Атаки програм-вимагачів рідко починаються з шифрування. Задовго до того, як системи заблоковано й з'являється записка з вимогою викупу, зловмисники можуть уже володіти обліковими даними, потрібними для входу в мережу організації. Це головна теза нещодавньої публікації на Security Boulevard, що спирається на Звіт про розслідування витоків даних Verizon (DBIR) 2026 року, і вона змінює наш погляд на атаки програм-вимагачів із використанням вкрадених облікових даних: блокування — це фінальний акт, а не перший хід.

Доступний уривок із цього огляду звіту короткий, тож цей допис обмежується тим, що в ньому сказано, та тим, про що вже повідомляв vpn.social. Головний висновок усе одно чіткий і практичний як для окремих людей, так і для організацій.

Як вкрадені облікові дані стають точкою входу для програм-вимагачів

Корисно уявляти програми-вимагачі як ланцюг постачання, а не як окрему подію. Різні учасники відповідають за різні етапи. Одна група здобуває логіни, інша купує або використовує їх, щоб потрапити в мережу, а сама програма-вимагач з'являється пізніше, коли доступ уже забезпечено.

Це важливо, тому що чинні ім'я користувача та пароль виглядають як звичайна активність. Зловмиснику, який входить із справжніми обліковими даними, не потрібно пробиватися крізь брандмауер чи експлуатувати вразливість у програмному забезпеченні. Він просто входить у систему, і засоби безпеки спершу можуть не помітити нічого незвичайного.

На момент початку шифрування зловмисник може вже певний час перебувати всередині. Вимога викупу — це момент, коли жертва дізнається про атаку, а не момент, коли вона почалася.

Звідки бере початок ланцюг постачання облікових даних: інфостилери та злиті логіни

Тож звідки беруться облікові дані? Основне джерело — шкідливе програмне забезпечення типу інфостилер, яке тихо збирає збережені логіни, дані сеансів та інші секрети з інфікованих пристроїв. Вкрадені дані зазвичай збирають у «логи», якими злочинці можуть обмінюватися або які можуть продавати.

vpn.social докладно висвітлював цю зміну. Як ми повідомляли, логи інфостилерів перевершили фішинг як провідну причину витоків, і дослідники вказують на шкідливе ПЗ типу інфостилер як на дедалі поширеніший спосіб, у який зловмисники потрапляють у корпоративні мережі. Це вписується в картину ланцюга постачання: збирання облікових даних — це окремий крок, який живить будь-яку наступну атаку, зокрема програми-вимагачі.

Достатньо одного інфікованого особистого ноутбука. Якщо працівник зберігає робочий логін у браузері на скомпрометованому пристрої, ці облікові дані можуть опинитися на злочинному ринку без жодного відома роботодавця.

Що DBIR 2026 говорить про доступ для програм-вимагачів

DBIR від Verizon — одне з найбільш цитованих щорічних досліджень того, як відбуваються витоки. Згідно з оглядом видання 2026 року, зловмисники можуть уже мати потрібні облікові дані ще до того, як атака програми-вимагача стає помітною. Таке формулювання ставить облікові дані на початок ланцюга атаки, а не розглядає шифрування як відправну точку.

Ми не наводимо тут цифр щодо цього висновку, бо уривок джерела їх не містить. Читачам, які хочуть точних даних, варто звернутися до самого звіту. Однак напрям узгоджується із ширшою тенденцією, коли крадіжка облікових даних зумовлює початковий доступ.

Практичний наслідок — зміна фокусу. Захист від програм-вимагачів — це не лише резервні копії та захист кінцевих точок у кінці ланцюга. Це також зменшення кількості чинних, відкритих логінів, які злочинці можуть підхопити на початку.

Що це означає для вас: практичні кроки для зменшення кількості відкритих логінів

Ви не можете зупинити кожен інфостилер, але можете зробити вкрадені логіни значно менш корисними. Розгляньте ці кроки:

  • Використовуйте унікальний пароль для кожного акаунта. Якщо один обліковий запис зіллється, він не повинен відкривати доступ до чогось іншого.
  • Запровадьте менеджер паролів. Він робить унікальні довгі паролі реальними та допомагає уникати недбалого зберігання логінів у браузері на пристрої, якому ви не цілком довіряєте.
  • Увімкніть багатофакторну автентифікацію (MFA). Тоді одного вкраденого пароля недостатньо для входу. Віддавайте перевагу застосунковим або апаратним методам, де вони доступні.
  • Тримайте пристрої чистими. Встановлюйте оновлення, уникайте завантаження неофіційного програмного забезпечення та видаляйте програми, яких не впізнаєте, адже інфостилери часто потрапляють саме так.
  • Розділяйте робоче та особисте використання. Уникайте входу в робочі акаунти на особистих або спільних пристроях.
  • Змінюйте паролі після підозри на інфікування або повідомлення про витік. Робіть це з відомого чистого пристрою та завершуйте активні сеанси.

Якщо ви керуєте командою, та сама логіка масштабується: запровадьте MFA, обмежте коло осіб із привілейованим доступом і перегляньте, які акаунти досі мають доступ, який їм більше не потрібен.

Перервіть лінію постачання

Головний урок з огляду DBIR 2026 від Verizon полягає в тому, що атаки програм-вимагачів із використанням вкрадених облікових даних починаються задовго до того, як хтось побачить записку з вимогою викупу. Найефективніший захист — зробити ваші логіни важкими для крадіжки та менш цінними, якщо їх усе ж украдуть.

Почніть сьогодні з простого аудиту: складіть перелік важливих акаунтів, перевірте, чи не повторюються паролі, і ввімкніть MFA всюди, де вона пропонується. Потім перенесіть свої логіни в менеджер паролів з унікальними обліковими даними для кожного сервісу. Щоб глибше подивитися, як облікові дані збирають насамперед, прочитайте наш звіт про те, як логи інфостилерів перевершили фішинг як провідну причину витоків. Трохи гігієни зараз може розірвати першу ланку ланцюга.