How do most ransomware attacks begin today?

Four in five ransomware attacks start with stolen identities, with attackers using valid credentials to log in instead of exploiting server vulnerabilities.

Why are stolen credentials able to bypass traditional security tools?

A login with real credentials looks like normal user activity and doesn’t trigger anomaly-based alerts from firewalls, endpoint detection, or intrusion prevention systems.

What methods do attackers use to obtain working credentials?

They use phishing kits, credential-stuffing tools, and infostealer malware, or they purchase credentials leaked from previous breaches.

What does the shift to credential-based attacks mean for how organizations should defend themselves?

It changes the focus from infrastructure protection to identity protection, because patching servers and using firewalls can’t stop someone logging in with a stolen key.

How quickly can ransomware operators cause damage once they’re inside a network?

They can move very rapidly; one example showed attackers encrypting an entire victim environment in under 24 hours after gaining initial access.

Ransomware teraz loguje się: 4 na 5 ataków zaczyna się od skradzionych tożsamości

Cztery na pięć ataków ransomware zaczyna się dziś w ten sam sposób: od czyjejś tożsamości, a nie od serwerów. Ta jedna statystyka, podana przez The Manila Times, oddaje zmianę, która narastała od lat, ale teraz jest niemożliwa do zignorowania. Atakujący nie ścigają się już, by znaleźć niezałatany serwer czy exploit zero-day. Po prostu się logują, używając danych uwierzytelniających wyłudzonych, kupionych lub wyciekłych, i wchodzą frontowymi drzwiami jak każdy inny uprawniony użytkownik.

Ta zmiana ma znaczenie, ponieważ zmienia to, co "bezpieczeństwo" faktycznie oznacza dla większości organizacji i osób prywatnych. Zapora sieciowa nie zatrzyma kogoś, kto ma prawidłową nazwę użytkownika i hasło. Załatany serwer nie pomoże, jeśli atakujący nigdy nie musiał go wykorzystać. Ataki ransomware oparte na danych uwierzytelniających przeniosły pole walki z infrastruktury sieciowej na ludzką tożsamość, a to oznacza, że najważniejsze środki obrony również się zmieniły.

Dlaczego tożsamość, a nie infrastruktura, jest nowym punktem wejścia ransomware

Przez lata strategia obrony przed ransomware koncentrowała się na infrastrukturze: łataniu serwerów, segmentacji sieci, monitorowaniu włamań. Te zabezpieczenia nadal mają znaczenie, ale dotyczą modelu zagrożenia, który jest coraz bardziej przestarzały. Kiedy cztery na pięć ataków zaczyna się od zalogowania, a nie włamania, rachunek się zmienia. Atakujący zdali sobie sprawę, że dane uwierzytelniające są tańsze, szybsze i znacznie mniej prawdopodobne, by uruchomić alarmy, niż techniczny exploit.

Zestawy phishingowe, narzędzia do upychania danych uwierzytelniających (credential stuffing) i malware kradnące informacje sprawiły, że zbieranie danych logowania stało się biznesem o niskim nakładzie pracy i wysokich zyskach. W połączeniu z ogromną liczbą haseł używanych ponownie na kontach prywatnych i służbowych, atakujący mają stały dopływ działających danych uwierzytelniających, nawet nie dotykając zapory. Gdy już są w środku, nie wyglądają na intruzów. Wyglądają jak pracownicy, kontrahenci lub administratorzy wykonujący swoje obowiązki, co właśnie czyni to podejście tak skutecznym.

Jak skradzione dane uwierzytelniające omijają tradycyjne zabezpieczenia

Tradycyjne narzędzia bezpieczeństwa są zbudowane do wykrywania anomalii: nietypowych wzorców ruchu, nieautoryzowanych prób dostępu, sygnatur malware. Prawidłowe logowanie przy użyciu prawdziwych danych uwierzytelniających nie uruchamia większości tych czujników. Systemy wykrywania na punktach końcowych, narzędzia zapobiegania włamaniom, a nawet dobrze skonfigurowane zapory są zaprojektowane do zatrzymywania atakujących, którzy próbują coś złamać. Są znacznie mniej skuteczne wobec kogoś, kto po prostu używa klucza, który został mu wręczony, nawet jeśli ten klucz został skradziony.

To część powodu, dla którego operacje ransomware stały się tak szybkie po uzyskaniu dostępu. Raport o operacji ransomware Spirals pokazał, że atakujący zaszyfrowali całe środowisko ofiary w mniej niż 24 godziny po początkowym dostępie. Gdy wejście nie wymaga wykorzystania luki, więcej czasu i zasobów idzie prosto na fazę szkód. Ten sam wzorzec pojawia się w atakach związanych z CVE-2026-0257, luką w obejściu uwierzytelniania w zaporach Palo Alto wykorzystywaną przez aktorów ransomware Qilin, gdzie skompromitowane uwierzytelnianie, a nie brutalne hakowanie, dało atakującym przyczółek, którego potrzebowali.

Uwierzytelnianie wieloskładnikowe i menedżery haseł jako pierwsza linia obrony

Biorąc pod uwagę, że skradzione dane uwierzytelniające są głównym punktem wejścia, najskuteczniejsze środki obrony to te, które sprawiają, że skradzione hasło jest mniej przydatne samo w sobie. Uwierzytelnianie wieloskładnikowe (MFA) jest najwyraźniejszym przykładem. Nawet jeśli hasło zostanie skompromitowane przez phishing lub naruszenie danych, MFA wymaga drugiego kroku weryfikacji, takiego jak kod z aplikacji uwierzytelniającej lub klucz sprzętowy, zanim dostęp zostanie przyznany. Nie eliminuje to ryzyka całkowicie, ale zamyka najłatwiejszą ścieżkę dla atakujących, którzy polegają wyłącznie na danych logowania.

Menedżery haseł rozwiązują powiązany problem: ponowne używanie haseł. Kiedy ludzie używają tego samego hasła na wielu kontach, pojedyncze wyciekłe dane uwierzytelniające mogą otworzyć kilka niepowiązanych systemów. Menedżer haseł czyni praktycznym stosowanie unikalnego, złożonego hasła do każdego konta, co ogranicza zasięg szkód, gdy jeden zestaw danych uwierzytelniających zostanie ujawniony. Żadne z tych narzędzi nie jest skomplikowane w konfiguracji i oba bezpośrednio celują w dokładną słabość, którą wykorzystują ataki ransomware oparte na danych uwierzytelniających.

Gdzie VPN-y pasują do ochrony dostępu do kont administratora i wrażliwych kont

VPN-y nie są srebrną kulą przeciwko kradzieży danych uwierzytelniających, ale odgrywają konkretną i użyteczną rolę, szczególnie dla administratorów i każdego, kto uzyskuje zdalny dostęp do wrażliwych systemów. VPN szyfruje połączenie między użytkownikiem a siecią, do której uzyskuje dostęp, co pomaga zapobiegać przechwyceniu danych uwierzytelniających w tranzycie, zwłaszcza w niezabezpieczonych lub publicznych sieciach. Dla zdalnych administratorów zarządzających krytyczną infrastrukturą, połączenie dostępu VPN z MFA dodaje istotną warstwę tarcia dla atakujących, którzy dysponują tylko skradzionym hasłem.

Warto jasno powiedzieć, czego VPN nie robi: nie powstrzyma kogoś przed użyciem ważnych, skradzionych danych uwierzytelniających do zalogowania się przez legalny punkt dostępu. Dlatego korzystanie z VPN powinno być traktowane jako jedna warstwa spośród kilku, działająca razem z MFA, higieną haseł i monitorowaniem dostępu, a nie samodzielne rozwiązanie.

Co to oznacza dla Ciebie

Jeśli zarządzasz wrażliwymi kontami, czy to dla firmy, czy do użytku osobistego, wniosek jest prosty: Twoje hasło już nie wystarcza i prawdopodobnie nie wystarczało od jakiegoś czasu. Ataki ransomware oparte na danych uwierzytelniających odnoszą sukces, ponieważ wykorzystują przewidywalne ludzkie nawyki – ponownie używane hasła, niezabezpieczone logowania i konta bez drugiego kroku weryfikacji. Zamknięcie tych luk nie wymaga budżetów na poziomie korporacyjnym ani specjalistycznej wiedzy technicznej. Wymaga konsekwentnych nawyków stosowanych na każdym koncie, które ma znaczenie.

Konkretne działania

Włącz uwierzytelnianie wieloskładnikowe na każdym koncie, które je obsługuje, zaczynając od poczty e-mail, usług finansowych i wszelkiego dostępu administracyjnego.
Używaj menedżera haseł do generowania i przechowywania unikalnych haseł, eliminując ryzyko wykorzystania ponownie używanych danych uwierzytelniających na wielu kontach.
Połącz korzystanie z VPN z MFA dla zdalnego dostępu administracyjnego, szczególnie podczas zarządzania systemami w sieciach publicznych lub niezaufanych.
Traktuj higienę danych uwierzytelniających jako ciągłą praktykę, a nie jednorazową konfigurację, ponieważ nowe konta i usługi są dodawane regularnie.

Grupy ransomware dostosowały swoją strategię, ponieważ działa. Dobra wiadomość jest taka, że środki zaradcze – MFA, menedżery haseł i warstwowe kontrole dostępu – są dobrze rozumiane i w zasięgu prawie każdego. Przejście od włamywania się do logowania oznacza, że odpowiedzialność za obronę również się przesunęła i teraz spoczywa w równym stopniu na indywidualnej higienie tożsamości, co na zespołach bezpieczeństwa sieciowego.