Ransomwaregrupper har till stor del slutat försöka hacka sig igenom brandväggar. I stället loggar de in. En ny rapport från Sophos visar att identitetsbaserade attacktekniker, inklusive nätfiske...

Ransomwaregrupper har till stor del slutat försöka hacka sig igenom brandväggar. I stället loggar de in. En ny rapport från Sophos visar att identitetsbaserade attacktekniker, inklusive nätfiske, skadliga e-postmeddelanden, komprometterade inloggningsuppgifter och brute force-försök, låg bakom 85 % av ransomwareattacker mot utbildningsinstitutioner. Det är markant högre än genomsnittet på 79 % över alla sektorer, vilket gör skolor och universitet till den mest utsatta sektorn för denna typ av attacker. De ekonomiska konsekvenserna är stora: Sophos uppskattar den genomsnittliga återställningskostnaden efter en ransomwareincident till 2,26 miljoner dollar.

Varför utbildningssektorn är den mest utsatta sektorn för identitetsbaserade attacker

Skolor och universitet utgör en unikt svår säkerhetsmiljö. Stora, tillfälliga populationer av studenter, lärare och personal passerar genom nätverket varje år, och var och en behöver sin egen uppsättning inloggningsuppgifter. IT-avdelningar är ofta underfinansierade och underbemannade jämfört med sina motsvarigheter inom finans eller sjukvård, samtidigt som de hanterar nätverk som innehåller känsliga studentregister, forskningsdata och finansiell information.

Den kombinationen, hög användaromsättning, låga säkerhetsbudgetar och värdefulla data, gör utbildningssektorn till ett attraktivt mål för angripare som inte behöver sofistikerad skadlig programvara om de helt enkelt kan få tag i ett fungerande lösenord. Den identitetsbaserade attackfrekvensen på 85 % som Sophos dokumenterade speglar denna verklighet: kriminella utnyttjar sektorns strukturella svagheter snarare än dess tekniska.

Detta mönster är inte unikt för stora universitet. Mindre organisationer utan dedikerade säkerhetsteam står inför samma exponering, vilket framgår av en liten e-handelsverksamhet i Jaipur som på egen hand fick erfara hur snabbt ett enda komprometterat konto kan eskalera till en fullskalig ransomwareincident.

Hur komprometterade inloggningsuppgifter och nätfiske kringgår traditionella försvar

Traditionella cybersäkerhetsinvesteringar, brandväggar, antivirusprogram, nätverkssegmentering, är byggda för att fånga skadlig programvara och blockera obehöriga nätverksintrång. De är långt mindre effektiva när en angripare helt enkelt loggar in med stulna eller gissade inloggningsuppgifter, eftersom den inloggningen ser legitim ut för de flesta övervakningssystem.

Sophos uppdelning av identitetsbaserade tekniker, skadlig e-post, nätfiske, komprometterade inloggningsuppgifter och brute force-attacker, illustrerar varför denna hotkategori är så svår att stoppa enbart med teknik. Ett nätfiskemejl som lurar en anställd att ange sitt lösenord utlöser ingen varning om skadlig programvara. En brute force-inloggning med ett svagt eller återanvänt lösenord ser ut som vanlig användaraktivitet tills angriparen börjar röra sig genom nätverket. Väl inne har angripare ofta samma åtkomst som en legitim anställd, vilket gör upptäckt beroende av beteendeövervakning snarare än perimeterförsvar.

Detta överensstämmer med bredare branschfynd. En nylig genomgång av 50+ ransomwareintrång visade att angripare i allt högre grad förlitar sig på legitimt utseende åtkomst snarare än uppenbara sårbarheter, ett tillvägagångssätt som spelar ut på samma sätt oavsett om målet är ett skoldistrikt eller ett medelstort företag.

Återställningskostnaden på 2,26 miljoner dollar: vad skolor faktiskt betalar för

Den genomsnittliga återställningssiffran på 2,26 miljoner dollar som Sophos rapporterar är inte bara lösensumman, och den är sällan den största posten. Återställningskostnader inkluderar vanligtvis incidenthantering och forensisk utredning, återuppbyggnad eller återställning av system, förlorad produktivitet under driftstopp, juridiska och regulatoriska skyldigheter samt reputationsskada som kan påverka inskrivning eller finansiering.

För ekonomiskt ansträngda skoldistrikt och offentliga universitet kan dessa kostnader vara förödande även utan att betala en lösensumma. Som beskrivs i en bredare genomgång av den verkliga kostnaden för ransomwareattacker, är det rubrikframträdande lösenkravet ofta en bråkdel av vad en organisation i slutändan spenderar på att återhämta sig från en attack. Vissa ransomwaregrupper har också övergått till dubbel utpressningstaktik, där de stjäl data innan de krypterar den och hotar att läcka eller auktionera ut den separat, vilket sågs när CMD ransomware-gänget auktionerade ut stulen data och krävde en betalning på flera miljoner dollar. Detta extra tryck kan driva återställningskostnaderna ännu högre.

Skiktade försvar: MFA, övervakning av inloggningsuppgifter och skydd på nätverksnivå

Med tanke på att identitet, inte skadlig programvara, är den primära ingångspunkten för ransomware inom utbildning, fokuserar de mest effektiva försvaren på att skydda och övervaka inloggningsuppgifter snarare än att enbart härda nätverksperimetern. Multifaktorautentisering (MFA) är fortfarande ett av de enklaste och mest effektiva skydden mot komprometterade inloggningsuppgifter, eftersom ett stulet lösenord ensamt blir mycket mindre användbart för en angripare. Tjänster för övervakning av inloggningsuppgifter som flaggar återanvända eller läckta lösenord, kombinerat med regelbundna lösenordsbyten för högriskkonton, kan upptäcka exponering innan den utnyttjas.

Skydd på nätverksnivå är fortfarande viktigt, men de fungerar bäst som ett andra lager snarare än det primära försvaret. Segmentering av nätverk så att ett enda komprometterat konto inte kan nå ett helt system, tillsammans med stark slutpunktsdetektering, begränsar skadorna när en angripare väl tar sig in. Hastighet spelar också roll här. Som beskrivs i en genomgång av incidenthantering vid ransomware, avgör ofta gapet mellan initial kompromettering och fullständig upptäckt huruvida en incident förblir innesluten eller blir en kostsam, sektorsomfattande störning.

Vad detta innebär för dig

Om du arbetar inom eller har barn på en institution inom utbildningssektorn, är dessa data en påminnelse om att den svagaste punkten i de flesta skolnätverk inte är föråldrad programvara, det är inloggningsuppgifter. Nätfiskemejl, återanvända lösenord och svaga autentiseringsmetoder är fortfarande det enklaste sättet för ransomwaregrupper att ta sig in. Oavsett om du är student, förälder, lärare eller IT-administratör, minskar det sektorns exponering för identitetsbaserade ransomwareattacker avsevärt att behandla inloggningsuppgifter som känsliga tillgångar, använda unika lösenord, aktivera MFA där det erbjuds och vara uppmärksam på nätfiskeförsök.

Viktiga slutsatser

• Identitetsbaserade attacktekniker, nätfiske, skadlig e-post, komprometterade inloggningsuppgifter och brute force, orsakade 85 % av ransomwareattackerna mot utbildningsinstitutioner, enligt Sophos, vilket är över genomsnittet på 79 % över alla sektorer.
• Genomsnittliga återställningskostnader för ransomware uppgår nu till 2,26 miljoner dollar, vilket täcker långt mer än lösensumman i sig.
• Traditionella perimeterförsvar som brandväggar gör lite för att stoppa angripare som loggar in med giltiga, stulna inloggningsuppgifter.
• Multifaktorautentisering och övervakning av inloggningsuppgifter är bland de mest effektiva verktyg skolor kan använda mot identitetsbaserade ransomwareattacker.
• Snabb incidentupptäckt och incidenthantering minskar avsevärt de ekonomiska och operativa konsekvenserna när inloggningsuppgifter har komprometterats.

FAQ: Q1: Hur stor andel av ransomwareattackerna mot utbildningsinstitutioner börjar med identitetsbaserade tekniker? A1: Sophos fann att identitetsbaserade attacktekniker låg bakom 85 % av ransomwareattackerna mot utbildningsinstitutioner. Q2: Hur förhåller sig utbildningssektorns frekvens av identitetsbaserade attacker till genomsnittet över alla sektorer? A2: Utbildningssektorns frekvens på 85 % är högre än genomsnittet på 79 % över alla sektorer, vilket gör den till den mest utsatta sektorn för denna typ av attacker. Q3: Vad är den genomsnittliga återställningskostnaden efter en ransomwareincident enligt Sophos? A3: Sophos uppskattar den genomsnittliga återställningskostnaden efter en ransomwareincident till 2,26 miljoner dollar. Q4: Varför är utbildningssektorn så sårbar för identitetsbaserade attacker? A4: Utbildningssektorn har hög användaromsättning, låga säkerhetsbudgetar och värdefulla data, vilket gör den till ett attraktivt mål för angripare som helt enkelt kan få tag i ett fungerande lösenord. Q5: Varför är traditionella försvar som brandväggar och antivirus mindre effektiva mot identitetsbaserade attacker? A5: Dessa verktyg är byggda för att fånga skadlig programvara och blockera obehöriga intrång, men de är långt mindre effektiva när en angripare loggar in med stulna eller gissade inloggningsuppgifter eftersom den inloggningen ser legitim ut för de flesta övervakningssystem. ---END---