Løsepengevirus logger nå inn: 4 av 5 angrep starter med stjålne ID-er

Fire av fem løsepengeangrep starter i dag på samme måte: med noens identitet, ikke serverne deres. Denne ene statistikken, rapportert av The Manila Times, fanger et skifte som har bygget seg opp i årevis, men som nå er umulig å ignorere. Angripere kappløper ikke lenger om å finne en upusset server eller et null-dagers angrep. De logger seg rett og slett inn, med brukernavn og passord som er fisket, kjøpt eller lekket, og spaserer inn gjennom inngangsdøren som enhver annen autorisert bruker.

Dette skiftet er viktig fordi det endrer hva «sikkerhet» faktisk betyr for de fleste organisasjoner og enkeltpersoner. En brannmur kan ikke stoppe noen som har et gyldig brukernavn og passord. En oppdatert server hjelper ikke hvis angriperen aldri trengte å utnytte den. Legitimasjonsbaserte løsepengeangrep har flyttet slagmarken fra nettverksinfrastruktur til menneskelig identitet, og det betyr at forsvaret som teller mest også har endret seg.

Hvorfor identitet, ikke infrastruktur, er den nye inngangsporten for løsepengevirus

I årevis var forsvarsstrategien mot løsepengevirus sentrert rundt infrastruktur: oppdater serverne, segmenter nettverket, overvåk for inntrenging. Disse forsvarsverkene teller fortsatt, men de adresserer en trusselmodell som i økende grad er utdatert. Når fire av fem angrep begynner med en innlogging i stedet for et innbrudd, endres kalkylen. Angripere har innsett at legitimasjon er billigere, raskere og langt mindre sannsynlig å utløse alarmer enn en teknisk utnyttelse.

Phishing-sett, verktøy for credential stuffing og infostealer-skadevare har gjort innsamling av innloggingsdetaljer til en lavinnsats, høytbelønnet virksomhet. Kombiner det med det enorme antallet passord som gjenbrukes på tvers av private og jobbrelaterte kontoer, og angripere har en jevn tilførsel av fungerende legitimasjon uten noen gang å røre en brannmur. Når de først er inne, ser de ikke ut som inntrengere. De ser ut som ansatte, kontraktører eller administratorer som gjør jobben sin, noe som nettopp er grunnen til at denne tilnærmingen er så effektiv.

Hvordan stjålet legitimasjon omgår tradisjonelle sikkerhetsforsvar

Tradisjonelle sikkerhetsverktøy er bygget for å oppdage anomalier: uvanlig trafikkmønster, uautoriserte tilgangsforsøk, skadevaresignaturer. En gyldig innlogging med ekte legitimasjon utløser de fleste av disse varslingene. Endepunktdeteksjonssystemer, inntrengingsforebyggende verktøy og til og med godt konfigurerte brannmurer er designet for å stoppe angripere som prøver å bryte seg inn. De er langt mindre effektive mot noen som bare bruker en nøkkel som ble overrakt dem, selv om den nøkkelen var stjålet.

Dette er en del av grunnen til at løsepengeoperasjoner har blitt så raske når de først får tilgang. Rapportering om Spirals løsepengeoperasjon viste at angripere krypterte et hel offers miljø på under 24 timer etter førstegangs tilgang. Når inntrengning ikke krever utnyttelse av et sårbarhet, går mer tid og ressurser rett inn i skadefasen. Det samme mønsteret dukker opp i angrep knyttet til CVE-2026-0257, en feil i autentiseringsomgåelse i Palo Alto-brannmurer utnyttet av Qilin-løsepengeaktører, der kompromittert autentisering, ikke brute-force-hacking, ga angriperne det fotfestet de trengte.

Flerfaktorautentisering og passordbehandlere som første forsvarslinje

Gitt at stjålet legitimasjon er den primære inngangsporten, er de mest effektive forsvarene de som gjør et stjålet passord mindre nyttig alene. Flerfaktorautentisering (MFA) er det tydeligste eksemplet. Selv om et passord blir kompromittert gjennom phishing eller et datainnbrudd, krever MFA et andre verifiseringstrinn, som en kode fra en autentiseringsapp eller en maskinvarenøkkel, før tilgang gis. Det eliminerer ikke risikoen helt, men det stenger den enkleste veien for angripere som baserer seg på innloggingslegitimasjon alene.

Passordbehandlere adresserer et relatert problem: passordgjenbruk. Når folk bruker det samme passordet på tvers av flere kontoer, kan en enkelt lekket legitimasjon låse opp flere urelaterte systemer. En passordbehandler gjør det praktisk å bruke et unikt, komplekst passord for hver konto, noe som begrenser skadeomfanget når ett sett med legitimasjon blir eksponert. Ingen av verktøyene er kompliserte å sette opp, og begge retter seg direkte mot den nøyaktige svakheten som legitimasjonsbaserte løsepengeangrep utnytter.

Hvor VPN-er passer inn i beskyttelse av admin- og sensitive kontotilganger

VPN-er er ingen universalløsning mot legitimasjonsstjeling, men de spiller en spesifikk og nyttig rolle, spesielt for administratorer og alle som har ekstern tilgang til sensitive systemer. En VPN krypterer forbindelsen mellom en bruker og nettverket de får tilgang til, noe som bidrar til å forhindre at legitimasjon blir fanget opp under overføring, spesielt på usikre eller offentlige nettverk. For eksterne administratorer som administrerer kritisk infrastruktur, legger kombinasjonen av VPN-tilgang og MFA et meningsfylt friksjonslag for angripere som bare har et stjålet passord å jobbe med.

Det er verdt å være tydelig på hva en VPN ikke gjør: den vil ikke stoppe noen fra å bruke gyldig, stjålet legitimasjon for å logge inn via et legitimt tilgangspunkt. Derfor bør VPN-bruk behandles som ett lag blant flere, og fungere sammen med MFA, passordhygiene og tilgangsovervåking, snarere enn som en frittstående løsning.

Hva dette betyr for deg

Hvis du administrerer sensitive kontoer, enten for en bedrift eller til personlig bruk, er konklusjonen enkel: passordet ditt er ikke lenger nok, og det har det sannsynligvis ikke vært på en stund. Legitimasjonsbaserte løsepengeangrep lykkes fordi de utnytter forutsigbare menneskelige vaner, gjenbrukte passord, ubeskyttede innlogginger og kontoer uten et andre verifiseringstrinn. Å tette disse hullene krever ikke budsjetter på bedriftsnivå eller teknisk ekspertise. Det krever konsekvente vaner brukt på tvers av hver konto som teller.

Konkrete tiltak

• Aktiver flerfaktorautentisering på hver konto som støtter det, start med e-post, finanstjenester og eventuell administrativ tilgang.
• Bruk en passordbehandler for å generere og lagre unike passord, noe som eliminerer risikoen for at gjenbrukt legitimasjon blir utnyttet på tvers av flere kontoer.
• Kombiner VPN-bruk med MFA for ekstern administrativ tilgang, spesielt når du administrerer systemer over offentlige eller ubetrodde nettverk.
• Behandle legitimasjonshygiene som en kontinuerlig praksis, ikke en engangsoppsett, ettersom nye kontoer og tjenester legges til jevnlig.

Løsepengegrupper har tilpasset strategien sin fordi den fungerer. Den gode nyheten er at mottiltakene, MFA, passordbehandlere og lagdelte tilgangskontroller, er godt forstått og innen rekkevidde for nesten alle. Skiftet fra å bryte seg inn til å logge inn betyr at ansvaret for forsvaret også har skiftet, og nå hviler det like mye på individuell identitetshygiene som på nettverkssikkerhetsteam.