Patru din cinci atacuri ransomware astăzi încep în același mod: cu identitatea cuiva, nu cu serverele acestora. Această singură statistică, raportată de The Manila Times, surprinde o schimbare care s-a construit ani de zile, dar care acum este imposibil de ignorat. Atacatorii nu se mai grăbesc să găsească un server neactualizat sau o exploatare de tip zero-day. Pur și simplu se autentifică, folosind credențiale care au fost obținute prin phishing, cumpărate sau scurse, și intră pe ușa din față ca orice alt utilizator autorizat.

Această schimbare contează pentru că redefinește ce înseamnă cu adevărat „securitatea” pentru majoritatea organizațiilor și indivizilor. Un firewall nu poate opri pe cineva care are un nume de utilizator și o parolă valide. Un server actualizat nu ajută dacă atacatorul nu a avut niciodată nevoie să îl exploateze. Atacurile ransomware bazate pe credențiale au mutat câmpul de luptă de la infrastructura de rețea la identitatea umană, iar asta înseamnă că și apărările care contează cel mai mult s-au schimbat.

De ce identitatea, nu infrastructura, este noul punct de intrare al ransomware-ului

Ani de zile, strategia de apărare împotriva ransomware-ului s-a concentrat pe infrastructură: actualizează-ți serverele, segmentează-ți rețeaua, monitorizează intruziunile. Aceste apărări încă mai contează, dar ele abordează un model de amenințare care este din ce în ce mai depășit. Când patru din cinci atacuri încep cu o autentificare, mai degrabă decât cu o spargere, calculul se schimbă. Atacatorii și-au dat seama că credențialele sunt mai ieftine, mai rapide și mult mai puțin susceptibile de a declanșa alarme decât o exploatare tehnică.

Kiturile de phishing, instrumentele de „credential stuffing” și malware-ul de tip infostealer au transformat colectarea detaliilor de autentificare într-o afacere cu efort redus și recompensă mare. Combină asta cu numărul imens de parole refolosite în conturile personale și de serviciu, iar atacatorii au o rezervă constantă de credențiale funcționale fără să atingă vreodată un firewall. Odată ajunși înăuntru, ei nu arată ca niște intruși. Arată ca niște angajați, contractori sau administratori care își fac treaba, ceea ce este exact ceea ce face această abordare atât de eficientă.

Cum ocolesc credențialele furate apărările tradiționale de securitate

Instrumentele tradiționale de securitate sunt construite pentru a detecta anomalii: tipare neobișnuite de trafic, încercări de acces neautorizat, semnături de malware. O autentificare validă care folosește credențiale reale nu declanșează majoritatea acestor alerte. Sistemele de detecție la nivel de endpoint, instrumentele de prevenire a intruziunilor și chiar firewall-urile bine configurate sunt concepute pentru a opri atacatorii care încearcă să spargă ceva. Ele sunt mult mai puțin eficiente împotriva cuiva care pur și simplu folosește o cheie care i-a fost înmânată, chiar dacă acea cheie a fost furată.

Aceasta este parte din motivul pentru care operațiunile ransomware au devenit atât de rapide odată ce obțin acces. Raportările despre operațiunea ransomware Spirals au arătat atacatori care criptează întregul mediu al unei victime în mai puțin de 24 de ore de la accesul inițial. Când intrarea nu necesită exploatarea unei vulnerabilități, mai mult timp și resurse merg direct către faza de daune. Același tipar apare în atacurile legate de CVE-2026-0257, o vulnerabilitate de bypass al autentificării în firewall-urile Palo Alto exploatată de actorii ransomware Qilin, unde autentificarea compromisă, nu hacking-ul prin forță brută, le-a oferit atacatorilor punctul de sprijin de care aveau nevoie.

Autentificarea multi-factor și managerii de parole ca primă linie de apărare

Având în vedere că credențialele furate sunt punctul principal de intrare, cele mai eficiente apărări sunt cele care fac o parolă furată mai puțin utilă de una singură. Autentificarea multi-factor (MFA) este cel mai clar exemplu. Chiar dacă o parolă este compromisă prin phishing sau o încălcare a datelor, MFA necesită un al doilea pas de verificare, cum ar fi un cod dintr-o aplicație de autentificare sau o cheie hardware, înainte ca accesul să fie acordat. Nu elimină complet riscul, dar închide cea mai ușoară cale pentru atacatorii care se bazează doar pe credențiale de autentificare.

Managerii de parole abordează o problemă conexă: reutilizarea parolelor. Când oamenii folosesc aceeași parolă pentru mai multe conturi, o singură credențială scursă poate debloca mai multe sisteme fără legătură între ele. Un manager de parole face practică utilizarea unei parole unice și complexe pentru fiecare cont, ceea ce limitează raza de distrugere atunci când un set de credențiale este expus. Niciunul dintre aceste instrumente nu este complicat de configurat și ambele vizează direct exact slăbiciunea pe care o exploatează atacurile ransomware bazate pe credențiale.

Unde se încadrează VPN-urile în protejarea accesului la conturile de administrator și cele sensibile

VPN-urile nu sunt o soluție miraculoasă împotriva furtului de credențiale, dar joacă un rol specific și util, în special pentru administratori și oricine accesează sisteme sensibile de la distanță. Un VPN criptează conexiunea dintre un utilizator și rețeaua pe care o accesează, ceea ce ajută la prevenirea interceptării credențialelor în tranzit, mai ales în rețelele nesecurizate sau publice. Pentru administratorii la distanță care gestionează infrastructură critică, asocierea accesului VPN cu MFA adaugă un strat semnificativ de fricțiune pentru atacatorii care au la dispoziție doar o parolă furată.

Merită să fim clari cu privire la ceea ce un VPN nu face: nu va împiedica pe cineva să folosească credențiale valide și furate pentru a se autentifica printr-un punct de acces legitim. De aceea, utilizarea VPN-ului ar trebui tratată ca un strat printre mai multe, acționând împreună cu MFA, igiena parolelor și monitorizarea accesului, mai degrabă decât ca o soluție de sine stătătoare.

Ce înseamnă asta pentru tine

Dacă gestionezi conturi sensibile, fie pentru o afacere sau pentru uz personal, concluzia este simplă: parola ta nu mai este suficientă și probabil că nu a mai fost de ceva vreme. Atacurile ransomware bazate pe credențiale reușesc pentru că exploatează obiceiuri umane previzibile, parole refolosite, autentificări neprotejate și conturi fără un al doilea pas de verificare. Închiderea acestor goluri nu necesită bugete la nivel de întreprindere sau expertiză tehnică. Necesită obiceiuri consecvente aplicate fiecărui cont care contează.

Recomandări practice

  • Activează autentificarea multi-factor pe fiecare cont care o suportă, începând cu emailul, serviciile financiare și orice acces administrativ.
  • Folosește un manager de parole pentru a genera și stoca parole unice, eliminând riscul ca credențialele refolosite să fie exploatate în mai multe conturi.
  • Asociază utilizarea VPN-ului cu MFA pentru accesul administrativ la distanță, în special când gestionezi sisteme prin rețele publice sau nesigure.
  • Tratează igiena credențialelor ca pe o practică continuă, nu ca pe o configurare unică, deoarece conturi și servicii noi sunt adăugate în mod regulat.

Grupurile de ransomware și-au adaptat strategia pentru că funcționează. Vestea bună este că măsurile de contracarare, MFA, managerii de parole și controalele de acces stratificate, sunt bine înțelese și la îndemâna aproape oricui. Trecerea de la spargere la autentificare înseamnă că responsabilitatea pentru apărare s-a mutat și ea, iar acum se bazează la fel de mult pe igiena identității individuale cât și pe echipele de securitate a rețelei.