Hva Sophos-rapporten fant om kompromitterte identiteter

En nylig publisert Sophos-rapport setter et konkret tall på noe sikkerhetsteam har mistenkt i årevis: løsepengegjenger bryter seg ikke lenger inn gjennom hoveddøren, de går inn med en stjålet nøkkel. Ifølge funnene stammer 79 % av alle løsepengeangrep nå fra kompromitterte identiteter, noe som betyr at det første tilgangspunktet i de fleste tilfeller er et gyldig brukernavn og passord snarere enn en programvaresårbarhet eller et skadelig vedlegg.

Rapporten fremhever også et tydelig gap i hvordan organisasjoner av ulik størrelse responderer når et angrep starter. Bare 34 % av små organisasjoner klarte å stanse et angrep før kryptering eller utpressing skjedde. Sammenlign det med organisasjoner med 3 001 til 5 000 ansatte, som stanset angrep i 46 % av tilfellene. Dette gapet tyder på at ressurser, bemanning og modenhet innen deteksjon fortsatt spiller en svært viktig rolle, selv om angriperens inngangsmetode er lik på tvers av selskapsstørrelser.

Geografisk sett bemerker rapporten at Storbritannia registrerte det høyeste medianløsepengekravet av noen region som ble dekket i studien. Selv om den fullstendige oversikten over tallene ikke ble detaljert, forsterker mønsteret en bredere trend: løsepengekrav blir kalibrert basert på antatt betalingsevne, ikke bare verdien av selve dataene.

Hvorfor MFA alene ikke stopper løsepengevirus

Her er funnet som burde omforme mange sikkerhetsbudsjetter: flerfaktorautentisering (MFA) var utplassert i en eller annen form i 97 % av hendelsene der kompromitterte legitimasjoner var årsaken. Med andre ord hadde nesten alle organisasjoner som ble rammet via stjålne legitimasjoner allerede slått på MFA et sted i miljøet sitt.

Dette betyr ikke at MFA er ubrukelig. Det betyr at MFA ikke er en komplett løsning når den brukes inkonsekvent. Dekningshull, slik som eldre systemer som ikke støtter moderne autentisering, tjenestekontoer som er unntatt fra MFA-policyer, eller fjernadgangsverktøy konfigurert med svakere verifisering, gir angripere akkurat den åpningen de trenger. En målbevisst angriper trenger ikke å overvinne MFA overalt; de trenger bare å finne den ene innloggingsveien der den aldri ble håndhevet.

Dette er den sentrale spenningen Sophos-dataene avdekker. Sikkerhetsteam har i årevis behandlet MFA som en avkryssingsboks, men løsepengeoperatører har tilpasset seg ved å jakte på kontoer, systemer og integrasjoner som faller utenfor denne avkryssingen. Resultatet er en forsvarsstrategi som ser sterk ut på papiret, men som har reelle hull i praksis.

Praktiske steg for identitetshygiene utover MFA

Hvis stjålne legitimasjoner er den dominerende inngangsporten, fortjener identitetshygiene den samme operative oppmerksomheten som sårbarhetsoppdatering eller sluttenpunktsdeteksjon vanligvis får. Noen praktiske steg skiller seg ut basert på rapportens implikasjoner:

  • Revidér MFA-dekning, ikke bare MFA-eksistens. Bekreft at hvert fjerntilkoblingspunkt, administratorkonto og tredjepartsintegrasjon faktisk håndhever MFA, ikke bare den primære påloggingsskjermen.
  • Prioriter phishing-motstandsdyktig autentisering der det er mulig, siden tradisjonelle engangskoder fortsatt kan avskjæres eller manipuleres via sosial manipulering.
  • Overvåk for gjenbruk av legitimasjon og inaktive kontoer. Sovende kontoer og delte pålogginger er vanlige blindsoner som angripere utnytter lenge etter at ansatte har sluttet eller endret roller.
  • Segmenter tilgang etter rolle og nødvendighet. Selv en kompromittert legitimasjon er langt mindre nyttig for en angriper hvis den ikke gir bred lateral bevegelse i nettverket.
  • Bygg raskere evne til deteksjon og respons, særlig for mindre organisasjoner. Forskjellen mellom 34 % og 46 % innestengingsrate tyder på at hastigheten på deteksjon, ikke bare forebygging, er der ressurssvake team taper terreng.

Ingen av disse stegene krever eksotiske verktøy. De krever disiplin, synlighet og en vilje til å behandle identitet som et levende system som trenger regelmessig revisjon i stedet for en engangsoppgave.

Hvor krypterte verktøy og VPN passer inn i lagdelt forsvar

VPN og krypterte tilgangsverktøy forblir et nyttig lag i en bredere strategi for identitetsbeskyttelse, særlig for å sikre eksterne pålogginger og redusere eksponering på upålitelige nettverk. Men Sophos-funnene er en påminnelse om at ingen enkelt verktøy, enten det er en VPN, MFA eller sluttenpunktsbeskyttelse, kan erstatte konsekvent identitetsstyring på tvers av hele organisasjonen. Angripere leter etter gapet mellom verktøy, ikke verktøyene i seg selv.

Dette er også et godt tidspunkt for å tenke over hvordan tilgangskontroller og internettpolicyer krysser hverandre bredere. Akkurat som myndigheter i økende grad gransker hvordan VPN-leverandører håndterer tilgangsrestriksjoner, blir organisasjoner bedt om å granske hvordan deres egne tilgangsverktøy er konfigurert og overvåket. Å forstå hvordan lagdelte restriksjonssystemer fungerer, lignende hvordan nasjonale internett-sensursystemer er bygget med flere håndhevingslag i stedet for en enkelt port, gir en nyttig analogi for hvorfor løsepengeforsvar også krever flere, overlappende kontroller snarere enn å stole på én enkelt sikring.

Hva dette betyr for deg

Hvis du håndterer IT-sikkerhet i en organisasjon av hvilken som helst størrelse, er denne rapporten et varsel om å revurdere antakelser. Å ha MFA aktivert er ikke det samme som å ha MFA håndhevet overalt der det trengs. Forsvar mot løsepengevirus via stjålne legitimasjoner i 2026 krever at identitet behandles som en kontinuerlig operativ disiplin, ikke et prosjekt som var ferdig da MFA-utrullingen ble merket som fullført.

Særlig for mindre organisasjoner er gapet i innestengingsrate verdt å ta på alvor. Det tyder på at investering i evne til deteksjon og respons, selv moderate forbedringer, kan endre utfallet av et angrep som allerede har skaffet seg innledende tilgang.

Hovedpunkter

  • 79 % av løsepengeangrep starter nå med kompromitterte legitimasjoner, ifølge Sophos.
  • MFA var til stede i 97 % av legitimasjonsbaserte løsepengehendelser, noe som viser at dekningshull, ikke fraværet av MFA, er det virkelige problemet.
  • Små organisasjoner stanset angrep kun 34 % av gangene, mot 46 % for større organisasjoner med 3 001 til 5 000 ansatte.
  • Storbritannia registrerte det høyeste medianløsepengekravet i rapporten.
  • Effektivt forsvar mot løsepengevirus via stjålne legitimasjoner krever revidering av MFA-dekning, overvåking av inaktive eller gjenbrukte legitimasjoner, segmentering av tilgang og bygging av raskere deteksjonskapasitet, uten å stole på et enkelt sikkerhetsverktøy.