Ce a descoperit raportul Sophos despre identitățile compromise

Un raport Sophos recent publicat pune o cifră concretă pe ceva ce echipele de securitate bănuiau de ani de zile: bandele de ransomware nu mai sparg ușa din față, ci intră cu o cheie furată. Conform concluziilor, 79% dintre atacurile ransomware provin acum din identități compromise, ceea ce înseamnă că punctul de acces inițial este, în majoritatea cazurilor, un nume de utilizator și o parolă validă, nu o exploatare software sau un atașament malițios.

Raportul evidențiază, de asemenea, o discrepanță semnificativă în modul în care organizațiile de dimensiuni diferite reacționează odată ce atacul începe. Doar 34% dintre organizațiile mici au reușit să oprească un atac înainte de criptare sau extorcare. Prin comparație, organizațiile cu un număr de angajați cuprins între 3.001 și 5.000 au oprit atacurile în proporție de 46%. Această diferență sugerează că resursele, personalul și maturitatea capacităților de detecție contează încă foarte mult, chiar și atunci când metoda de intrare a atacatorului arată similar, indiferent de dimensiunea companiei.

Din punct de vedere geografic, raportul menționează că Regatul Unit a înregistrat cea mai mare cerere mediană de răscumpărare dintre toate regiunile analizate. Deși defalcarea completă a cifrelor nu a fost detaliată, tendința întărește un tipar mai larg: cererile de răscumpărare sunt calibrate în funcție de capacitatea percepută de plată, nu doar de valoarea datelor în sine.

De ce autentificarea MFA singură nu oprește ransomware-ul

Iată constatarea care ar trebui să modifice multe bugete de securitate: autentificarea multifactor (MFA) era implementată într-o anumită măsură în 97% dintre incidentele în care datele de autentificare compromise au reprezentat cauza principală. Cu alte cuvinte, aproape fiecare organizație care a fost compromisă prin date de autentificare furate avea deja MFA activată undeva în mediul său.

Asta nu înseamnă că MFA este inutilă. Înseamnă că MFA nu este o soluție completă atunci când este aplicată inconsecvent. Golurile de acoperire – cum ar fi sistemele vechi care nu acceptă autentificare modernă, conturile de serviciu excluse de la politicile MFA sau instrumentele de acces la distanță configurate cu verificări mai slabe – oferă atacatorilor exact breșa de care au nevoie. Un atacator determinat nu trebuie să învingă MFA peste tot; trebuie doar să găsească acea cale de autentificare unde nu a fost niciodată aplicată.

Aceasta este tensiunea centrală pe care datele Sophos o scot la lumină. Echipele de securitate au petrecut ani tratând MFA ca pe o bifă, însă operatorii de ransomware s-au adaptat, vânând conturile, sistemele și integrările care scapă de acea bifă. Rezultatul este o strategie de apărare care arată solidă pe hârtie, dar are găuri reale în practică.

Pași practici de igienă a identității dincolo de MFA

Dacă compromiterea datelor de autentificare este punctul de intrare dominant, atunci igiena identității merită aceeași atenție operațională pe care o primesc de obicei gestionarea patch-urilor sau detecția pe endpoint-uri. Câțiva pași practici se desprind pe baza implicațiilor raportului:

  • Auditează acoperirea MFA, nu doar existența MFA. Confirmă că fiecare punct de acces la distanță, cont de administrator și integrare terță impune efectiv MFA, nu doar ecranul principal de autentificare.
  • Prioritizează autentificarea rezistentă la phishing acolo unde este posibil, deoarece codurile tradiționale de unică folosință pot fi încă interceptate sau obținute prin inginerie socială.
  • Monitorizează reutilizarea datelor de autentificare și conturile inactive. Conturile nefolosite și autentificările partajate sunt puncte oarbe frecvente pe care atacatorii le exploatează mult timp după ce angajații au plecat sau și-au schimbat rolul.
  • Segmentează accesul în funcție de rol și necesitate. Chiar și o dată de autentificare compromisă este mult mai puțin utilă unui atacator dacă nu oferă o mișcare laterală extinsă în rețea.
  • Construiește o capacitate mai rapidă de detecție și răspuns, în special pentru organizațiile mai mici. Diferența dintre rata de stopare de 34% și 46% sugerează că viteza de detecție, nu doar prevenția, este zona în care echipele cu resurse limitate pierd teren.

Niciunul dintre acești pași nu necesită instrumente exotice. Au nevoie de disciplină, vizibilitate și disponibilitatea de a trata identitatea ca pe un sistem viu, care are nevoie de auditare periodică, nu ca pe o sarcină de configurare unică.

Unde se potrivesc instrumentele criptate și VPN-urile în apărarea stratificată

VPN-urile și instrumentele de acces criptat rămân un strat util într-o strategie mai amplă de protecție a identității, în special pentru securizarea autentificărilor la distanță și reducerea expunerii pe rețele neîncrezătoare. Însă concluziile Sophos reamintesc că niciun instrument unic – fie el VPN, MFA sau protecție pentru endpoint-uri – nu poate substitui o guvernanță consecventă a identității în întreaga organizație. Atacatorii caută golul dintre instrumente, nu instrumentele în sine.

Acesta este și un moment potrivit să reflectăm la modul în care controalele de acces și politicile de internet se intersectează mai larg. Așa cum guvernele examinează tot mai atent modul în care furnizorii de VPN gestionează restricțiile de acces, organizațiilor li se cere să analizeze atent cum sunt configurate și monitorizate propriile instrumente de acces. Înțelegerea modului în care funcționează sistemele de restricționare stratificată, asemănător cu sistemele naționale de cenzură a internetului care sunt construite cu mai multe straturi de aplicare, nu cu o singură poartă, oferă o analogie utilă pentru motivul pentru care apărarea împotriva ransomware-ului necesită, de asemenea, controale multiple și suprapuse, nu dependența de o singură măsură de siguranță.

Ce înseamnă asta pentru tine

Dacă gestionați securitatea IT într-o organizație de orice dimensiune, acest raport este un semnal pentru a vă revizui ipotezele. A avea MFA activată nu este același lucru cu a avea MFA aplicată peste tot unde contează. Apărarea împotriva ransomware-ului bazat pe furtul datelor de autentificare în 2026 necesită tratarea identității ca pe o disciplină operațională continuă, nu ca pe un proiect încheiat odată ce implementarea MFA a fost bifată ca finalizată.

În special pentru organizațiile mai mici, diferența ratei de stopare a atacurilor merită luată în serios. Ea sugerează că investiția în capacitatea de detecție și răspuns, chiar și îmbunătățiri modeste, poate schimba semnificativ rezultatul unui atac care a obținut deja acces inițial.

Concluzii principale

  • 79% dintre atacurile ransomware încep acum cu date de autentificare compromise, conform Sophos.
  • MFA a fost prezentă în 97% dintre incidentele ransomware bazate pe date de autentificare, arătând că golurile de acoperire, nu absența MFA, reprezintă adevărata problemă.
  • Organizațiile mici au oprit atacurile doar în 34% din cazuri, comparativ cu 46% pentru organizațiile mai mari, cu 3.001 până la 5.000 de angajați.
  • Regatul Unit a înregistrat cea mai mare cerere mediană de răscumpărare din raport.
  • Apărarea eficientă împotriva ransomware-ului bazat pe furtul datelor de autentificare necesită auditarea acoperirii MFA, monitorizarea conturilor inactive sau reutilizate, segmentarea accesului și construirea unei capacități mai rapide de detecție, fără a ne baza pe un singur instrument de securitate.