Identitetsattacker går om utnyttjande av sårbarheter som främsta ransomware-orsak

I åratal var ransomware-gäng mest kända för att utnyttja opatchad programvara, den typ av sårbarhet som får IT-team att kämpa med att tillämpa säkerhetsuppdateringar. Det är inte längre det primära sättet dessa attacker inleds. Enligt nya rön som Dark Reading rapporterar står nätfiske och skadlig e-post nu för hälften av alla ransomware-attacker, och har därmed officiellt gått om sårbarheter i programvara som den vanligaste ingångspunkten.

Ännu mer anmärkningsvärt: multifaktorautentisering (MFA), som länge ansetts vara ett av de starkaste skydden mot stulna inloggningsuppgifter, fanns redan på plats i 97 % av de inloggningsbaserade attacker som studerades. Med andra ord lyckas angripare inte för att organisationer struntat i grundläggande säkerhetsrutiner. De lyckas för att de har hittat sätt att kringgå dem.

Det här skiftet är viktigt eftersom det förändrar var den verkliga risken ligger. Att patch-servrar och täppa till programhål är fortfarande viktigt, men datan tyder på att angripare har flyttat sin energi till att lura människor snarare än att knäcka kod. Ett övertygande mejl, en falsk inloggningssida eller ett välriktat telefonsamtal kan nu göra det som en zero-day-exploit tidigare gjorde.

Varför MFA ensamt inte stoppar angripare

MFA har i åratal marknadsförts som ett nästan idiotsäkert skydd mot stöld av inloggningsuppgifter. Tanken är enkel: även om ett lösenord blir stulet behöver en angripare fortfarande en andra faktor, som en kod skickad till en telefon eller en autentiseringsapp, för att komma in. Den logiken håller mot enkla lösenordsgissningsattacker. Den håller betydligt sämre mot moderna nätfiskeverktyg.

Angripare har anpassat sig med tekniker som är särskilt utformade för att slå ut MFA. Nätfiske-proxyservrar i realtid kan fånga upp både ett lösenord och en engångskod i samma ögonblick som offret matar in dem, och sedan vidarebefordra informationen till det riktiga inloggningssystemet innan koden löper ut. Andra metoder riktar in sig direkt på sessionsnycklar, vilket gör att angripare kan kapa en redan autentiserad session utan att någonsin behöva den andra faktorn. Att MFA fanns på plats i 97 % av inloggningsbaserade ransomware-attacker i det här datasetet visar att det inte längre räcker att bara ha MFA aktiverat. Hur det är implementerat, och om det specifikt står emot nätfiske, är lika viktigt som om det finns.

Det betyder inte att MFA är värdelöst. Det blockerar fortfarande en stor mängd automatiserade och lågintensiva attacker. Men organisationer och individer som förlitar sig på det som en enda silverkula arbetar utifrån en föråldrad hotmodell.

Hur detta förhåller sig till den bredare intrångsbilden

Denna ransomware-specifika trend sammanfaller med ett relaterat men distinkt skifte som dokumenteras på annat håll i branschen. Som vpn.socials genomgång av Verizon 2026 Data Breach Investigations Report visar har sårbarheter i programvara gått om stulna eller svaga lösenord som den främsta ingångspunkten vid intrång i stort. Vid första anblicken verkar detta motsäga rönen kring ransomware, men de två dataseten mäter olika saker. DBIR tittar på intrång över alla kategorier och branscher, medan denna ransomware-undersökning specifikt fokuserar på hur ransomware-operatörer får sin första fot in.

Sammantaget framträder en bild av specialisering. Vissa angripare förfinar automatiserat utnyttjande av sårbarheter i stor skala, medan ransomware-grupper i synnerhet satsar allt mer på social manipulation riktad mot människor, sannolikt för att den erbjuder en snabbare och mer tillförlitlig väg till den typ av privilegierad åtkomst som krävs för att sprida ransomware över ett nätverk. Båda trenderna kan vara sanna samtidigt, och båda pekar på samma underliggande verklighet: angripare går dit minsta motståndets väg leder, och den vägen förändras ständigt.

Vad detta innebär för dig

Om du överhuvudtaget använder e-post, vare sig för jobb eller privata konton, påverkar den här trenden dig direkt. Ransomware riktas inte bara mot stora företag med dedikerade IT-avdelningar; småföretag, vårdgivare, skolor och enskilda yrkesutövare utsätts alla regelbundet för samma nätfiskemetoder. Ett enda övertygande mejl som öppnas vid fel tillfälle kan bli ingångspunkten för en attack som krypterar en hel organisations filer.

Den praktiska lärdommen är inte att överge MFA. Den är att inse att MFA är ett lager i ett bredare försvar, inte ett slutmål. Nätfiskeresistenta autentiseringsmetoder, noggrann granskning av oväntade inloggningsuppmaningar och en grundläggande skepsis mot brådskande mejl är fortfarande avgörande, även för konton som redan skyddas av MFA.

Praktiska åtgärder

  • Behandla MFA-uppmaningar som du inte har begärt som en varningssignal, inte som en rutinnotis, och godkänn aldrig en som du inte själv har initierat.
  • När det är möjligt, använd nätfiskeresistenta autentiseringsmetoder som fysiska säkerhetsnycklar istället för enbart SMS- eller appbaserade koder.
  • Var vaksam mot brådska i mejl som ber dig logga in, återställa ett lösenord eller verifiera ett konto – detta är klassiska metoder för ransomware-intrång.
  • Håll programvara patchad även om identitetsattacker nu leder som ransomware-orsak; exploatbaserade attacker har inte försvunnit, de har bara blivit mindre vanliga i förhållande till andra metoder.
  • Om du leder ett team eller en organisation, investera i medvetenhetsträning kring nätfiske vid sidan av tekniska skyddsåtgärder, eftersom datan visar att människor, inte bara system, nu är den främsta måltavlan.

I takt med att ransomware-taktiken fortsätter att skifta mot identitet och social manipulation är ett av de mest effektiva försvaren att hålla sig informerad om hur dessa attacker faktiskt går till. Att förstå var den verkliga risken ligger idag är det första steget mot att täppa till den luckan innan angripare kan utnyttja den.