Vad Sophos-rapporten fann om komprometterade identiteter

En nyligen publicerad Sophos-rapport sätter en konkret siffra på något som säkerhetsteam misstänkt i flera år: ransomware-gäng bryter inte längre upp ytterdörren – de kliver in med en stulen nyckel. Enligt resultaten härrör 79% av ransomware-attacker nu från komprometterade identiteter, vilket innebär att den initiala åtkomstpunkten i de flesta fall är ett giltigt användarnamn och lösenord snarare än en mjukvaruexploatering eller skadlig bilaga.

Rapporten belyser också en markant skillnad i hur organisationer av olika storlek agerar när en attack väl har inletts. Endast 34% av små organisationer lyckades stoppa en attack innan kryptering eller utpressning inträffade. Jämför det med organisationer med 3 001 till 5 000 anställda, som stoppade attacker i 46% av fallen. Den skillnaden antyder att resurstilldelning, bemanning och mognad i detektion fortfarande spelar stor roll, även om angriparens inträdesmetod ser likadan ut oavsett företagsstorlek.

Geografiskt noterar rapporten att Storbritannien registrerade den högsta median-lösensumman av alla regioner som ingick i studien. Även om den fullständiga sifferuppdelningen inte redovisades i detalj, förstärker mönstret en bredare trend: lösensummorna kalibreras utifrån upplevd betalningsförmåga, inte enbart utifrån själva datavärdet.

Varför MFA inte ensam stoppar ransomware

Här är fyndet som borde få många säkerhetsbudgetar att tänka om: multifaktorautentisering användes i någon form i 97% av incidenterna där komprometterade inloggningsuppgifter var grundorsaken. Med andra ord hade nästan varje organisation som drabbades av ett intrång via stulna inloggningsuppgifter redan MFA aktiverat någonstans i sin miljö.

Det betyder inte att MFA är värdelöst. Det betyder att MFA inte är en fullständig lösning när det tillämpas inkonsekvent. Täckningsluckor, som äldre system som inte stöder modern autentisering, tjänstekonton som undantas från MFA-policyer eller fjärråtkomstverktyg konfigurerade med svagare verifiering, ger angripare precis den öppning de behöver. En målmedveten angripare behöver inte övervinna MFA överallt; de behöver bara hitta den enda inloggningsväg där det aldrig tillämpades.

Detta är den centrala spänningen som Sophos-data blottlägger. Säkerhetsteam har i åratal behandlat MFA som en checkruta, men ransomware-aktörer har anpassat sig genom att jaga de konton, system och integrationer som faller utanför den rutan. Resultatet är en försvarsstrategi som ser stark ut på pappret men har verkliga hål i praktiken.

Praktiska åtgärder för identitetshygien utöver MFA

Om komprometterade inloggningsuppgifter är den dominerande ingångspunkten, förtjänar identitetshygien samma operativa uppmärksamhet som patchhantering eller ändpunktsskydd vanligtvis får. Några praktiska steg sticker ut baserat på rapportens implikationer:

  • Granska MFA-täckningen, inte bara att MFA finns. Bekräfta att varje fjärråtkomstpunkt, administratörskonto och tredjepartsintegration faktiskt tillämpar MFA, inte bara den primära inloggningsskärmen.
  • Prioritera phishing-resistent autentisering där det är möjligt, eftersom traditionella engångskoder fortfarande kan fångas upp eller manipuleras socialt.
  • Övervaka återanvändning av inloggningsuppgifter och inaktuella konton. Vilande konton och delade inloggningar är vanliga blinda fläckar som angripare utnyttjar långt efter att medarbetare har slutat eller bytt roll.
  • Segmentera åtkomst efter roll och nödvändighet. Även ett komprometterat konto är mycket mindre användbart för en angripare om det inte medger bred lateral förflyttning över nätverket.
  • Bygg snabbare detektions- och responskapacitet, särskilt för mindre organisationer. Skillnaden mellan 34% och 46% i inneslutningsgrad antyder att detektionshastighet, inte bara förebyggande, är där resursbegränsade team tappar mark.

Inget av dessa steg kräver exotiska verktyg. De kräver disciplin, synlighet och en vilja att behandla identitet som ett levande system som behöver regelbunden revision snarare än en engångsuppgift.

Hur krypterade verktyg och VPN passar in i ett försvar i flera lager

VPN och krypterade åtkomstverktyg förblir ett användbart lager i en bredare identitetsskyddsstrategi, särskilt för att säkra fjärrinloggningar och minska exponeringen i opålitliga nätverk. Men Sophos-resultaten påminner om att inget enskilt verktyg, vare sig det är ett VPN, MFA eller ändpunktsskydd, kan ersätta konsekvent identitetsstyrning i hela organisationen. Angripare letar efter mellanrummet mellan verktygen, inte själva verktygen.

Detta är också ett bra tillfälle att tänka på hur åtkomstkontroller och internetpolicy samverkar i ett bredare perspektiv. Precis som regeringar alltmer granskar hur VPN-leverantörer hanterar åtkomstbegränsningar, ombeds organisationer att granska hur deras egna åtkomstverktyg konfigureras och övervakas. Att förstå hur system med flera begränsningslager fungerar, i likhet med hur nationella internetcensursystem är uppbyggda med flera genomdrivandelager snarare än en enda grind, erbjuder en användbar analogi för varför försvaret mot ransomware också kräver flera, överlappande kontroller snarare än tillit till en enda skyddsmekanism.

Vad detta betyder för dig

Om du hanterar IT-säkerhet i en organisation av valfri storlek, är denna rapport en signal att ompröva antaganden. Att ha MFA aktiverat är inte samma sak som att ha MFA genomfört på alla ställen där det behövs. Försvar mot ransomware via stulna inloggningsuppgifter år 2026 kräver att man behandlar identitet som en kontinuerlig operativ disciplin, inte ett projekt som avslutades när MFA-utrullningen markerades som klar.

Särskilt för mindre organisationer är skillnaden i inneslutningsgrad värd att ta på allvar. Den antyder att investeringar i detektions- och responskapacitet, även blygsamma förbättringar, kan förändra utgången av en attack som redan har fått inledande åtkomst.

Viktiga slutsatser

  • 79% av ransomware-attacker börjar nu med stulna inloggningsuppgifter, enligt Sophos.
  • MFA fanns i 97% av de ransomware-incidenter som baserades på inloggningsuppgifter, vilket visar att täckningsluckor, inte avsaknad av MFA, är det verkliga problemet.
  • Små organisationer stoppade attacker endast i 34% av fallen, jämfört med 46% för större organisationer med 3 001 till 5 000 anställda.
  • Storbritannien registrerade den högsta median-lösensumman i rapporten.
  • Ett effektivt försvar mot ransomware via stulna inloggningsuppgifter kräver granskning av MFA-täckning, övervakning av inaktuella eller återanvända inloggningsuppgifter, segmentering av åtkomst och snabbare detektionskapacitet, inte tillit till ett enskilt säkerhetsverktyg.