren.

Die lacune deed er toe. Zonder beveiligingssoftware op het eindpunt hadden de aanvallers de ruimte om langzaam en doelbewust te werk te gaan, inloggegevens te verzamelen en mechanismen in te stellen om de toegang tot het netwerk te behouden lang na de aanvankelijke inbraak. Het is een herinnering dat ransomware-operators steeds minder afhankelijk zijn van het forceren van verdedigingen en steeds meer van het in stilte verzamelen van de sleutels waarmee ze gewoon via de voordeur naar binnen kunnen lopen.

Waarom gestolen inloggegevens de echte prijs zijn

De Interlock-zaak past in een patroon dat Sophos al enige tijd documenteert. Eerder onderzoek van Sophos toonde aan dat 79% van de ransomware begint met gestolen inloggegevens, een cijfer dat onderstreept hoe centraal identiteitsdiefstal is geworden in moderne ransomware-operaties. Afzonderlijke rapportage van Sophos is nog verder gegaan en heeft gecompromitteerde logins geïdentificeerd als de belangrijkste aanvalsroute voor ransomware, waarmee softwarekwetsbaarheden zijn ingehaald als de voorkeursmethode van aanvallers.

Het Interlock-incident laat zien waarom die verschuiving vanuit het perspectief van de aanvaller logisch is. Het uitbuiten van een softwarefout vereist vaak precieze timing en kan detectiesystemen laten afgaan die zijn gebouwd om ongebruikelijke uitbuitingspogingen op te vangen. Het stelen van een geldige inloggegevens en die gebruiken om in te loggen kan daarentegen lijken op normale gebruikersactiviteit, vooral op een eindpunt zonder beschermingssoftware om de anomalie te signaleren. Eenmaal binnen hoeven aanvallers zich niet met geweld een weg door het netwerk te banen; ze kunnen zich verplaatsen met accounts die al legitieme toegang hebben.

Dit sluit ook aan bij bredere bevindingen over identiteitskwesties. In een recent rapport van Sophos bleek dat 71% van de organisaties wereldwijd in 2025 ten minste één identiteitsgerelateerd datalek heeft gehad, wat bevestigt dat diefstal van inloggegevens geen nichetechniek is die is voorbehouden aan geavanceerde actoren. Het is de standaardtoegangsstrategie geworden voor een breed scala aan ransomwaregroepen, waaronder Interlock.

Persistentie is de andere helft van het probleem

Het stelen van inloggegevens is alleen nuttig voor een aanvaller als ze die kunnen blijven gebruiken, of kunnen vervangen door een andere ingang zodra het oorspronkelijke account wordt afgesloten. Dat is het tweede element dat Sophos in dit incident benadrukte: het onbeschermde eindpunt gaf Interlock voldoende ononderbroken tijd om persistentiemechanismen in te stellen, in feite het bouwen van een achterdeur waardoor ze konden terugkeren, zelfs als de gestolen inloggegevens uiteindelijk werden ontdekt en ingetrokken.

Dit tweestapsproces – diefstal van inloggegevens gevolgd door persistentie – is wat een ingeperkt incident onderscheidt van een langdurig incident. Een organisatie die misbruik van inloggegevens snel opmerkt, kan vaak de toegang afsluiten voordat er ernstige schade ontstaat. Maar als er geen monitoring op het getroffen apparaat is, kunnen aanvallers beide stappen voltooien voordat verdedigers zelfs maar weten dat er iets mis is. Andere incidenten buiten de ransomwarewereld volgen een vergelijkbaar patroon; een enkele gecompromitteerde computer bij Plaza Home Mortgage was al genoeg om een onderzoek naar een datalek op gang te brengen waarbij socialezekerheidsnummers van klanten bloot kwamen te liggen, wat aantoont dat één zwak punt in een anderszins veilige omgeving al voldoende kan zijn.

Wat dit voor u betekent

Voor zowel gewone gebruikers als kleine organisaties is de les van het Interlock-incident niet abstract. Eindpuntbeveiliging is niet slechts een afvinklijstje voor bedrijven; het is de laag die een potentiële compromittering van weken omzet in een detectie op dezelfde dag. Als u apparaten beheert, of het nu gaat om persoonlijke laptops of een klein kantoornetwerk, is een onbeschermde machine die op gedeelde bronnen is aangesloten een risico voor iedereen op dat netwerk, niet alleen voor de eigenaar.

Hygiëne rond inloggegevens is net zo belangrijk. Het hergebruiken van wachtwoorden voor verschillende accounts, het overslaan van multi-factor authenticatie of het actief laten van oude accounts nadat iemand een organisatie heeft verlaten, geeft aanvallers allemaal meer kansen om binnen te glippen met gestolen logins in plaats van misbruik te maken van softwarebugs. Deze trend beperkt zich niet tot Interlock; hij vindt weerklank in bredere incidenten die recentelijk in het nieuws kwamen, waaronder de combinatie van Russische Zimbra-spionage en afpersing van Stadler Rail die de aandacht heeft gevestigd op hoe gevarieerd en hardnekkig deze op gestolen inloggegevens gebaseerde aanvallen zijn geworden.

Praktische stappen die de moeite waard zijn

Zorg ervoor dat elk apparaat dat verbinding maakt met gevoelige systemen, inclusief personal computers die voor thuiswerk worden gebruikt, over actieve eindpuntbeveiliging beschikt. Leg multi-factor authenticatie overal waar het wordt ondersteund verplicht op, want het vermindert de waarde van een gestolen wachtwoord. Controleer regelmatig accounts op ongebruikte of verweesde inloggegevens en houd toezicht op ongebruikelijke inlogpatronen in plaats van ervan uit te gaan dat een geldige gebruikersnaam en wachtwoord een legitieme gebruiker betekenen.

Het Interlock-incident is juist een nuttige casestudy omdat het niet exotisch is. Er was geen nieuwe exploit of een geavanceerde zero-day voor nodig. Het enige wat vereist was, was één onbeschermd eindpunt en voldoende tijd om te stelen wat op gewone inloggegevens leek. Die lacune dichten is voor de meeste organisaties goed te doen, en dat blijft een van de meest effectieve verdedigingen tegen ransomwaregroepen die duidelijk hebben besloten dat inloggegevens – niet programmacode – de gemakkelijkste weg naar binnen zijn.