Atacurile ransomware rareori încep cu criptarea. Cu mult înainte ca sistemele să fie blocate și să apară o notă de răscumpărare, atacatorii pot deține deja credențialele de care au nevoie pentru a pătrunde în rețeaua unei organizații. Acesta este mesajul central al unui articol recent din Security Boulevard bazat pe Raportul de Investigare a Încalcărilor de Date (DBIR) Verizon 2026, și reîncadrează modul în care ar trebui să gândim despre atacurile ransomware bazate pe credențiale furate: blocarea este actul final, nu prima mișcare.

Extrasul disponibil din acea acoperire a raportului este scurt, așa că această postare se limitează la ceea ce afirmă acesta și la ceea ce vpn.social a raportat deja. Concluzia rămâne clară și practică atât pentru indivizi, cât și pentru organizații.

Cum devin credențialele furate un punct de intrare pentru ransomware

Este util să ne imaginăm ransomware ca un lanț de aprovizionare, mai degrabă decât ca un eveniment unic. Actori diferiți gestionează etape diferite. Un grup obține datele de autentificare, altul le cumpără sau le folosește pentru a intra într-o rețea, iar ransomware-ul în sine vine mai târziu, odată ce accesul este asigurat.

Acest lucru contează pentru că un nume de utilizator și o parolă valide arată ca activitate normală. Un atacator care se autentifică cu credențiale reale nu trebuie să spargă un firewall sau să exploateze o vulnerabilitate software. Pur și simplu se conectează, iar instrumentele de securitate pot să nu semnaleze nimic neobișnuit la început.

Până când începe criptarea, atacatorul poate fi fost în interior de ceva timp. Cererea de răscumpărare este momentul în care victima află, nu momentul în care a început atacul.

De unde începe lanțul de aprovizionare cu credențiale: infostealere și date de autentificare scurse

Deci de unde provin credențialele? O sursă majoră este malware-ul de tip infostealer, care colectează în mod silențios datele de autentificare salvate, datele de sesiune și alte secrete de pe dispozitivele infectate. Datele furate sunt de obicei grupate în „loguri" pe care infractorii le pot schimba sau vinde.

vpn.social a acoperit această schimbare în detaliu. După cum am raportat, logurile infostealer au depășit phishing-ul ca principală cauză de încălcare, cercetătorii indicând malware-ul infostealer ca o modalitate din ce în ce mai comună prin care atacatorii pătrund în rețelele corporative. Acest lucru se potrivește cu imaginea lanțului de aprovizionare: colectarea credențialelor este o etapă distinctă care alimentează orice atac urmează, inclusiv ransomware.

Un singur laptop personal infectat poate fi suficient. Dacă un angajat salvează datele de autentificare pentru serviciu într-un browser pe un dispozitiv compromis, acel credențial poate ajunge pe o piață criminală fără ca angajatorul să știe vreodată.

Ce spune DBIR 2026 despre accesul ransomware

DBIR Verizon este unul dintre cele mai citate studii anuale despre modul în care se produc încălcările de securitate. Conform acoperirii ediției 2026, atacatorii pot deține deja credențialele de care au nevoie înainte ca un atac ransomware să devină vizibil. Această formulare plasează credențialele în fruntea lanțului de atac, în loc să trateze criptarea ca punct de plecare.

Nu vom pune cifre pe această constatare aici, deoarece extrasul sursă nu le furnizează. Cititorii care doresc cifre exacte ar trebui să consulte raportul în sine. Direcția, însă, este consecventă cu tendința mai amplă a furtului de credențiale care determină accesul inițial.

Implicația practică este o schimbare de focus. Apărarea împotriva ransomware nu se referă doar la copii de rezervă și protecția endpoint-urilor la sfârșitul lanțului. Înseamnă și reducerea numărului de date de autentificare valide și expuse pe care infractorii le pot colecta la început.

Ce înseamnă acest lucru pentru tine: pași practici pentru reducerea datelor de autentificare expuse

Nu poți opri fiecare infostealer, dar poți face datele de autentificare furate mult mai puțin utile. Ia în considerare acești pași:

  • Folosește o parolă unică pentru fiecare cont. Dacă un credențial se scurge, nu ar trebui să deblocheze nimic altceva.
  • Adoptă un manager de parole. Face parolele unice și lungi realiste și evită stocarea laxă a datelor de autentificare într-un browser pe un dispozitiv în care nu ai deplină încredere.
  • Activează autentificarea multi-factor (MFA). O parolă furată singură nu mai este atunci suficientă pentru autentificare. Preferă metodele bazate pe aplicație sau hardware acolo unde sunt disponibile.
  • Menține dispozitivele curate. Instalează actualizări, evită descărcările de software neoficiale și elimină programele pe care nu le recunoști, deoarece infostealerele ajung adesea pe această cale.
  • Separă utilizarea profesională de cea personală. Evită autentificarea în conturile de serviciu pe dispozitive personale sau partajate.
  • Schimbă parolele după o infecție suspectată sau o notificare de încălcare. Fă-o de pe un dispozitiv curat cunoscut și deconectează-te din sesiunile active.

Dacă gestionezi o echipă, aceeași logică se extinde: impune MFA, limitează cine deține acces privilegiat și revizuiește ce conturi mai au acces de care nu mai au nevoie.

Taje linia de aprovizionare

Lecția centrală din acoperirea DBIR Verizon 2026 este că atacurile ransomware bazate pe credențiale furate încep cu mult înainte ca cineva să vadă o notă de răscumpărare. Cea mai eficientă apărare este să faci datele tale de autentificare greu de furat și mai puțin valoroase dacă sunt furate.

Începe astăzi cu un audit simplu: listează-ți conturile importante, verifică parolele reutilizate și activează MFA oriunde este oferit. Apoi mută-ți datele de autentificare într-un manager de parole cu credențiale unice pentru fiecare serviciu. Pentru o privire mai aprofundată asupra modului în care credențialele sunt colectate în primul rând, citește raportul nostru despre logurile infostealer depășind phishing-ul ca principală cauză de încălcare. Puțină igienă acum poate rupe prima verigă din lanț.