Phishing odpowiada obecnie za połowę wszystkich ataków ransomware

Ataki na tożsamość wyprzedzają exploity jako główna przyczyna ransomware

Przez lata gangi ransomware były najbardziej znane z wykorzystywania niezałatanych luk w oprogramowaniu – tego rodzaju podatności, które zmuszają zespoły IT do gorączkowego wdrażania aktualizacji zabezpieczeń. To już nie jest główny sposób, w jaki te ataki się rozpoczynają. Według nowych ustaleń, o których informuje Dark Reading, phishing i złośliwe wiadomości e-mail odpowiadają obecnie za połowę wszystkich ataków ransomware, oficjalnie wyprzedzając luki w oprogramowaniu jako główny punkt wejścia.

Jeszcze bardziej uderzające: uwierzytelnianie wieloskładnikowe (MFA), od dawna uważane za jedną z najsilniejszych ochron przed kradzieżą danych logowania, było już wdrożone w 97% badanych ataków opartych na poświadczeniach. Innymi słowy, atakującym udaje się odnieść sukces nie dlatego, że organizacje pominęły podstawową higienę bezpieczeństwa. Udaje im się, ponieważ znaleźli sposoby na jej obejście.

Ta zmiana ma znaczenie, ponieważ przesuwa punkt ciężkości rzeczywistego ryzyka. Łatanie serwerów i zamykanie luk w oprogramowaniu pozostaje ważne, ale dane sugerują, że atakujący przenieśli swoją energię na oszukiwanie ludzi zamiast łamania kodu. Przekonująca wiadomość e-mail, fałszywa strona logowania lub dobrze wymierzony telefon mogą teraz zrobić to, co kiedyś robił exploit dnia zerowego.

Dlaczego samo MFA nie powstrzymuje atakujących

MFA było przez lata reklamowane jako niemal niezawodne zabezpieczenie przed kradzieżą poświadczeń. Pomysł jest prosty: nawet jeśli hasło zostanie skradzione, atakujący wciąż potrzebuje drugiego składnika, takiego jak kod wysłany na telefon lub aplikację uwierzytelniającą, aby się dostać. Ta logika sprawdza się w przypadku podstawowych ataków polegających na zgadywaniu haseł. Znacznie gorzej radzi sobie z nowoczesnymi zestawami phishingowymi.

Atakujący dostosowali się, stosując techniki zaprojektowane specjalnie do pokonania MFA. Pośrednicy phishingu działający w czasie rzeczywistym mogą przechwycić zarówno hasło, jak i jednorazowy kod, w momencie gdy ofiara je wprowadza, a następnie przekazać te informacje do prawdziwego systemu logowania, zanim kod wygaśnie. Inne metody celują bezpośrednio w tokeny sesji, umożliwiając atakującym przejęcie już uwierzytelnionej sesji bez potrzeby posiadania drugiego składnika. Fakt, że MFA było obecne w 97% ataków ransomware opartych na poświadczeniach w tym zbiorze danych, pokazuje, że samo włączenie MFA już nie wystarcza. Sposób jego wdrożenia i to, czy jest ono odporne konkretnie na phishing, ma znaczenie równie duże, jak sam fakt jego istnienia.

Nie oznacza to, że MFA jest bezwartościowe. Wciąż blokuje ono dużą liczbę zautomatyzowanych i niskonakładowych ataków. Jednak organizacje i osoby polegające na nim jako na jednym, uniwersalnym remedium działają w oparciu o przestarzały model zagrożeń.

Jak to się ma do szerszego obrazu naruszeń

Ten trend dotyczący ransomware występuje równolegle z powiązaną, ale odrębną zmianą udokumentowaną w innych opracowaniach branżowych. Jak omówiono w analizie raportu Verizon 2026 Data Breach Investigations Report na vpn.social, luki w oprogramowaniu ogółem wyprzedziły skradzione lub słabe hasła jako główny punkt wejścia w przypadku naruszeń. Na pierwszy rzut oka wydaje się to przeczyć ustaleniom dotyczącym ransomware, ale oba zestawy danych mierzą różne rzeczy. DBIR analizuje naruszenia we wszystkich kategoriach i branżach, podczas gdy te badania nad ransomware skupiają się konkretnie na tym, w jaki sposób operatorzy ransomware uzyskują początkowy dostęp.

Podsumowując, wyłania się obraz specjalizacji. Niektórzy atakujący doskonalą zautomatyzowane wykorzystywanie luk w oprogramowaniu na dużą skalę, podczas gdy grupy ransomware w szczególności podwajają stawkę na socjotechnikę wymierzoną w ludzi, prawdopodobnie dlatego, że oferuje ona szybszą i bardziej niezawodną drogę do uzyskania uprzywilejowanego dostępu potrzebnego do wdrożenia ransomware w całej sieci. Oba trendy mogą być prawdziwe jednocześnie i oba wskazują na tę samą podstawową rzeczywistość: atakujący podążają ścieżką najmniejszego oporu, która nieustannie się zmienia.

Co to oznacza dla Ciebie

Jeśli w ogóle korzystasz z poczty elektronicznej, czy to służbowej, czy prywatnej, ten trend dotyczy Cię bezpośrednio. Ransomware nie celuje wyłącznie w duże korporacje z dedykowanymi działami IT; małe firmy, placówki opieki zdrowotnej, szkoły i indywidualni specjaliści są regularnie atakowani przy użyciu tych samych taktyk phishingowych. Jeden przekonujący e-mail otwarty w nieodpowiednim momencie może stanowić punkt wejścia dla ataku, który zaszyfruje pliki całej organizacji.

Praktyczny wniosek nie polega na porzuceniu MFA. Chodzi o uznanie, że MFA jest jedną warstwą w szerszej obronie, a nie linią mety. Odporne na phishing metody uwierzytelniania, uważne sprawdzanie niespodziewanych próśb o zalogowanie i podstawowy sceptycyzm wobec e-maili o pilnym tonie pozostają niezbędne, nawet dla kont już chronionych przez MFA.

Konkretne wnioski do działania

• Traktuj prośby o zatwierdzenie MFA, o które nie prosiłeś, jako sygnał alarmowy, a nie rutynowe powiadomienie, i nigdy nie zatwierdzaj takiego żądania, którego sam nie zainicjowałeś.
• Gdzie to możliwe, używaj odpornych na phishing metod uwierzytelniania, takich jak sprzętowe klucze bezpieczeństwa, zamiast polegać wyłącznie na kodach SMS lub z aplikacji.
• Uważaj na nacisk w e-mailach proszących o zalogowanie się, zresetowanie hasła lub weryfikację konta – to klasyczne taktyki wejścia dla ransomware.
• Aktualizuj oprogramowanie, nawet jeśli ataki na tożsamość prowadzą obecnie wśród przyczyn ransomware; ataki oparte na exploitach nie zniknęły, po prostu zostały wyprzedzone pod względem częstotliwości.
• Jeśli zarządzasz zespołem lub organizacją, inwestuj w szkolenia z zakresu świadomości phishingowej równolegle z zabezpieczeniami technicznymi, ponieważ dane pokazują, że głównym celem są teraz ludzie, a nie tylko systemy.

W miarę jak taktyki ransomware przesuwają się w kierunku tożsamości i socjotechniki, pozostawanie na bieżąco z tym, jak te ataki faktycznie przebiegają, jest jedną z najskuteczniejszych dostępnych obron. Zrozumienie, gdzie leży dziś rzeczywiste ryzyko, jest pierwszym krokiem do zlikwidowania tej luki, zanim atakujący zdążą ją wykorzystać.