勒索软件团伙已基本不再试图通过防火墙入侵。相反，他们直接登录。Sophos的一份新报告发现，基于身份的攻击技术，包括网络钓鱼、恶意电子邮件、凭证泄露和暴力破解尝试，是85%针对教育机构的勒索软件攻击的幕后推手。这一比例明显高于79%的跨行业平均水平，使中小学和大学成为此类攻击暴露程度最高的行业。财务损失十分惨重：Sophos估计，勒索软件事件的平均恢复成本为226万美元。
为什么教育行业是身份类攻击的首要目标
中小学和大学面临着独特而棘手的安全环境。每年都有大量流动的学生、教职员工在网络中进出，每个人都需要自己的一套凭证。与金融或医疗行业的同行相比，IT部门往往资金不足、人手短缺，却要管理存储着敏感学生记录、研究数据和财务信息的网络。
高用户流动性、低安全预算和有价值的数据，这三者的组合使教育行业成为攻击者的理想目标——只要获取一个可用的密码，他们就不需要复杂的恶意软件。Sophos记录的85%基于身份的攻击率反映了这一现实：犯罪分子利用的是该行业的结构性弱点，而非技术弱点。
这种模式并非大型大学独有。没有专职安全团队的小型组织同样面临这种风险，正如一家斋浦尔的小型电子商务企业所亲身经历的——一个被泄露的账户可以多么迅速地升级为一场全面的勒索软件事件。
凭证泄露和网络钓鱼如何绕过传统防御
传统的网络安全投资——防火墙、杀毒软件、网络分段——是为了捕获恶意软件和阻止未经授权的网络入侵而构建的。当攻击者直接用窃取或猜到的凭证登录时，这些工具的效果就大打折扣，因为这种登录在大多数监控系统中看起来是合法的。
Sophos对基于身份的攻击技术的分类——恶意电子邮件、网络钓鱼、凭证泄露和暴力破解攻击——说明了为什么仅靠技术手段很难阻止这一类威胁。一封诱骗员工输入密码的网络钓鱼邮件不会触发恶意软件警报。使用弱密码或重复密码的暴力破解登录看起来就像普通用户活动，直到攻击者开始在网络中横向移动。一旦进入内部，攻击者往往拥有与合法员工相同的访问权限，使检测依赖于行为监控而非边界防御。
这与更广泛的行业发现一致。最近对50多起勒索软件入侵事件的研究发现，攻击者越来越依赖看起来合法的访问方式，而非明显的漏洞利用——无论目标是学区还是中型企业，这种套路如出一辙。
226万美元的恢复成本：学校实际支付了什么
Sophos报告的平均226万美元恢复数字不仅仅是赎金，而且它很少是最大的支出项目。恢复成本通常包括事件响应和取证调查、重建或恢复系统、停机期间的生产力损失、法律和监管义务，以及可能影响招生或拨款声誉损害。
对于资金紧张的学区和公立大学来说，即使不支付赎金，这些成本也可能是毁灭性的。正如在对勒索软件攻击的真实成本的更详细分析中所阐述的，头条新闻中的赎金要求往往只是组织最终恢复支出的一小部分。一些勒索软件团伙还转向了双重勒索策略，先窃取数据再加密，并威胁单独泄露或拍卖数据——正如CMD勒索软件团伙拍卖窃取的数据并索要数百万美元付款时所做的那样。这种额外的压力可能进一步推高恢复成本。
分层防御：多因素认证、凭证监控和网络级保护
鉴于身份——而非恶意软件——是教育行业勒索软件的主要入口，最有效的防御应侧重于保护和监控凭证，而非仅仅加固网络边界。多因素认证（MFA）仍然是对抗凭证泄露最简单、最有效的屏障之一，因为仅凭被盗密码对攻击者的用处会大大降低。标记重复使用或已泄露密码的凭证监控服务，结合对高风险账户的定期密码重置，可以在暴露被利用之前将其捕获。
网络级保护仍然重要，但最好作为第二层防御而非主要防御。对网络进行分段，使单个被泄露的账户无法触及整个系统，再加上强大的端点检测，可以在攻击者进入后限制损害。速度在这里也很关键。正如在对勒索软件事件响应的概述中所指出的，从初始入侵到全面检测之间的时间差往往决定了一起事件是被控制住还是演变为代价高昂的、波及全行业的破坏。
这对你意味着什么
如果你在教育行业内的机构工作或送孩子上学，这些数据提醒我们，大多数学校网络中最薄弱的环节不是过时的软件，而是登录凭证。网络钓鱼邮件、重复使用的密码和薄弱的认证实践仍然是勒索软件团伙进入内部的最简单途径。无论你是学生、家长、教职员工还是IT管理员，将凭证视为敏感资产、使用唯一密码、在提供MFA的地方启用它，并对网络钓鱼尝试保持警惕，都能切实降低该行业对基于身份的勒索软件攻击的暴露风险。
关键要点
- 根据Sophos的数据，基于身份的攻击技术——网络钓鱼、恶意电子邮件、凭证泄露和暴力破解——导致了85%针对教育机构的勒索软件攻击，高于79%的跨行业平均水平。
- 勒索软件的平均恢复成本现已达到226万美元，涵盖的范围远不止赎金本身。
- 防火墙等传统边界防御对使用有效窃取凭证登录的攻击者几乎无能为力。
- 多因素认证和凭证监控是学校应对基于身份勒索软件攻击最有效的工具之一。
- 快速的事件检测和响应能显著减少凭证泄露后的财务和运营损失。
