核心观点与关键数据
- 勒索软件攻击影响仍然严重： 尽管受影响组织和支付赎金的组织数量较上一年有所下降，但81%的受访组织在过去12个月内至少受到过一次勒索软件影响，48%的受影响组织支付了赎金。平均成本高达513万美元，且影响远不止财务损失，还包括运营中断、声誉损害和资源消耗。
- 信息窃取器是勒索软件前兆： 30%在2023年遭受勒索软件攻击的公司在遭到攻击前至少感染过一次信息窃取器病毒。特定信息窃取器（如浣熊、维达和红线）感染显著增加了公司经历勒索软件事件的概率，拥有这些信息窃取器的公司在感染后平均16周内经历了勒索软件事件。
- 安全团队策略转变： 钓鱼攻击和社会工程学仍被视为勒索软件攻击风险最高的入口点，安全团队正从用户意识和培训转向技术驱动的对策。自动化工作流程被普遍认为是提高勒索软件防御能力和整体安全态势的关键。
- 防御措施不足： 大多数受访者将数据备份和终端设备保护视为主要防御机制，但这些措施不足以应对网络犯罪分子日益针对未管理设备并窃取身份认证数据的情况。
- 对信息窃取器威胁认识不足： 尽管信息窃取器是勒索软件事件的预警信号，但团队对此并不担心，并且没有优先处理恶意软件的修复。
- 虚假的自信： 79%的安全专业人士表示对其能够防止全面爆发的勒索软件事件充满信心，但只有19%的组织将优先考虑提高对暴露凭证和恶意软件泄露数据的可见性和修复。
- 行业影响： 零售业（93%）和科技业（91%）是受影响最严重的行业，这与地下犯罪网络中暴露的数据量最多的情况相符。
- 下一代账户收购威胁： 会话劫持或下一代账户接管（ATO）正在成为一种新的攻击手法，利用被盗的、仍然有效的身份验证cookie接管活动浏览器或应用程序会话，绕过多因素认证（MFA）和Passkeys等安全措施。
- 风险入口点认知差异： 不同行业对风险最大的入口点采用不同的视角。例如，零售、制造和技术领域更关注弱API，而制造、技术和医疗保健领域更关注被盗cookie。
- 防御措施与新的勒索软件策略不一致： 数据备份仍然是组织最重要的应对措施，但并未根据现代勒索软件带来的风险进行调整。弱API是零售、制造和技术领域更大的关注点。
- 自动化需求： 98%的受访者同意对更好地了解恶意软件泄露的数据并自动化修复工作流程的需求将提升其整体安全态势。
研究结论
- SecOps团队尚未接受勒索软件防御之谜，即修复恶意软件感染暴露的凭证等身份验证数据，组织可能比他们意识到的更脆弱。信息窃取器感染是勒索软件事件的预警信号，团队不能再忽视这一不断上升的威胁。
- 尽管许多受访者表示对自己在未来12个月内避免遭受勒索软件攻击充满信心，但他们的当前实践和未来优先事项并不支持这种乐观的看法。
- 组织缺乏对从未管理、欠管理以及第三方设备中泄露的认证数据的重要可见性，这极大地限制了任何新型防御机制的有效影响。
- 提高对恶意软件泄露数据的可见性并实现自动化修复将有助于改善其勒索软件防御措施和整体安全态势，但受访者普遍认为监控受损的cookie是最不重要的对策之一。
- 勒索软件预防是安全领导者和从业人员的首要任务，但随着工作场所继续数字化转型和组织适应其业务方式的变化，人类行为持续扩大攻击面。威胁行为者也予以关注，他们正在修改其方法和技术（TTPs），以适应一个访问权限成为新货币的环境，并迅速找到绕过身份验证层（从MFA到passkeys）的方法。
- SecOps团队需要拥抱下一代恶意软件缓解实践，包括感染后修复，以提高防范勒索软件的效果，并能更快地关闭攻击者的通道，同时最大限度地减少全面事件消耗的跨团队资源。
