KnowBe4: Ransomware skiftar till identitetsstöld, inte bara kryptering

Ransomware handlar inte längre bara om kryptering

I åratal har standardrådet för att bekämpa ransomware kretsat kring en enda sak: säkerhetskopiera dina data så att du aldrig behöver betala lösen. Det rådet spelar fortfarande roll, men enligt en ny analys från säkerhetsmedvetenhetsföretaget KnowBe4 ger det inte längre hela bilden av hur moderna ransomware-verksamheter faktiskt fungerar.

Ransomware har utvecklats till vad KnowBe4 beskriver som en affärsstörningsmodell – en modell som bygger mindre på råstyrka från skadlig kod och mer på stulna identiteter och social manipulation. Istället för att bara låsa filer och kräva betalning för en dekrypteringsnyckel fokuserar angripare allt mer på att ta sig in i en organisation med legitima, stulna inloggningsuppgifter och sedan använda den betrodda åtkomsten för att orsaka maximal operativ skada innan någon märker något.

Denna förändring är lika viktig för integriteten som för IT-säkerheten. När ransomware-grupper stjäl identiteter för att ta sig in, blir den personliga data som är kopplad till dessa identiteter – anställdas inloggningar, kundregister, intern kommunikation – en del av attackytan. En ransomware-incident idag är sällan bara en krypteringshändelse; det är ofta också en dataexponeringshändelse.

Varför stulna identiteter är den nya inkörsporten

Den traditionella bilden av en ransomware-attack involverar en skadlig e-postbilaga eller en sårbar, uppatchad server. Dessa vektorer har inte försvunnit, men de kompletteras eller ersätts allt oftare av enklare taktiker: phishing för inloggningsuppgifter, lura helpdesk att återställa lösenord, eller utnyttja svaga multi‑faktorautentiseringslösningar för att få åtkomst som en betrodd användare.

Väl inne behöver angripare inte "hacka" något i traditionell mening. De loggar in som vilken anställd som helst, rör sig tyst genom nätverket och identifierar de system och data vars störning kommer att orsaka mest smärta – och därmed störst hävstång för ett lösenkrav. Det är detta KnowBe4 menar med att beskriva ransomware som en affärsstörningsmodell: målet är inte bara att kryptera data, utan att få en organisations verksamhet att stanna helt tills betalning görs.

Detta tillvägagångssätt liknar det som observerats i ransomware-som-en-tjänst-ekosystemet mer brett. Grupper som den verksamhet som beskrivs i vår bevakning av LockBit 5.0 och livet efter Operation Cronos visar hur ransomware-partner har professionaliserat sina operationer och behandlar varje attack mindre som ett snabbt inbrott och mer som en kalkylerad affärsförhandling, komplett med påtryckningstaktik och rykteshot.

Ompröva ransomware-försvar för ett identitetsfokuserat hot

Om identitetsstöld och social manipulation nu är den primära vägen för ransomware att få fäste, så adresserar försvar som enbart bygger på nätverksperimetersäkerhet och antivirusverktyg gårdagens problem. KnowBe4:s resonemang tyder på att organisationer måste behandla identitetsverifiering och mänskligt beteende som kärndelar av ransomware-försvaret, inte som eftertankar.

I praktiken innebär detta starkare identitetsverifieringsprocesser för lösenordsåterställning och kontoutvinning, phishing-resistent multi‑faktorautentisering istället för lätt kringgångna SMS-koder, samt löpande anställdautbildning som behandlar social manipulation som ett aktivt, föränderligt hot snarare än en engångsövning av compliance-skäl. Säkerhetskopior och nätverkssegmentering förblir avgörande, men de är nu den andra försvarslinjen snarare än den första.

Insatserna kring denna förändring uppmärksammas också på policynivå. Som vi har rapporterat överväger regeringar ett förbud mot ransomware-betalningar mitt i AI-drivna attacker, ett tecken på att reglerare inser att den nuvarande försvarsmodellen – betala för att problemet ska försvinna – inte är hållbar när attacker blir snabbare och mer övertygande.

Vad detta innebär för dig

Oavsett om du är en IT-beslutsfattare eller någon vars arbetsgivare innehar dina personuppgifter, har denna utveckling inom ransomware-taktik verkliga konsekvenser. Om angripare tar sig in genom att stjäla identiteter snarare än att utnyttja programvarubrister, så påverkar säkerheten för dina egna inloggningsuppgifter – och hur noggrant din organisation verifierar identitet innan åtkomst beviljas – direkt hur sårbar den organisationen är för en kostsam störning.

För individer förstärker detta en bekant men allt mer brådskande poäng: återanvända lösenord, svag MFA och slarviga svar på oväntade lösenordsåterställningsförfrågningar är inte bara personliga risker – de är potentiella inkörsportar för attacker som kan få ringar på vattnet och påverka tusentals människors data. För företag innebär det att ransomware-försvar måste förstås som ett identitets- och mänskligt beteendeproblem lika mycket som ett tekniskt problem.

Praktiska slutsatser

• Aktivera phishing-resistent multi‑faktorautentisering där det är möjligt, och förlita dig inte enbart på SMS-baserade koder.
• Var skeptisk till oväntade lösenordsåterställnings- eller kontoverifieringsförfrågningar, även de som verkar komma från interna helpdeskar.
• Organisationer bör granska hur identitetsverifiering fungerar för kontoutvinning, eftersom detta är en allt vanligare inkörsport för ransomware.
• Behandla regelbunden säkerhetsmedvetenhetsutbildning som en löpande nödvändighet, inte en engångscheckbox, eftersom social manipulationstaktik utvecklas snabbt.
• Upprätthåll offline, testade säkerhetskopior som andra försvarslinje, med förståelse för att stoppa identitetsbaserade intrång är lika viktigt som att återhämta sig från kryptering.

Ransomwares utveckling till en identitetsdriven affärsstörningsmodell innebär inte att kampen är omöjlig att vinna. Det innebär att kampen har flyttat. Försvar som en gång fokuserade snävt på skadlig kod och säkerhetskopior måste nu ta hänsyn till hur lätt en stulen identitet kan öppna dörren till ett helt nätverk – och det börjar med att behandla identitetssäkerhet som oskiljaktigt från ransomware-försvar i sig.