Co raport Sophos ujawnia na temat przejętych tożsamości

Nowo opublikowany raport Sophos podaje twardą liczbę na coś, co zespoły bezpieczeństwa podejrzewały od lat: gangi ransomware już nie wyważają drzwi frontowych, wchodzą ze skradzionym kluczem. Zgodnie z wynikami, 79% ataków ransomware ma teraz początek w przejętych tożsamościach, co oznacza, że początkowym punktem dostępu w większości przypadków jest prawidłowa nazwa użytkownika i hasło, a nie wykorzystanie luki w oprogramowaniu czy złośliwy załącznik.

Raport podkreśla również wyraźną różnicę w reakcji organizacji o różnej wielkości po rozpoczęciu ataku. Tylko 34% małych firm zdołało zatrzymać atak przed zaszyfrowaniem danych lub wymuszeniem. Dla porównania, w organizacjach zatrudniających od 3001 do 5000 pracowników udało się to w 46% przypadków. Ta rozbieżność sugeruje, że zasoby, obsada kadrowa i dojrzałość mechanizmów wykrywania nadal mają ogromne znaczenie, nawet jeśli metoda wejścia atakującego wygląda podobnie niezależnie od wielkości firmy.

Z geograficznego punktu widzenia raport odnotowuje, że Wielka Brytania odnotowała najwyższą medianę żądania okupu ze wszystkich regionów objętych badaniem. Choć pełne zestawienie kwot nie zostało szczegółowo opisane, wzorzec ten potwierdza szerszy trend: wysokość żądań okupu jest dostosowywana do postrzeganej zdolności do zapłaty, a nie tylko do wartości samych danych.

Dlaczego samo MFA nie powstrzymuje ransomware

Oto kluczowe ustalenie, które powinno zmienić kształt wielu budżetów bezpieczeństwa: uwierzytelnianie wieloskładnikowe (MFA) było wdrożone – w jakimś zakresie – w 97% incydentów, w których przyczyną źródłową były przejęte dane uwierzytelniające. Innymi słowy, niemal każda organizacja, która padła ofiarą naruszenia przez skradzione dane logowania, miała już gdzieś w swoim środowisku włączone MFA.

Nie oznacza to, że MFA jest bezużyteczne. Oznacza to, że MFA nie jest kompletnym rozwiązaniem, gdy jest stosowane niekonsekwentnie. Luki w pokryciu – takie jak starsze systemy, które nie obsługują nowoczesnego uwierzytelniania, konta usług wyłączone z polityk MFA czy narzędzia zdalnego dostępu skonfigurowane ze słabszą weryfikacją – dają atakującym dokładnie taki otwór, jakiego potrzebują. Zdeterminowany atakujący nie musi pokonywać MFA wszędzie; wystarczy, że znajdzie tę jedną ścieżkę logowania, na której nigdy go nie wymuszono.

To jest właśnie sedno napięcia, które ujawniają dane Sophos. Zespoły bezpieczeństwa przez lata traktowały MFA jak pole do odhaczenia, ale operatorzy ransomware dostosowali się, polując na konta, systemy i integracje, które znalazły się poza tym „odhaczeniem”. W rezultacie otrzymujemy strategię obrony, która na papierze wygląda solidnie, ale w praktyce ma realne dziury.

Praktyczne kroki w zakresie higieny tożsamości wykraczające poza MFA

Jeśli przejęcie danych uwierzytelniających jest dominującym punktem wejścia, to higiena tożsamości zasługuje na taką samą uwagę operacyjną, jaką zazwyczaj otrzymują zarządzanie poprawkami czy detekcja na punktach końcowych. Na podstawie implikacji raportu można wskazać kilka praktycznych kroków:

  • Audytuj pokrycie MFA, a nie tylko jego istnienie. Potwierdź, że każdy punkt zdalnego dostępu, konto administratora i integracja z zewnętrznym dostawcą faktycznie wymusza MFA, a nie tylko główny ekran logowania.
  • Priorytetyzuj uwierzytelnianie odporne na phishing tam, gdzie to możliwe, ponieważ tradycyjne kody jednorazowe wciąż mogą zostać przechwycone lub wyłudzone socjotechnicznie.
  • Monitoruj ponowne wykorzystanie danych logowania i nieaktywne konta. Konta uśpione i współdzielone loginy to powszechne martwe punkty, które atakujący eksploatują długo po odejściu pracowników lub zmianie ich ról.
  • Segmentuj dostęp według roli i konieczności. Nawet przejęte dane logowania są znacznie mniej użyteczne dla atakującego, jeśli nie dają swobodnego ruchu bocznego po sieci.
  • Buduj szybsze zdolności wykrywania i reagowania, szczególnie w mniejszych organizacjach. Różnica między 34% a 46% skuteczności powstrzymania ataku sugeruje, że to właśnie szybkość detekcji – a nie tylko prewencja – jest obszarem, w którym zespoły o ograniczonych zasobach tracą grunt.

Żaden z tych kroków nie wymaga egzotycznych narzędzi. Wymagają dyscypliny, widoczności i gotowości do traktowania tożsamości jako żywego systemu, który potrzebuje regularnego audytu, a nie jednorazowego zadania konfiguracyjnego.

Gdzie narzędzia szyfrowane i VPN-y pasują do obrony warstwowej

VPN-y i szyfrowane narzędzia dostępu pozostają użyteczną warstwą w szerszej strategii ochrony tożsamości, szczególnie przy zabezpieczaniu zdalnych logowań i ograniczaniu ekspozycji w niezaufanych sieciach. Jednak ustalenia Sophos przypominają, że żadne pojedyncze narzędzie – czy to VPN, MFA, czy ochrona punktów końcowych – nie zastąpi spójnego zarządzania tożsamością w całej organizacji. Atakujący szukają luki między narzędziami, a nie samych narzędzi.

To również dobry moment, by zastanowić się, jak kontrola dostępu i polityka internetowa łączą się ze sobą w szerszym kontekście. Podobnie jak rządy coraz dokładniej analizują, w jaki sposób dostawcy VPN obsługują ograniczenia dostępu, tak od organizacji wymaga się analizy konfiguracji i monitorowania własnych narzędzi dostępu. Zrozumienie, jak działają warstwowe systemy restrykcji – podobnie do sposobu, w jaki krajowe systemy cenzury internetu są zbudowane z wielu warstw egzekwowania, a nie pojedynczej bramki – stanowi użyteczną analogię wyjaśniającą, dlaczego obrona przed ransomware również wymaga wielu nakładających się na siebie mechanizmów kontrolnych, a nie polegania na jednym zabezpieczeniu.

Co to oznacza dla Ciebie

Jeśli zarządzasz bezpieczeństwem IT w organizacji dowolnej wielkości, ten raport jest sygnałem, aby zweryfikować założenia. Posiadanie włączonego MFA to nie to samo co egzekwowanie MFA wszędzie tam, gdzie ma to znaczenie. Obrona przed ransomware opartym na kradzieży danych uwierzytelniających w 2026 roku wymaga traktowania tożsamości jako ciągłej dyscypliny operacyjnej, a nie projektu, który został zakończony w momencie odhaczenia wdrożenia MFA.

Zwłaszcza dla mniejszych organizacji warto poważnie potraktować różnicę we wskaźnikach powstrzymywania ataków. Sugeruje ona, że inwestycja w zdolności wykrywania i reagowania – nawet skromna – może w znaczący sposób zmienić przebieg ataku, który już uzyskał początkowy dostęp.

Kluczowe wnioski

  • 79% ataków ransomware zaczyna się teraz od przejętych danych uwierzytelniających, według Sophos.
  • MFA było obecne w 97% incydentów ransomware opartych na danych uwierzytelniających, co pokazuje, że rzeczywistym problemem są luki w pokryciu, a nie brak MFA.
  • Małe organizacje zatrzymały ataki tylko w 34% przypadków, w porównaniu do 46% w przypadku większych organizacji zatrudniających od 3001 do 5000 pracowników.
  • Wielka Brytania odnotowała najwyższą medianę żądania okupu w raporcie.
  • Skuteczna obrona przed ransomware wykorzystującym kradzież danych uwierzytelniających wymaga audytu pokrycia MFA, monitorowania nieaktywnych lub używanych powtórnie danych logowania, segmentacji dostępu i budowania szybszych zdolności wykrywania, a nie polegania na jednym narzędziu bezpieczeństwa.