Sophos’ siste rapport viser at kompromitterte identiteter nå er den vanligste inngangsveien for ransomware-angrep. Samtidig øker andelen angrep der data krypteres, selv om både krav om løsepenger og løsepengebeløp fortsetter å synke.
Sophos har publisert den syvende utgaven av sin årsrapport Tilstanden til løsepengevirus, basert på en undersøkelse av IT- og cybersikkerhetsledere i 17 land. Rapporten viser at fire av fem ransomware-angrep i løpet av det siste året, eller 79 prosent, startet med kompromitterte identiteter. Dette gjør identitetsbaserte brudd til den vanligste første angrepsvektoren for ransomware.
Ifølge Sophos Utviklingen gjenspeiler et tydelig skifte i angripernes metoder. For første gang på fire år er ikke utnyttede sårbarheter lenger den vanligste årsaken til ransomware-angrep. I stedet dominerer ondsinnede e-poster (26 prosent) og phishing (24 prosent), noe som indikerer at nettkriminelle i økende grad fokuserer på å skaffe brukerpåloggingsinformasjon i stedet for å utnytte tekniske sikkerhetsfeil.
Samtidig viser rapporten at angrep som utnytter sårbarheter i for eksempel brannmurer fortsatt er spesielt kostbare. I 59 prosent av disse tilfellene var kravet om løsepenger minst 1 million dollar, sammenlignet med 48 prosent for alle ransomware-angrep.
Rapporten viser også at 56 prosent av organisasjonene som ble rammet av ransomware fikk dataene sine kryptert, en økning fra året før og et brudd på den nedadgående trenden som er sett de siste to årene.
Viktige funn i rapporten
- To tredjedeler av ofrene for løsepengevirus (67 prosent) sier at løsepengevirusangrepet også var deres mest alvorlige identitetshendelse, noe som ytterligere understreker at kompromitterte identiteter har blitt en viktig angrepsmetode.
- I 56 prosent av ransomware-angrepene klarte angriperne å kryptere en organisasjons data. Av disse hendelsene involverte 16 prosent både datakryptering og datatyveri. Dette er en økning fra 50 prosent i 2025, men er fortsatt under toppen på 75 prosent sett i 2023.
- Da data ble kryptert, valgte 48 prosent av organisasjonene å betale løsepenger, noe som bringer den gjennomsnittlige betalingsraten de siste fire årene til rundt 50 prosent.
- Bare 34 prosent av organisasjoner med 100 til 250 ansatte klarte å stoppe angrepet før kryptering eller utpressing ble utført, sammenlignet med 46 prosent av organisasjoner med 3001 til 5000 ansatte.
- I 97 prosent av ransomware-angrepene som startet med kompromitterte påloggingsinformasjon, var en eller annen form for flerfaktorautentisering (MFA) aktivert. I følge Sophos Dette viser at MFA fortsatt er et viktig sikkerhetstiltak, men at det ikke er nok alene hvis det ikke implementeres riktig og dekker alle tilgangspunkter.
- Storbritannia hadde den høyeste medianverdien av kravet om løsepenger i undersøkelsen, på 2,5 millioner dollar.
Raskere gjenoppretting til tross for økte kostnader
Rapporten viser også at organisasjoner har blitt bedre til å gjenopprette seg etter et ransomware-angrep. Forbedrede sikkerhetskopier og mer effektive gjenopprettingsprosedyrer betyr at 55 prosent klarte å gjenopprette seg innen en uke, mens 16 prosent klarte å gjøre det på under 24 timer.
I mellomtiden fortsetter mange organisasjoner å forhandle med angriperne. Av de som valgte å betale løsepenger, klarte 51 prosent å forhandle ned løsepengene til et beløp lavere enn angripernes opprinnelige krav. Mediankravet for løsepenger har også sunket med 65 prosent de siste to årene. Andelen organisasjoner som betaler løsepenger har falt til 48 prosent, det nest laveste nivået siden Sophos begynte å spore fremdriften.
Til tross for dette fortsetter de totale gjenopprettingskostnadene å stige, og gjennomsnittskostnaden for å gjenopprette etter et ransomware-angrep ligger nå på 1,7 millioner dollar per hendelse.
Sophos anbefaler
For å redusere risikoen for ransomware anbefaler Sophos at organisasjoner:
- Behandle identitet som en sentral del av sikkerhetsarbeidet ved å implementere avansert identitetstrusselovervåking, bruke phishing-resistent flerfaktorautentisering og regelmessig gjennomgå både menneskelige og maskinelle identiteter.,
- Styrk sikkerhetskopiering og gjenoppretting ved å teste sikkerhetskopier regelmessig, lagre dem offline eller i uforanderlige formater, og integrere dem i organisasjonens hendelseshåndteringsplan.,
- systematisk arbeid med eksponeringshåndtering gjennom kontinuerlig oppdatering, prioritering av internett-eksponerte systemer og bruk av AI-støttede verktøy for å identifisere og utbedre sårbarheter raskere,
- Reduserer brannmureksponering ved å sikre rettidige sikkerhetsoppdateringer, begrense internett-eksponerte administrasjonsgrensesnitt og koble brannmurer til XDR- og MDR-plattformer for raskere deteksjon og respons på angrep.
Swedish
Danish
Norwegian
Finnish
English
German
Dutch