KnowBe4: Ransomware skifter til identitetstyveri, ikke bare kryptering

Ransomware handler ikke lenger bare om kryptering

I årevis har standardrådet for å bekjempe ransomware dreid seg om én ting: sikkerhetskopier dataene dine slik at du aldri trenger å betale løsepenger. Det rådet betyr fortsatt noe, men ifølge en ny analyse fra selskapet KnowBe4, som driver sikkerhetsbevissthetsopplæring, fanger det ikke lenger hele bildet av hvordan moderne ransomware-operasjoner faktisk fungerer.

Ransomware har utviklet seg til det KnowBe4 beskriver som en forretningsavbruddsmodell – en modell som bygger mindre på rå malware og mer på stjålne identiteter og sosial manipulering. I stedet for bare å låse filer og kreve betaling for en dekrypteringsnøkkel, fokuserer angripere i økende grad på å komme seg inn i en organisasjon ved hjelp av legitime, stjålne legitimasjonsopplysninger, og deretter bruke den betrodde tilgangen til å forårsake maksimal operasjonell skade før noen legger merke til det.

Dette skiftet betyr like mye for personvern som for IT-sikkerhet. Når ransomware-grupper stjeler identiteter for å bryte seg inn, blir personopplysningene knyttet til disse identitetene – ansattes påloggingsinformasjon, kunderegistre, intern kommunikasjon – en del av angrepsoverflaten. Et ransomware-angrep i dag er sjelden bare en krypteringshendelse; det er ofte også en dataeksponeringshendelse.

Hvorfor stjålne identiteter er den nye inngangsporten

Det tradisjonelle bildet av et ransomware-angrep involverer en ondsinnet e-postvedlegg eller en sårbar, oppdateringsløs server. Disse vektorene har ikke forsvunnet, men de blir i økende grad supplert med – eller erstattet av – enklere taktikker: phishing for legitimasjon, å lure helpdesk til å tilbakestille passord, eller å utnytte svake flerfaktorautentiseringsløsninger for å få tilgang som en betrodd bruker.

Når de først er inne, trenger ikke angriperne å "hacke" noe i tradisjonell forstand. De logger inn som en hvilken som helst annen ansatt, beveger seg stille gjennom nettverket, og identifiserer systemene og dataene der avbrudd vil forårsake mest smerte – og dermed størst innflytelse for et løsepengekrav. Dette er hva KnowBe4 mener med å beskrive ransomware som en forretningsavbruddsmodell: målet er ikke bare å kryptere data, det er å få en organisasjons operasjoner til å stanse helt opp til betaling er utført.

Denne tilnærmingen gjenspeiler det som har blitt observert i økosystemet for ransomware-som-en-tjeneste mer bredt. Grupper som operasjonen beskrevet i vår dekning av LockBit 5.0 og livet etter Operation Cronos viser hvordan ransomware-tilknyttede aktører har profesjonalisert sine operasjoner, og behandler hvert angrep mindre som et knusing-og-stjel-opplegg og mer som en kalkulert forretningsforhandling, komplett med pressmidler og omdømmetrusler.

Å tenke nytt om ransomware-forsvar for en identitetsfokusert trussel

Hvis identitetstyveri og sosial manipulering nå er den primære måten ransomware får fotfeste på, så adresserer forsvar som utelukkende er bygget rundt nettverksperimeter-sikkerhet og antivirusverktøy gårsdagens problem. KnowBe4s rammeverk antyder at organisasjoner må behandle identitetsverifisering og menneskelig atferd som kjernekomponenter i ransomware-forsvaret, ikke noe man tenker på i etterkant.

I praksis betyr dette sterkere identitetsverifiseringsprosesser for passordtilbakestillinger og kontogjenoppretting, phishing-resistent flerfaktorautentisering i stedet for SMS-koder som lett kan omgås, og kontinuerlig opplæring av ansatte som behandler sosial manipulering som en aktiv, utviklende trussel heller enn en engangsoppgave for etterlevelse. Sikkerhetskopier og nettverkssegmentering forblir essensielle, men de er nå den andre forsvarslinjen i stedet for den første.

Innsatsen rundt dette skiftet trekker også oppmerksomhet på politisk nivå. Som vi har rapportert, vurderer myndigheter et forbud mot løsepengebetaling midt i AI-drevne angrep, et tegn på at reguleringsmyndigheter erkjenner at den nåværende forsvarsmodellen – betal for å få problemet til å forsvinne – ikke er bærekraftig ettersom angrep blir raskere og mer overbevisende.

Hva dette betyr for deg

Enten du er en IT-beslutningstaker eller bare noen hvis arbeidsgiver oppbevarer dine personopplysninger, har denne utviklingen i ransomware-taktikk reelle konsekvenser. Hvis angripere kommer seg inn ved å stjele identiteter i stedet for å utnytte programvarefeil, så påvirker sikkerheten til dine egne påloggingsdetaljer – og hvor nøye organisasjonen din verifiserer identitet før tilgang gis – direkte hvor sårbar organisasjonen er for et kostbart avbrudd.

For enkeltpersoner forsterker dette et kjent, men stadig mer presserende poeng: Gjenbrukte passord, svak MFA og avslappede svar på uventede passordtilbakestillingsforespørsler er ikke bare personlige risikoer – de er potensielle inngangsporter for angrep som kan spre seg og påvirke tusenvis av menneskers data. For bedrifter betyr det at ransomware-forsvar må forstås som et identitets- og menneskelig atferdsproblem i like stor grad som et teknisk problem.

Handlingsrettede tiltak

• Aktiver phishing-resistent flerfaktorautentisering der det er mulig, og unngå å stole utelukkende på SMS-baserte koder.
• Vær skeptisk til uventede passordtilbakestillings- eller kontoverifiseringsforespørsler, selv de som ser ut til å komme fra interne helpdesker.
• Organisasjoner bør revidere hvordan identitetsverifisering fungerer for kontogjenoppretting, siden dette er en stadig vanligere inngangsport for ransomware.
• Behandle regelmessig sikkerhetsbevissthetsopplæring som en løpende nødvendighet, ikke en engangsavkrysning, siden sosial manipulering utvikler seg raskt.
• Oppretthold offline, testede sikkerhetskopier som en andre forsvarslinje, med forståelse for at det å stoppe identitetsbaserte inntrengninger betyr like mye som å gjenopprette etter kryptering.

Ransomwares utvikling til en identitetsdrevet forretningsavbruddsmodell betyr ikke at kampen er uvinbar. Det betyr at kampen har flyttet seg. Forsvar som en gang fokuserte snevert på malware og sikkerhetskopier må nå ta høyde for hvor enkelt en stjålet identitet kan åpne døren til et helt nettverk – og det starter med å behandle identitetssikkerhet som uatskillelig fra ransomware-forsvaret i seg selv.