Атаки программ-вымогателей редко начинаются с шифрования. Задолго до того, как системы блокируются и появляется записка о выкупе, злоумышленники могут уже располагать учётными данными, необходимыми для входа в сеть организации. В этом заключается основная мысль недавней публикации Security Boulevard, основанной на отчёте Verizon Data Breach Investigations Report (DBIR) за 2026 год, и она меняет наш взгляд на атаки программ-вымогателей с использованием украденных учётных данных: блокировка — это финальный акт, а не первый ход.

Доступный фрагмент из этого обзора отчёта краток, поэтому данная статья придерживается того, что в нём сказано, и того, о чём уже сообщал vpn.social. Главный вывод остаётся ясным и практичным как для отдельных людей, так и для организаций.

Как украденные учётные данные становятся точкой входа для программ-вымогателей

Полезно представлять программу-вымогатель как цепочку поставок, а не как единичное событие. Разные действующие лица отвечают за разные этапы. Одна группа добывает логины, другая покупает или использует их для проникновения в сеть, а сама программа-вымогатель появляется позже, когда доступ уже получен.

Это важно, потому что действительные имя пользователя и пароль выглядят как обычная активность. Злоумышленнику, который входит в систему с настоящими учётными данными, не нужно пробиваться через межсетевой экран или эксплуатировать уязвимость в программном обеспечении. Он просто входит в систему, и инструменты безопасности поначалу могут не отметить ничего необычного.

К моменту начала шифрования злоумышленник может находиться внутри уже довольно долго. Требование выкупа — это момент, когда жертва узнаёт об атаке, а не момент, когда она началась.

Где начинается цепочка поставок учётных данных: инфостилеры и утёкшие логины

Так откуда же берутся учётные данные? Основной источник — вредоносное ПО-инфостилер, которое незаметно собирает сохранённые логины, данные сессий и другие секреты с заражённых устройств. Украденные данные обычно объединяются в «логи», которыми преступники могут обмениваться или торговать.

vpn.social подробно освещал этот сдвиг. Как мы сообщали, логи инфостилеров обогнали фишинг в качестве основной причины утечек, причём исследователи указывают на вредоносное ПО-инфостилер как на всё более распространённый способ проникновения злоумышленников в корпоративные сети. Это вписывается в картину цепочки поставок: сбор учётных данных — это отдельный этап, который питает любую последующую атаку, включая программы-вымогатели.

Достаточно одного заражённого личного ноутбука. Если сотрудник сохраняет рабочий логин в браузере на скомпрометированном устройстве, эти учётные данные могут оказаться на преступном рынке без ведома работодателя.

Что отчёт DBIR за 2026 год говорит о доступе для программ-вымогателей

Отчёт Verizon DBIR — одно из наиболее часто цитируемых ежегодных исследований о том, как происходят утечки. Согласно освещению издания 2026 года, злоумышленники могут уже располагать необходимыми учётными данными до того, как атака программы-вымогателя станет заметной. Такая трактовка ставит учётные данные в начало цепочки атаки, а не рассматривает шифрование как отправную точку.

Мы не приводим здесь цифры по этому выводу, поскольку в источнике они не указаны. Читателям, которым нужны точные данные, следует обратиться к самому отчёту. Однако направление согласуется с более широкой тенденцией: кража учётных данных обеспечивает первоначальный доступ.

Практическое следствие — смещение фокуса. Защита от программ-вымогателей заключается не только в резервных копиях и защите конечных точек в конце цепочки. Это также означает сокращение количества действительных, скомпрометированных логинов, которые преступники могут подобрать в начале.

Что это значит для вас: практические шаги по сокращению скомпрометированных логинов

Вы не можете остановить каждый инфостилер, но можете сделать украденные логины гораздо менее полезными. Рассмотрите следующие шаги:

  • Используйте уникальный пароль для каждого аккаунта. Если одна учётная запись утечёт, она не должна открывать доступ к чему-либо ещё.
  • Внедрите менеджер паролей. Он делает уникальные длинные пароли реалистичными и позволяет избежать небрежного хранения логинов в браузере на устройстве, которому вы не полностью доверяете.
  • Включите многофакторную аутентификацию (MFA). Тогда одного украденного пароля будет недостаточно для входа. Предпочитайте приложения или аппаратные методы, где это возможно.
  • Содержите устройства в чистоте. Устанавливайте обновления, избегайте загрузки неофициального программного обеспечения и удаляйте незнакомые программы, поскольку инфостилеры часто попадают именно так.
  • Разделяйте рабочее и личное использование. Избегайте входа в рабочие аккаунты на личных или общих устройствах.
  • Смените пароли после подозрения на заражение или уведомления об утечке. Делайте это с заведомо чистого устройства и завершайте активные сессии.

Если вы руководите командой, та же логика масштабируется: требуйте MFA, ограничивайте круг лиц с привилегированным доступом и проверяйте, у каких аккаунтов ещё есть доступ, который им больше не нужен.

Перекройте канал поставок

Главный урок из освещения отчёта Verizon DBIR за 2026 год заключается в том, что атаки программ-вымогателей с использованием украденных учётных данных начинаются задолго до того, как кто-либо увидит записку о выкупе. Самая эффективная защита — сделать ваши логины труднодобываемыми и менее ценными, если их всё же украдут.

Начните сегодня с простого аудита: составьте список важных аккаунтов, проверьте наличие повторно используемых паролей и включите MFA везде, где она предлагается. Затем перенесите свои логины в менеджер паролей с уникальными учётными данными для каждого сервиса. Чтобы глубже понять, как учётные данные добываются в первую очередь, прочитайте наш отчёт о том, как логи инфостилеров обогнали фишинг в качестве основной причины утечек. Немного гигиены сейчас может разорвать первое звено цепочки.