I login compromessi diventano la porta d’ingresso del ransomware
Il punto che cambia è semplice: il ransomware entra sempre più spesso da credenziali vere o rubate, non da una falla software. La difesa che punta prima su exploit e malware detection perde il varco principale quando l’attaccante può autenticarsi come un utente legittimo e passare da accessi remoti, applicazioni esposte o pannelli firewall già fidati dal sistema.
La nuova analisi di Sophos attribuisce il 79% degli attacchi a identità compromesse e login legittimi. Tra i casi esaminati, le email malevole pesano per il 26%, il phishing per il 24% e il brute force per il 23%; nello stesso periodo, gli attacchi partiti dallo sfruttamento di vulnerabilità note scendono dal 32% al 18%.
Per i team IAM, SOC e difesa ransomware, il segnale è che password deboli, MFA aggirata o accessi remoti esposti restano un punto di rottura più probabile di una catena di exploit. Il rischio non cambia per il solo fatto di non usare Sophos: qualsiasi ambiente che si affida a login validi per VPN, remote access o interfacce admin esposte ha lo stesso problema di ingresso.