Τα φετινά δεδομένα παρουσιάζουν ορισμένες αξιοσημείωτες αποκλίσεις από τα μοτίβα των προηγούμενων εκθέσεων για την κατάσταση του ransomware (State of Ransomware).

Οι ευπάθειες που αποτέλεσαν αντικείμενο εκμετάλλευσης έχασαν την πρωτοκαθεδρία που είχαν τα τρία τελευταία έτη ως βασική αιτία. Οι διάμεσες απαιτήσεις και πληρωμές λύτρων μειώθηκαν και οι δύο ωστόσο το μέσο κόστος αποκατάστασης εξακολουθεί να αυξάνεται. Επιπλέον, οι μικροί οργανισμοί (100-250 εργαζόμενοι) υστερούν ακόμη περισσότερο έναντι των μεγαλύτερων οργανισμών στον δείκτη που έχει και τη μεγαλύτερη σημασία: την αναχαίτιση της επίθεσης πριν από την κρυπτογράφηση των δεδομένων.

Η έβδομη ετήσια έκθεση της Sophos για την κατάσταση του ransomware βασίζεται σε μία ανεξάρτητη ως προς τους προμηθευτές (vendor-agnostic) έρευνα σε 2.158 στελέχη πληροφορικής και ασφάλειας, των οποίων οι οργανισμοί επλήγησαν από ransomware τους τελευταίους 12 μήνες.

Κάντε κλικ εδώ για να αποκτήσετε πρόσβαση στην πλήρη έκθεση τώρα.

Το ηλεκτρονικό ταχυδρομείο είναι η κύρια αιτία

Για πρώτη φορά σε τέσσερα χρόνια, η εκμετάλλευση ευπαθειών δεν αποτελεί την κύρια αιτία εισβολής των επιτιθέμενων σε ένα εταιρικό δίκτυο. Η κατάταξη για φέτος διαμορφώνεται ως εξής:

• Τα κακόβουλα μηνύματα ηλεκτρονικού ταχυδρομείου (26%) και το ηλεκτρονικό ψάρεμα (24%) αντιπροσωπεύουν μαζί το ήμισυ του συνόλου των περιστατικών.
• Τα παραβιασμένα διαπιστευτήρια (23%) παρέμειναν σταθερά στην τρίτη θέση.
• Η εκμετάλλευση ευπαθειών (18%) σημείωσε πτώση 14 ποσοστιαίων μονάδων σε ετήσια βάση.
• Οι επιθέσεις ωμής βίας (εξαντλητικών δοκιμών) (6%) παρέμειναν σταθερά στην ίδια θέση.

Το συμπέρασμα για τους αμυνόμενους: η εφαρμογή επιδιορθώσεων κώδικά από μόνη της δεν αρκεί για την κάλυψη του κενού. Η προηγμένη προστασία ηλεκτρονικού ταχυδρομείου, τα πρωτόκολλα DMARC, DKIM και SPF καθώς και η εκπαίδευση ευαισθητοποίησης των χρηστών ανήκουν στην κορυφή της λίστας επενδύσεων για το 2026.

Οι επιθέσεις που βασίζονται στην ταυτότητα καθοδηγούν πλέον την πλειονότητα των περιστατικών ransomware

Το 79% των επιθέσεων ransomware ξεκίνησε με μία προσέγγιση που βασίζεται στην ταυτότητα με το 67% των θυμάτων να επιβεβαιώνει ότι το περιστατικό ransomware ήταν το ίδιο συμβάν με τη σημαντικότερη επίθεση κατά της ταυτότητάς που υπέστησαν. Το συγκεκριμένο εύρημα προέκυψε και στην έκθεση «State of Identity Security 2026» της Sophos στις αρχές της χρονιάς.

Η έκθεση «Sophos Active Adversary Report 2026» που βασίζεται στην ανάλυση πραγματικών περιστατικών που αντιμετωπίστηκαν από αμυνόμενους της Sophos, καταλήγει στο ίδιο εύρημα. Σε 661 υποθέσεις απόκρισης σε περιστατικά (IR) και διαχειριζόμενης ανίχνευσης και απόκρισης (MDR), η κύρια αιτία σε ποσοστό 67% σχετιζόταν με την ταυτότητα. Παράλληλα, ο έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA) απουσίαζε στα σημείο που ήταν κρίσιμης σημασίας στο 59% των περιπτώσεων.

Ο έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA) είναι εγκατεστημένος, αλλά όχι παντού

Στο 97% των περιπτώσεων όπου τα παραβιασμένα διαπιστευτήρια ήταν η βασική αιτία της επίθεσης, τα θύματα είχαν ενεργοποιημένο τον έλεγχο MFA σε κάποια μορφή. Στα σημεία ωστόσο που δεν ήταν ενεργοποιημένο και υπήρχε κενό κάλυψης όταν και εκεί που έγινε η ζημιά. Στην έκθεση Active Adversary Report διαπιστώθηκε το ίδιο μοτίβο: οι λογαριασμοί SaaS διέθεταν συχνά MFA αλλά αντιθέτως δεν είχαν τα δίκτυα VPN, οι κονσόλες διαχείρισης firewall και οι παλαιού τύπου εφαρμογές.

Από πού ξεκινούν οι επιθέσεις ransomware

Για πρώτη φορά, η φετινή έκθεση χαρτογραφεί τα σημεία όπου οι ερωτηθέντες αναφέρουν ότι συνέβησαν οι αρχικές παραβιάσεις εντός των υποδομών IT τους. Σε επιθέσεις που ξεκίνησαν με εκμετάλλευση ευπάθειας, παραβιασμένα διαπιστευτήρια ή ωμή δύναμη (εξαντλητικές δοκιμές), οι τοποθεσίες που αναφέρθηκαν από τα θύματα ως αφετηρία των επιθέσεων ήταν οι εξής: 

• Εκτεθειμένες εφαρμογές και συστήματα: 38%
• Συσκευές χρηστών: 30%
• Τείχη προστασίας: 21%
• Εικονικά ιδιωτικά δίκτυα (VPNs): 8%
• Συσκευές IoT: 3%

Οι παραβιάσεις τειχών προστασίας επιφέρουν δυσανάλογα μεγάλο οικονομικό αντίκτυπο καθώς το τείχος προστασίας κατέχει προνομιακή θέση σε ολόκληρη την υποδομή του οργανισμού. Όταν οι επιτιθέμενοι εκμεταλλεύονται με επιτυχία μια ευπάθεια στο τείχος προστασίας συχνά αποκτούν ευρεία πρόσβαση στο σύνολο της εταιρικής υποδομής και οι απαιτήσεις για λύτρα που προκύπτουν στη συνέχεια αντανακλούν αυτό το πλεονέκτημα.

Όταν οι επιθέσεις ransomware ξεκινούν με την εκμετάλλευση μιας ευπάθειας στο τείχος προστασίας, το 59% των απαιτήσεων σε λύτρα ανέρχεται σε $1 εκατομμύριο ή και περισσότερο. Αναφερόμαστε σε ένα ποσοστό που είναι υψηλότερο από το ποσοστό 48% για απαιτήσεις σε λύτρα άνω του $1 εκατομμυρίου στο σύνολο των επιθέσεων.

Μπορεί τα πράγματα να βελτιώνονται, το ransomware ωστόσο παραμένει καταστροφικό

Μπορεί ορισμένοι δείκτες, κυρίως οικονομικοί να μετακινήθηκαν προς όφελος των αμυνόμενων φέτος, η συνολική ωστόσο εικόνα είναι μεικτή. Η κρυπτογράφηση δεδομένων σε μια επίθεση ransomware παραμένει ένα από τα σοβαρότερα συμβάντα.

Τα ευχάριστα νέα:

• Μέση απαίτηση λύτρων: $698.000, μειωμένη κατά 65% σε διάστημα δύο ετών.
• Μέση πληρωμή λύτρων: $769.000, μειωμένη σε σχέση με το $1 εκατομμύριο πέρυσι.
• Το 51% των οργανισμών που πλήρωσαν λύτρα διαπραγματεύτηκε χαμηλότερο ποσό από αυτό που είχε απαιτηθεί αρχικά.
• Μόνο το 32% των οργανισμών λιανικού εμπορίου πλήρωσε τα λύτρα, το χαμηλότερο ποσοστό από οποιονδήποτε άλλο τομέα.
• Η αποκατάσταση μέσω αντιγράφων ασφαλείας αυξήθηκε στο 66% των περιπτώσεων κρυπτογραφημένων δεδομένων σημειώνοντας άνοδο 12 ποσοστιαίων μονάδων σε σχέση με το 2025.

Τα δυσάρεστα νέα:

• Μέσο κόστος αποκατάστασης: $1,7 εκατομμύρια ανά περιστατικό, αυξημένο κατά 11% σε ετήσια βάση.
• Το 56% των επιθέσεων εξακολουθεί να επιτυγχάνει την κρυπτογράφηση δεδομένων, ποσοστό που παρουσιάζεται αυξημένο σε σχέση με το περσινό 50%.
• Το 48% των θυμάτων που υπέστησαν κρυπτογράφηση πλήρωσε τα λύτρα, ποσοστό που συνάδει με τον μέσο όρο τετραετίας που κυμαίνεται περίπου στο 50%.
• Το 72% των κυβερνητικών οργανισμών και των οργανισμών στην τοπική αυτοδιοίκηση πλήρωσε τα λύτρα, με το ποσοστό να είναι το υψηλότερο από οποιονδήποτε άλλο τομέα.
• Το Ηνωμένο Βασίλειο κατέγραψε τη υψηλότερη μέση απαίτηση λύτρων που έχει καταγραφεί ποτέ για οποιαδήποτε χώρα, $2,5 εκατομμύρια.

Η απόκλιση ανάλογα με το μέγεθος του οργανισμού είναι έντονη: μόνο το 34% των μικρών οργανισμών με 100-250 εργαζομένους ανέκοψε τις επιθέσεις πριν από την κρυπτογράφηση ή τον εκβιασμό, υστερώντας σημαντικά από το ποσοστό επιτυχίας 46% των μεγαλύτερων οργανισμών με 3.001-5.000 εργαζόμενους. Το μέγεθος προσφέρει πραγματικά αμυντικά αποτελέσματα την ώρα που οι μικρές επιχειρήσεις υφίστανται δυσανάλογο μερίδιο της ζημιάς.

Διαβάστε την έκθεση

Τα δεδομένα του 2026 δείχνουν ένα σταθερό θέμα σε όλες τις ενότητες: τα αποτελέσματα βελτιώνονται όταν οι άμυνες ταυτότητας, ηλεκτρονικού ταχυδρομείου, τερματικών συσκευών και δικτύου λειτουργούν ως ένα ενιαίο σύστημα και όχι απομονωμένα. Η κάλυψη του κενού στις επιθέσεις της εποχής της τεχνητής νοημοσύνης θα εξαρτηθεί λιγότερο από την προσθήκη νέων εργαλείων και περισσότερο από τη σύνδεση των υπαρχόντων.

Κατεβάστε την έκθεση για να δείτε όλα τα ευρήματα, τις αναλύσεις ανά κλάδο και τις συστάσεις μας.

Πηγή: Sophos