Sophos: 71 % av bedrifter rammet av identitetsbrudd i 2025
En stor ny rapport fra Sophos har satt et oppsiktsvekkende tall på et problem sikkerhetseksperter har advart mot i årevis: 71 % av organisasjoner over hele verden opplevde minst ett identitetsrelatert sikkerhetsbrudd det siste året. Funnene kommer på et tidspunkt der identitetsbaserte angrep ikke lenger er en nisjetrussel, men den dominerende måten angripere skaffer seg fotfeste i bedriftsmiljøer. For både virksomheter og enkeltpersoner er dataene et tydelig signal om at identitetshygiene ikke lenger kan behandles som et sekundært anliggende.
Hva Sophos-dataene avslører om hyppighet og omfang av identitetsbrudd
Det enorme omfanget av Sophos-funnene er vanskelig å ignorere. Nesten tre av fire organisasjoner, på tvers av bransjer og geografiske områder, opplevde et identitetsrelatert kompromiss i løpet av ett enkelt år. Dette handler ikke om en håndfull høyprofilerte mål; det gjenspeiler en bred, systemisk sårbarhet i hvordan organisasjoner håndterer hvem, og hva, som har tilgang til systemene deres.
Identitetsrelaterte brudd skiller seg fra tradisjonelle nettverksinntrengninger på en viktig måte. I stedet for å bryte gjennom en brannmur, kompromitterer angriperne legitimasjon eller tokens som gir dem tilsynelatende legitim tilgang. Når de først er inne, kan de bevege seg sideveis, eskalere privilegier og eksfiltrere data mens de i det minste i utgangspunktet fremstår som autoriserte brukere. Dette gjør deteksjon langsommere og gjenoppretting mer kompleks.
Virkelige konsekvenser av identitetssvikt har allerede preget overskriftene i 2025. Alert 360-bruddet som eksponerte 2,5 millioner poster og Zara-bruddet som berørte nesten 200 000 kunder via en tredjepartsleverandør illustrerer begge hvordan kompromittert tilgangslegitimasjon, enten gjennom direkte angrep eller leverandørkjede-eksponering, kan utvikle seg til massive datatap.
Hvordan ikke-menneskelige identiteter og API-nøkler blir hovedmål
Et av de mer fremtidsrettede funnene i Sophos-rapporten er oppmerksomheten den retter mot ikke-menneskelige identiteter. Denne kategorien inkluderer API-nøkler, tjenestekontoer, automatiseringsskript og i økende grad KI-agenter som gis tilgang til systemer for å utføre oppgaver autonomt.
Ettersom organisasjoner tar i bruk KI-drevne verktøy og automatiserer flere av arbeidsflytene sine, skaper de en voksende beholdning av ikke-menneskelige aktører som innehar legitimasjon og tillatelser. Problemet er at disse identitetene ofte feilhåndteres: tillatelsene er for brede, legitimasjonen roteres sjelden, og overvåking for avvikende atferd er i beste fall inkonsekvent.
En API-nøkkel innebygd i et kodelager, eller en KI-agent gitt skrivetilgang til en produksjonsdatabase, representerer et høyverdig mål for angripere. I motsetning til menneskelige brukerkontoer mangler ikke-menneskelige identiteter ofte den samme livssyklusstyringen, noe som betyr at de kan vedvare lenge etter at de er nødvendige og forbli uoppdaget når de kompromitteres. Sophos-rapporten identifiserer denne feilstyringen som en av de primære angrepsvektorene som driver tallet på 71 %.
Hvorfor menneskelige feil forblir det svakeste leddet i identitetssikkerhet
Ved siden av økningen i ikke-menneskelig identitetsrisiko bekrefter Sophos-funnene at menneskelige feil fortsatt undergraver selv godt finansierte sikkerhetsprogrammer. Phishing er fortsatt bemerkelsesverdig effektivt. Gjenbruk av legitimasjon på tvers av personlige og profesjonelle kontoer skaper veier for angripere til å bevege seg fra et forbrukerbrudd inn i et bedriftsmiljø. Og overpriviligerte kontoer, opprettet for bekvemmelighet og aldri riktig avgrenset, gir angripere mer tilgang enn de noen gang burde kunne oppnå.
Det menneskelige elementet er også tydelig i hvor raskt brudd eskalerer når førstegangs tilgang er oppnådd. En enkelt kompromittert konto brukt av noen med brede administrative rettigheter kan eksponere tusenvis av poster i løpet av timer. Helsevesenet har vist seg spesielt sårbart, som sett i hendelser som NYC Health-bruddet som rammet 1,8 millioner individer, der identitetsfeilstyring på ethvert nivå i et komplekst system kan få uforholdsmessige konsekvenser.
Opplærings- og bevisstgjøringsprogrammer hjelper, men de er ikke tilstrekkelige alene. Sophos-dataene antyder at organisasjoner trenger strukturelle kontroller som reduserer sprengningsradiusen for menneskelige feil, ikke bare retningslinjer som er avhengige av at ansatte gjør det rette hver eneste gang.
Forsvar i dybden: Hvor VPN-er og personverntiltak passer inn i identitetsbeskyttelse
Ingen enkelttiltak løser identitetssikkerhetsproblemet, og det er nettopp poenget. Konseptet forsvar i dybden, å legge flere sikkerhetskontroller slik at en svikt i én ikke automatisk betyr et fullstendig kompromiss, er rammeverket som Sophos-funnene argumenterer for, selv implisitt.
VPN-er spiller en spesifikk og viktig rolle i denne stakken. Ved å kryptere nettverkstrafikken og maskere tilkoblingsmetadata reduserer en VPN risikoen for at legitimasjon eller sesjonstokener avlyttes under overføring, spesielt på utrygge nettverk. For fjernarbeidere som får tilgang til bedriftsressurser fra hoteller, flyplasser eller delte arbeidsområder, er en VPN en grunnleggende men meningsfull kontroll som lukker et ellers åpent vindu.
Utover VPN-er inkluderer en lagdelt identitetsbeskyttelsesstrategi flerfaktorautentisering på alle kontoer, prinsippet om minste privilegium for både menneskelige og ikke-menneskelige identiteter, regelmessig revisjon av aktiv legitimasjon og API-nøkler, og overvåking for avvikende innloggingsmønstre. Sophos-dataene forsterker at disse ikke er valgfrie tillegg for store bedrifter; organisasjoner av alle størrelser blir angrepet.
Hva dette betyr for deg
Enten du administrerer IT for et selskap eller bare er en enkeltperson som prøver å beskytte kontoene dine, bærer Sophos-rapporten et direkte budskap: identitet er omkretsen nå, og den må forsvares deretter.
Her er konkrete trinn å ta:
- Revider legitimasjonen din. Identifiser eventuelle kontoer som bruker gjenbrukte eller svake passord og oppdater dem med unike, komplekse alternativer lagret i en passordbehandler.
- Aktiver flerfaktorautentisering overalt. Prioriter e-post-, finans- og jobbkontoene dine først.
- Gå gjennom app-tillatelser og API-tilgang. Hvis du administrerer programvareprosjekter eller forretningsverktøy, revider hvilke tjenester som har aktiv legitimasjon og tilbakekall alt som ikke lenger er i bruk.
- Bruk en VPN på utrygge nettverk. Kryptering av tilkoblingen din forhindrer avlytting av legitimasjon når du er borte fra sikrede miljøer.
- Hold deg informert om brudd. Tjenester som varsler deg når e-posten din vises i et kjent brudddatasett gir deg en tidlig varsling om å rotere berørt legitimasjon før angripere kan utnytte dem.
Tallet på 71 % fra Sophos er ikke en grunn til panikk, men det er en grunn til handling. Identitetsrelaterte sikkerhetsbrudd i 2025 er ikke hypotetiske risikoer; de skjer for flertallet av organisasjoner akkurat nå. Å bygge lagdelte forsvar, kombinere sterke identitetspraksiser med nettverksnivåbeskyttelse, er den praktiske responsen dataene krever.
