勒索软件攻击很少以加密开始。早在系统被锁定、赎金通知出现之前，攻击者可能已经掌握了进入组织网络所需的凭证。这是Security Boulevard近期一篇援引2026年Verizon数据泄露调查报告（DBIR）的文章的核心观点，它重塑了我们对被盗凭证勒索软件攻击的认知方式：锁定只是最后一幕，而非开场动作。

该报告报道的可用摘录较为简短，因此本文仅围绕其所陈述的内容以及vpn.social已经报道过的内容展开。但对于个人和组织而言，要点依然清晰且实用。

被盗凭证如何成为勒索软件的入口

将勒索软件视为一条供应链而非单一事件，有助于理解。不同的行为者负责不同的阶段。一个团伙获取登录凭证，另一个团伙购买或使用这些凭证进入网络，而勒索软件本身则在访问权限被确立之后才登场。

这一点之所以重要，是因为一个有效的用户名和密码看起来就像正常活动。使用真实凭证登录的攻击者不需要突破防火墙或利用软件漏洞。他们只需登录，而安全工具起初可能不会标记任何异常。

到加密开始时，攻击者可能已经在内部潜伏了一段时间。赎金要求是受害者发现问题的时刻，而非攻击开始的时刻。

凭证供应链的起点：信息窃取程序与泄露的登录凭证

那么这些凭证从何而来？一个主要来源是信息窃取程序恶意软件，它悄无声息地从受感染的设备中收集已保存的登录信息、会话数据和其他机密。窃取的数据通常被打包成犯罪份子可以交易或出售的“日志”。

vpn.social已详细报道了这一转变。正如我们所报道的，信息窃取程序日志已超越网络钓鱼成为首要泄露原因，研究人员指出信息窃取程序恶意软件是攻击者进入企业网络日益常见的方式。这与供应链图景相吻合：收集凭证是一个独立的步骤，为接下来的任何攻击提供输入，包括勒索软件。

一台被感染的个人笔记本电脑就可能足够。如果员工在受感染的设备上通过浏览器保存了工作登录信息，该凭证可能在雇主毫不知情的情况下流入犯罪市场。

2026年DBIR关于勒索软件访问权限的论述

Verizon DBIR是引用最广泛的年度泄露事件研究之一。根据对2026年版的报道，攻击者在勒索软件攻击变得可见之前可能已经拥有了所需的凭证。这一框架将凭证置于攻击链的前端，而非将加密视为起点。

我们不会在此对该发现附加具体数字，因为来源摘录并未提供。想要确切数据的读者应查阅报告本身。不过，其方向与凭证窃取驱动初始访问的更广泛趋势是一致的。

实际的启示是关注点的转变。防御勒索软件不仅仅是在链条末端做好备份和终端保护。它还意味着减少犯罪份子可以在起点获取的有效、暴露的登录凭证的数量。

这对你意味着什么：减少暴露登录凭证的实用步骤

你无法阻止每一个信息窃取程序，但你可以让被盗的登录凭证远不那么有用。考虑以下步骤：

  • 为每个账户使用唯一密码。 如果一个凭证泄露，它不应该能解锁其他任何东西。
  • 采用密码管理器。 它使唯一的长密码变得现实可行，并避免在你不能完全信任的设备上通过浏览器随意存储登录信息。
  • 开启多因素认证（MFA）。 这样仅凭被盗密码就不足以登录。在可用的情况下，优先选择基于应用或硬件的方式。
  • 保持设备清洁。 安装更新，避免非官方软件下载，移除你不认识的程序，因为信息窃取程序往往通过这些途径到达。
  • 区分工作与个人使用。 避免在个人或共享设备上登录工作账户。
  • 在疑似感染或收到泄露通知后更改密码。 从已知清洁的设备上操作，并注销活跃会话。

如果你管理一个团队，同样的逻辑可以扩展：强制执行MFA，限制谁拥有特权访问权限，并审查哪些账户仍然拥有他们不再需要的访问权限。

切断供应链

2026年Verizon DBIR报道的核心教训是，被盗凭证勒索软件攻击远在任何人看到赎金通知之前就已开始。最有效的防御是让你的登录凭证难以被窃取，且即使被窃取也价值有限。

从今天开始做一个简单的审计：列出你的重要账户，检查是否有重复使用的密码，并在所有提供MFA的地方启用它。然后将你的登录信息迁移到密码管理器中，为每项服务设置唯一凭证。如需更深入了解凭证最初是如何被收集的，请阅读我们的报告信息窃取程序日志超越网络钓鱼成为首要泄露原因。现在的一点卫生习惯就能打破链条上的第一环。