Ataki ransomware rzadko zaczynają się od szyfrowania. Na długo zanim systemy zostaną zablokowane i pojawi się notatka z żądaniem okupu, napastnicy mogą już mieć dane uwierzytelniające potrzebne do wejścia do sieci organizacji. To główne przesłanie niedawnego artykułu Security Boulevard opartego na raporcie 2026 Verizon Data Breach Investigations Report (DBIR), który zmienia sposób myślenia o atakach ransomware wykorzystujących skradzione dane uwierzytelniające: blokada jest ostatnim aktem, a nie pierwszym ruchem.

Dostępny fragment materiału o tym raporcie jest krótki, więc ten wpis ogranicza się do tego, co w nim stwierdzono, oraz do tego, o czym vpn.social już informował. Wniosek pozostaje jasny i praktyczny zarówno dla osób prywatnych, jak i organizacji.

Jak skradzione dane uwierzytelniające stają się punktem wejścia ransomware

Warto wyobrazić sobie ransomware jako łańcuch dostaw, a nie pojedyncze zdarzenie. Różni aktorzy odpowiadają za różne etapy. Jedna grupa zdobywa dane logowania, inna je kupuje lub wykorzystuje, aby dostać się do sieci, a samo ransomware pojawia się później, gdy dostęp jest już zabezpieczony.

Ma to znaczenie, ponieważ prawidłowa nazwa użytkownika i hasło wyglądają jak normalna aktywność. Napastnik, który loguje się za pomocą prawdziwych danych uwierzytelniających, nie musi przebijać się przez zaporę ogniową ani wykorzystywać luki w oprogramowaniu. Po prostu się loguje, a narzędzia bezpieczeństwa mogą początkowo nie oznaczyć niczego nietypowego.

Zanim rozpocznie się szyfrowanie, napastnik może przebywać w systemie już od jakiegoś czasu. Żądanie okupu to moment, w którym ofiara się dowiaduje, a nie moment, w którym atak się rozpoczął.

Gdzie zaczyna się łańcuch dostaw danych uwierzytelniających: infostealery i wyciekłe dane logowania

Skąd więc pochodzą dane uwierzytelniające? Głównym źródłem jest złośliwe oprogramowanie typu infostealer, które po cichu przechwytuje zapisane dane logowania, dane sesji i inne sekrety z zainfekowanych urządzeń. Skradzione dane są zazwyczaj pakowane w „logi”, którymi przestępcy mogą handlować lub je sprzedawać.

vpn.social szczegółowo omawiał tę zmianę. Jak informowaliśmy, logi infostealerów wyprzedziły phishing jako główną przyczynę naruszeń, a badacze wskazują na złośliwe oprogramowanie infostealer jako coraz częstszy sposób, w jaki napastnicy dostają się do sieci korporacyjnych. Pasuje to do obrazu łańcucha dostaw: przechwytywanie danych uwierzytelniających to odrębny etap, który zasila każdy kolejny atak, w tym ransomware.

Wystarczyć może jeden zainfekowany prywatny laptop. Jeśli pracownik zapisze służbowe dane logowania w przeglądarce na zainfekowanym urządzeniu, te dane uwierzytelniające mogą trafić na przestępczy rynek, o czym pracodawca nigdy się nie dowie.

Co 2026 DBIR mówi o dostępie w ramach ransomware

Verizon DBIR to jedno z najczęściej cytowanych corocznych badań dotyczących tego, jak dochodzi do naruszeń. Zgodnie z materiałem o edycji 2026 napastnicy mogą już mieć potrzebne dane uwierzytelniające, zanim atak ransomware stanie się widoczny. Takie ujęcie stawia dane uwierzytelniające na początku łańcucha ataku, zamiast traktować szyfrowanie jako punkt wyjścia.

Nie podajemy tutaj liczb dotyczących tego ustalenia, ponieważ dostępny fragment źródłowy ich nie zawiera. Czytelnicy, którzy chcą poznać dokładne dane, powinni sięgnąć do samego raportu. Kierunek jest jednak spójny z szerszym trendem kradzieży danych uwierzytelniających napędzającej początkowy dostęp.

Praktyczna implikacja to zmiana punktu ciężkości. Ochrona przed ransomware nie polega wyłącznie na kopiach zapasowych i ochronie punktów końcowych na końcu łańcucha. Oznacza także ograniczanie liczby ważnych, ujawnionych danych logowania, które przestępcy mogą przechwycić na początku.

Co to oznacza dla Ciebie: praktyczne kroki ograniczające ujawnione dane logowania

Nie da się powstrzymać każdego infostealera, ale można sprawić, by skradzione dane logowania były znacznie mniej użyteczne. Rozważ następujące kroki:

  • Używaj unikalnego hasła do każdego konta. Jeśli jedno hasło wycieknie, nie powinno odblokowywać niczego innego.
  • Wdróż menedżer haseł. Umożliwia on realistyczne stosowanie unikalnych, długich haseł i pozwala uniknąć luźnego przechowywania danych logowania w przeglądarce na urządzeniu, któremu nie w pełni ufasz.
  • Włącz uwierzytelnianie wieloskładnikowe (MFA). Samo skradzione hasło nie wystarczy wtedy do zalogowania się. Preferuj metody oparte na aplikacji lub sprzętowe, jeśli są dostępne.
  • Dbaj o czystość urządzeń. Instaluj aktualizacje, unikaj pobierania nieoficjalnego oprogramowania i usuwaj programy, których nie rozpoznajesz, ponieważ infostealery często trafiają właśnie tą drogą.
  • Oddziel użycie służbowe od prywatnego. Unikaj logowania się do kont służbowych na urządzeniach prywatnych lub współdzielonych.
  • Zmień hasła po podejrzanej infekcji lub powiadomieniu o naruszeniu. Zrób to z zaufanego, czystego urządzenia i wyloguj się z aktywnych sesji.

Jeśli zarządzasz zespołem, ta sama logika skaluje się w górę: egzekwuj MFA, ograniczaj liczbę osób z uprawnieniami uprzywilejowanymi i sprawdzaj, które konta nadal mają dostęp, którego już nie potrzebują.

Odcięcie linii zaopatrzenia

Główna lekcja z materiału o 2026 Verizon DBIR jest taka, że ataki ransomware wykorzystujące skradzione dane uwierzytelniające zaczynają się znacznie wcześniej, zanim ktokolwiek zobaczy notatkę z żądaniem okupu. Najskuteczniejszą obroną jest sprawienie, by Twoje dane logowania były trudne do skradzenia i mniej wartościowe, jeśli już zostaną skradzione.

Zacznij już dziś od prostego audytu: sporządź listę ważnych kont, sprawdź, czy hasła się powtarzają, i włącz MFA wszędzie, gdzie jest oferowane. Następnie przenieś swoje dane logowania do menedżera haseł z unikalnymi danymi uwierzytelniającymi dla każdej usługi. Aby głębiej przyjrzeć się temu, jak dane uwierzytelniające są w ogóle przechwytywane, przeczytaj nasz raport o tym, jak logi infostealerów wyprzedziły phishing jako główną przyczynę naruszeń. Odrobina higieny już teraz może przerwać pierwsze ogniwo łańcucha.