IBM bije na alarm: kradzież poświadczeń wypiera ransomware

Wstęp

Cyberprzestępczość przechodzi właśnie fundamentalną transformację. Jak wynika z najnowszych danych IBM X-Force, w 2024 roku niemal połowa wszystkich incydentów związana była z kradzieżą danych uwierzytelniających, podczas gdy ataki ransomware odnotowały wyraźny spadek. To nie jest chwilowy trend, a przemyślana zmiana strategii – hakerzy porzucają głośne ataki na rzecz dyskretnej infiltracji, która pozwala działać miesiącami bez wykrycia. W cieniu darknetu rozkwita nielegalna gospodarka, gdzie skradzione loginy i hasła stają się towarem handlowanym w gotowych pakietach biznesowych.

Raport IBM ujawnia niepokojące szczegóły: cyberprzestępcy działają coraz bardziej jak profesjonalne korporacje, wykorzystując sztuczną inteligencję do automatyzacji ataków i sprzedając skradzione dane w abonamentowych modelach. Europa, z przestarzałą infrastrukturą IT, stała się drugim najczęściej atakowanym regionem, szczególnie w sektorach energetyki i ochrony zdrowia. Tymczasem tradycyjne metody ochrony, takie jak uwierzytelnianie wieloskładnikowe, okazują się coraz mniej skuteczne wobec nowych technik infostealerów i ataków typu adversary-in-the-middle.

Najważniejsze fakty

• 84% wzrost ataków związanych z kradzieżą poświadczeń w porównaniu do 2023 roku, podczas gdy ransomware odnotował 12% spadek – to fundamentalna zmiana w strategii cyberprzestępców
• 180% wzrost aktywności infostealerów – specjalistycznych narzędzi kradnących dane uwierzytelniające, w tym hasła z menedżerów haseł i pliki cookies umożliwiające ominięcie MFA
• Europa jako drugi najczęściej atakowany region, gdzie 74% incydentów dotyczy infrastruktury krytycznej, głównie z powodu przestarzałego oprogramowania i opóźnień w aktualizacjach
• Cyberprzestępczość jako usługa abonamentowa – gotowe zestawy do phishingu i omijania zabezpieczeń dostępne już od 20$ miesięcznie, z gwarancjami skuteczności i wsparciem technicznym

IBM bije na alarm: kradzież poświadczeń wypiera ransomware

Cyberprzestępcy coraz częściej rezygnują z głośnych ataków ransomware na rzecz cichszej i bardziej opłacalnej kradzieży danych uwierzytelniających. Według najnowszych danych IBM X-Force, w 2024 roku niemal połowa wszystkich incydentów związana była z przejęciem loginów i haseł. To fundamentalna zmiana w strategii hakerów – zamiast gwałtownych ataków paraliżujących firmy, wybierają dyskretną infiltrację, która pozwala działać miesiącami bez wykrycia.

Przykładowe dane porównawcze:

Nowy raport IBM X-Force ujawnia niepokojące trendy w cyberprzestępczości

Raport IBM X-Force Threat Intelligence Index 2025 pokazuje, że cyberprzestępcy działają coraz bardziej jak profesjonalne korporacje. Wykorzystują narzędzia AI do automatyzacji phishingu, a skradzione dane logowań sprzedają na darknecie w gotowych „pakietach biznesowych”. Najbardziej niepokoi:

• 180-procentowy wzrost tzw. infostealerów – złośliwych programów kradnących dane uwierzytelniające,
• Gotowe zestawy do omijania uwierzytelniania wieloskładnikowego (MFA), dostępne już za kilkadziesiąt dolarów,
• Europa jako drugi najczęściej atakowany region – głównie z powodu przestarzałej infrastruktury IT.

Dlaczego przestępcy wolą kradzież danych niż szyfrowanie systemów?

Odpowiedź tkwi w rachunku ekonomicznym. Atak ransomware wymaga czasu, specjalistycznego oprogramowania i ryzykuje reakcją organów ścigania. Tymczasem kradzież poświadczeń to:

1. Mniejsze ryzyko – brak widocznych śladów ataku,
2. Większa skalowalność – te same dane można sprzedać wielokrotnie,
3. Natychmiastowy zysk – cena pakietu 1000 skradzionych kont korporacyjnych sięga 5000$ na darknecie.

Dodatkowo, wiele firm wciąż nie monitoruje skutecznie ruchu związanego z uwierzytelnianiem, co daje hakerom tygodnie lub miesiące na eksfiltrację wrażliwych danych.

Gospodarka nieautoryzowanego dostępu: jak działa rynek skradzionych poświadczeń

W cieniu darknetu rozkwita nielegalny rynek, gdzie skradzione dane logowania stają się walutą. Cyberprzestępcy handlują nimi jak towarami na giełdzie – w paczkach po 1000 kont, z gwarancją „świeżości” i podziałem na branże. To już nie pojedyncze wycieki, a zorganizowany system dystrybucji – od zbieraczy danych, przez pośredników, aż do finalnych nabywców. Przykładowe ceny z podziemnych forów:

Kluczową rolę odgrywają automatyzowane platformy oferujące „usługi abonamentowe” – za miesięczną opłatą haker otrzymuje stały dopływ nowych poświadczeń. Najbardziej pożądane są dane z sektora finansowego i medycznego, gdzie jeden przejęty login może otworzyć drzwi do milionowych oszustw.

Infostealery – nowa broń cyberprzestępców

Zamiast głośnego szyfrowania dysków, przestępcy coraz częściej sięgają po infostealery – specjalne malware działające jak cyfrowy włamywacz do sejfu. Te programy potrafią:

• Wykradać hasła zapisane w przeglądarkach, w tym te chronione menedżerami haseł,
• Przechwytywać dane z formularzy przed ich zaszyfrowaniem,
• Pobierać pliki cookies, pozwalające na ominięcie nawet MFA.

Według danych IBM, w 2024 roku co trzeci phishing zawierał link do infostealera. Najgroźniejsze wersje potrafią działać przez miesiące bez wykrycia, systematycznie wysyłając dane na serwery kontrolowane przez hakerów.

Dark web jako marketplace dla skradzionych danych logowania

Portalom typu Genesis Market czy Russian Market daleko już do prymitywnych forów hakerskich. Dziś przypominają profesjonalne platformy e-commerce z:

• Recenzjami sprzedawców,
• Filtrami wyszukiwania (np. „tylko konta z dostępem do AWS”),
• Gwarancjami zwrotu jeśli login nie działa.

„Widziałem ofertę 50 tys. kont Netflix w cenie 0,5$ za sztukę – z możliwością testowania przed zakupem” – relacja badacza bezpieczeństwa z podróży po darknecie.

Przestępcy szczególnie upodobali sobie bundlowanie danych – pakują np. dostęp do firmowej poczty wraz z historią konwersacji, co zwiększa wartość towaru nawet pięciokrotnie. To nie już kradzież, a pełnoprawna gospodarka cienia z własnymi prawami podaży i popytu.

Europa pod ostrzałem: dlaczego nasz region jest szczególnie narażony?

Europa stała się drugim najczęściej atakowanym regionem według danych IBM X-Force, przegrywając jedynie z Azją. To nie przypadek – nasz kontynent łączy wysoką koncentrację infrastruktury krytycznej z przestarzałymi systemami IT, tworząc idealne warunki dla cyberprzestępców. W 2024 roku aż 70% incydentów dotyczyło sektorów takich jak energetyka, transport czy ochrona zdrowia. Dodatkowo, złożone środowiska hybrydowe i chmurowe oferują hakerom wiele punktów wejścia, podczas gdy firmy często nie nadążają z aktualizacjami zabezpieczeń.

Infrastruktura krytyczna w niebezpieczeństwie

Szpitale, elektrownie i sieci transportowe to ulubione cele współczesnych cyberprzestępców. Raport IBM pokazuje, że w Europie:

• 74% ataków dotyczyło infrastruktury krytycznej
• Przestój w produkcji energii kosztuje nawet 46% więcej niż w innych regionach
• Ataki na sektor zdrowia wzrosły o 140% w ciągu ostatnich dwóch lat

Cyberprzestępcy traktują Europę jak skarbonkę – wiedzą, że przerwy w dostawach energii czy opieki medycznej zmuszą ofiary do szybkiego płacenia – komentuje ekspert bezpieczeństwa. Problem pogłębia fakt, że wiele systemów kontrolujących infrastrukturę wciąż działa na nieobsługiwanym już oprogramowaniu.

Przestarzałe systemy – łatwy cel dla hakerów

Podczas gdy cyberprzestępcy korzystają z najnowszych technologii AI, wiele europejskich firm wciąż polega na systemach sprzed dekady. IBM wykrył, że:

• Ponad połowa instancji Red Hat Enterprise Linux nie miała załatanych krytycznych luk
• 18% systemów miało pięć lub więcej niezałatanych podatności
• Starsze wersje Windows Server stanowią 80% celów ataków ransomware

Te liczby pokazują chroniczne zaniedbania w zarządzaniu bezpieczeństwem IT. Wiele organizacji wciąż traktuje aktualizacje jako koszt, a nie inwestycję, podczas gdy hakerzy doskonale wiedzą, jak wykorzystać najstarsze i najbardziej znane luki, takie jak te wykorzystywane przez WannaCry.

Poznaj tajniki mobilnej AI bez serwerów i odkryj, jak kompresja zmienia technologie. To lektura obowiązkowa dla pasjonatów nowoczesnych rozwiązań.

Ransomware się kurczy, ale nie znika: co z grupami takimi jak Lockbit i Clop?

Choć liczba ataków ransomware spadła w 2024 roku o 12%, wciąż stanowią one poważne zagrożenie. Grupy takie jak Lockbit i Clop nie zniknęły – zmieniły taktykę. Zamiast masowych ataków, skupiają się na wyselekcjonowanych celach, głównie w sektorze produkcyjnym i infrastrukturze krytycznej. Lockbit rozwinął narzędzia dostosowane do systemów Linux, podczas gdy Clop specjalizuje się w atakach na luki w oprogramowaniu do fakturowania. To nie koniec ery ransomware, a jej ewolucja w kierunku bardziej precyzyjnych i trudniejszych do wykrycia operacji.

Nowe cele: ataki na systemy Linux

Wbrew powszechnemu przekonaniu, Linux nie jest już bezpieczną przystanią. IBM wykrył, że 18% systemów z Red Hat Enterprise Linux miało co najmniej pięć niezałatanych luk. Grupy ransomware szybko to wykorzystują – Lockbit i Akira opracowały specjalne wersje swojego oprogramowania dla tego systemu. Ataki na Linux są szczególnie niebezpieczne, bo często dotyczą serwerów zarządzających krytyczną infrastrukturą. Firmy muszą pilnie zaktualizować podejście do zabezpieczeń, bo hakerzy już dawno przestali skupiać się tylko na Windows.

Jak zmienia się model biznesowy grup ransomware?

Cyberprzestępcy działają coraz bardziej jak profesjonalne firmy. Zamiast żądać okupu za odszyfrowanie danych, coraz częściej oferują „usługi abonamentowe” – za regularną opłatą zapewniają dostęp do skradzionych informacji. Niektóre grupy specjalizują się w sprzedaży dostępu do zainfekowanych systemów, podczas gdy inne skupiają się na kradzieży danych uwierzytelniających. To bardziej stabilny model biznesowy niż tradycyjne ransomware, bo generuje stały przychód i zmniejsza ryzyko wykrycia. W darknecie kwitnie handel gotowymi „pakietami startowymi” dla początkujących cyberprzestępców.

Przemysł na celowniku: czwarty rok z rzędu jako główny target

Według najnowszych danych IBM X-Force, sektor przemysłowy już czwarty rok z rzędu pozostaje głównym celem cyberprzestępców. W 2024 roku aż 28% wszystkich odnotowanych ataków skierowanych było przeciwko firmom produkcyjnym. To nie przypadek – hakerzy doskonale wiedzą, że przestoje w produkcji oznaczają ogromne straty finansowe, co zwiększa szanse na wypłatę okupu. Dodatkowo, wiele zakładów przemysłowych wciąż korzysta z przestarzałych systemów SCADA i ICS, które stanowią łatwy cel dla doświadczonych cyberprzestępców. Fabryki to idealne ofiary – łączą wysoką wartość strategiczną z często słabymi zabezpieczeniami – komentuje ekspert bezpieczeństwa przemysłowego.

Koszty przestojów w produkcji

Dla przedsiębiorstw produkcyjnych każda godzina przestoju to tysiące, a często miliony dolarów strat. W przypadku dużych fabryk sam koszt zatrzymania linii produkcyjnej może przekraczać 50 000$ na godzinę, nie licząc utraconych zamówień i kar umownych. Cyberprzestępcy celowo wybierają momenty największej presji produkcyjnej, wiedząc, że kierownictwo będzie bardziej skłonne zapłacić okup. Dodatkowo, odbudowa systemów po ataku ransomware często trwa tygodniami – w jednym z badanych przypadków niemiecka fabryka potrzebowała 17 dni na pełne przywrócenie operacji po infekcji.

Dlaczego fabryki wciąż płacą okupy?

Pomimo ostrzeżeń organów ścigania, wiele firm przemysłowych wciąż decyduje się na płatność okupu. Powodów jest kilka: po pierwsze, ubezpieczyciele często pokrywają koszty, zmniejszając bezpośrednie straty firmy. Po drugie, alternatywa w postaci odtwarzania systemów z kopii zapasowych oznacza tygodnie przestojów – w przypadku fabryk farmaceutycznych czy spożywczych może to prowadzić do utraty całych partii produktów. Wreszcie, wiele średnich przedsiębiorstw po prostu nie ma odpowiednich procedur ani zespołów gotowych na szybką reakcję. Widzieliśmy przypadki, gdzie zapłata okupu była tańsza niż koszt zatrudnienia zewnętrznych ekspertów ds. odzyskiwania danych – przyznaje specjalista od ubezpieczeń cybernetycznych.

Canva słucha swoich użytkowników! Sprawdź, jak Canva reaguje na krytykę i utrzymuje stare ceny. To ważna wiadomość dla wszystkich miłośników projektowania.

Systemy niedoinwestowane, zabezpieczenia spóźnione: raportujące dane IBM

Wyniki raportu IBM X-Force pokazują alarmujące zaniedbania w obszarze cyberbezpieczeństwa. Firmy wciąż traktują aktualizacje zabezpieczeń jako koszt, a nie inwestycję, co otwiera furtkę cyberprzestępcom. Najnowsze dane wskazują, że ponad połowa organizacji w Europie ma co najmniej miesiąc opóźnienia w stosowaniu krytycznych łatek. Problem dotyczy szczególnie sektorów:

• Infrastruktury krytycznej – 74% systemów bez aktualizacji
• Ochrony zdrowia – średnio 47 dni na załatanie luki
• Produkcji – 32% maszyn z systemami kończącymi wsparcie

To nie tylko kwestia technologii – brak odpowiednich procesów i priorytetów sprawia, że nawet dostępne łatki nie są instalowane. Cyberprzestępcy doskonale o tym wiedzą i celowo szukają organizacji z przestarzałym oprogramowaniem.

Niezałatane luki w Red Hat Enterprise Linux

IBM ujawnił szokujące dane dotyczące systemów Red Hat Enterprise Linux (RHEL), które powinny być wzorem bezpieczeństwa. Okazuje się, że:

Najczęściej pomijane aktualizacje dotyczą podatności zdalnego wykonania kodu, które hakerzy aktywnie wykorzystują. Co gorsza, wiele z tych systemów zarządza kluczowymi procesami biznesowymi, od baz danych po systemy transakcyjne. Administrowanie RHEL bez regularnych aktualizacji to jak zostawianie otwartych drzwi w centrum danych.

Chroniczne problemy z aktualizacjami bezpieczeństwa

Dlaczego firmy tak często opóźniają kluczowe poprawki? Problem ma kilka warstw:

1. Brak zasobów – małe zespoły IT nie nadążają z testowaniem aktualizacji
2. Obawy o stabilność – strach przed przerwami w działaniu systemów
3. Złożone środowiska – trudności w zarządzaniu poprawkami w hybrydowych chmurach

Efekt? Według IBM średni czas od wykrycia luki do jej wykorzystania spadł do zaledwie 4 dni, podczas gdy firmy potrzebują średnio 47 dni na reakcję. To przepaść, którą cyberprzestępcy chętnie wykorzystują, szczególnie w sektorze finansowym i energetycznym. Automatyzacja procesów patchowania wydaje się jedynym rozsądnym rozwiązaniem tego systemowego problemu.

Phishing 3.0: jak AI zmienia oblicze ataków na tożsamość

Era klasycznego phishingu, gdzie hakerzy wysyłali masowo generowane wiadomości, odchodzi do lamusa. Dziś cyberprzestępcy wykorzystują generatywną sztuczną inteligencję, tworząc perfekcyjnie dopasowane ataki. Algorytmy analizują style komunikacji konkretnych osób, by fałszywe maile czy wiadomości wyglądały jak prawdziwe. IBM odnotował przypadki, gdzie AI na podstawie publicznych profili LinkedIn generowało wiadomości niemożliwe do odróżnienia od autentycznych. To nie jest już phishing, a cyfrowe łowy z noktowizorem – ofiara nie widzi zagrożenia, dopóki nie jest za późno.

180% wzrost ataków z użyciem infostealerów

Infostealery to nowa broń w arsenale cyberprzestępców – specjalne malware zaprojektowane do cichej kradzieży danych logowania. Według danych IBM X-Force, w 2024 roku liczba takich ataków wzrosła o 180% rok do roku. Te programy działają jak cyfrowi szpiedzy, potrafiąc wykraść:

• Hasła zapisane w przeglądarkach, nawet te chronione menedżerami haseł
• Pliki cookies umożliwiające ominięcie uwierzytelniania dwuskładnikowego
• Dane z formularzy przed ich zaszyfrowaniem

Widzieliśmy przypadki, gdzie infostealer działał przez 9 miesięcy bez wykrycia, codziennie wysyłając dane na serwery w Rosji – relacjonuje analityk bezpieczeństwa.

Automatyzacja ataków dzięki sztucznej inteligencji

Cyberprzestępcy przekształcili się w cyfrowe fabryki, gdzie AI automatyzuje każdy etap ataku. Algorytmy potrafią:

• Generować tysiące unikalnych wiadomości phishingowych na godzinę
• Automatycznie testować skradzione dane logowania na różnych portalach
• Analizować zachowania użytkowników, by wybierać najlepsze momenty do ataku

IBM wykrył platformy na darknecie oferujące „phishing jako usługę” – za 50$ miesięcznie haker dostaje dostęp do narzędzi z AI, które same prowadzą kampanie. To jak wynajęcie armii botów, które pracują dla przestępców 24/7.

Chcesz, aby Twoja strona była szybko widoczna w wyszukiwarkach? Poznaj 4 błyskawiczne sposoby na indeksowanie strony w Google i zyskaj przewagę w sieci.

Jak chronić się przed nową falą cyberataków? Rekomendacje IBM

W obliczu rosnącej fali wyrafinowanych cyberataków, IBM zaleca całościowe podejście do bezpieczeństwa, wykraczające pozę tradycyjne metody ochrony. Kluczowe jest przejście od strategii reaktywnych do proaktywnego zarządzania ryzykiem. Specjaliści wskazują na konieczność wdrożenia rozwiązań analizujących zachowania użytkowników w czasie rzeczywistym, które potrafią wykryć anomalie niewidoczne dla klasycznych systemów zabezpieczeń. Segmentacja sieci i zasada najmniejszych uprawnień to podstawa – ograniczenie ruchu między systemami minimalizuje skutki potencjalnego naruszenia. IBM podkreśla też znaczenie regularnych testów penetracyjnych przeprowadzanych przez etycznych hakerów, którzy mogą ujawnić luki niewidoczne dla automatycznych skanerów.

Modernizacja zarządzania uwierzytelnianiem

W erze masowych kradzieży poświadczeń, tradycyjne systemy uwierzytelniania stają się przestarzałe. IBM rekomenduje wdrożenie rozwiązań opartych na analizie behawioralnej, które potrafią wykryć podejrzane próby logowania nawet przy poprawnych danych uwierzytelniających. Nowoczesne systemy powinny łączyć wiele czynników weryfikacji – od biometrii po analizę sposobu wpisywania hasła. Warto rozważyć wdrożenie systemów zero trust, gdzie każda próba dostępu jest weryfikowana niezależnie od lokalizacji użytkownika. Kluczowe jest też regularne przeglądanie i czyszczenie nieużywanych kont, które często stają się furtką dla cyberprzestępców.

Dlaczego MFA już nie wystarcza?

Choć uwierzytelnianie wieloskładnikowe (MFA) przez lata było złotym standardem, współczesne ataki pokazują jego rosnące ograniczenia. Cyberprzestępcy opracowali metody obejścia MFA, wykorzystując m.in. ataki typu adversary-in-the-middle czy przechwycone sesje cookies. IBM zauważa, że tradycyjne MFA oparte na SMS-ach czy kodach jednorazowych jest szczególnie podatne na nowe techniki ataków. W odpowiedzi na to, firmy powinny wdrażać bezhalsowe metody uwierzytelniania wykorzystujące kryptografię klucza publicznego. Równie ważne jest monitorowanie kontekstu logowania – geolokalizacji, urządzenia i zachowania użytkownika – co pozwala wykryć podejrzane próby dostępu nawet przy udanej weryfikacji MFA.

Przestępczość jako usługa: profesjonalizacja cyberataków

Cyberprzestępczość przekształciła się w wyspecjalizowany rynek usług, gdzie każdy element ataku można kupić jak produkt w sklepie. Zamiast samodzielnego tworzenia złośliwego oprogramowania, hakerzy coraz częściej korzystają z gotowych rozwiązań oferowanych na darknecie. To nie są już pojedynczy przestępcy, a zorganizowane sieci działające jak legalne firmy – mają swoje działy wsparcia technicznego, programy partnerskie i nawet okresy gwarancyjne. IBM odnotował przypadki, gdzie cyberprzestępcy oferowali „24/7 customer support” dla klientów kupujących ich narzędzia. Widzieliśmy oferty z 30-dniową gwarancją na malware – jeśli zostanie wykryty przez AV, dostajesz nową wersję za darmo – relacjonuje analityk bezpieczeństwa.

Gotowe zestawy do obchodzenia zabezpieczeń

Darknet zalany jest ofertami kompletnych pakietów do omijania zabezpieczeń – od narzędzi do phishingu po specjalne wtyczki do bypassowania MFA. Ceny są przystępne nawet dla początkujących:

Najbardziej niepokoi prostota obsługi tych narzędzi – wiele z nich ma intuicyjne interfejsy graficzne, a nawet samouczki wideo. IBM wykrył platformy oferujące automatyczne aktualizacje przeciwko najnowszym zabezpieczeniom – cyberprzestępca dostaje powiadomienie, gdy jego zestaw wymaga ulepszenia.

Subskrypcje dla początkujących hakerów

Rynek cyberprzestępczy wprowadził model abonamentowy, gdzie za miesięczną opłatą (od 20$) niedoświadczony użytkownik otrzymuje dostęp do:

• Gotowych kampanii phishingowych z automatyczną aktualizacją szablonów
• Baz skradzionych danych regularnie uzupełnianych o nowe rekordy
• Forum wsparcia gdzie doświadczeni przestępcy doradzają nowicjuszom

To jak Netflix dla cyberprzestępców – płacisz regularnie i masz dostęp do coraz nowszych narzędzi – komentuje ekspert IBM. Najbardziej popularne pakiety oferują „money-back guarantee” jeśli pierwsza kampania nie przyniesie efektów. To pokazuje, jak bardzo skomercjalizowana stała się cyberprzestępczość.

Azja i Ameryka Północna liderami w statystykach ataków

Według najnowszych danych IBM X-Force, Azja i Ameryka Północna łącznie odpowiadają za blisko 60% wszystkich cyberataków na świecie. W 2024 roku Azja stanowiła 34% globalnych incydentów, podczas gdy Ameryka Północna – 24%. Te dwa regiony od lat przodują w niechlubnych statystykach, głównie ze względu na koncentrację infrastruktury krytycznej i wysoką cyfryzację gospodarek. W Azji szczególnie narażony jest sektor produkcyjny, gdzie co drugi atak dotyczy właśnie fabryk i dostawców. W USA i Kanadzie cyberprzestępcy często celują w energetykę – aż 46% ataków na ten sektor miało miejsce w Ameryce Północnej.

Dlaczego te regiony są najbardziej narażone?

Przyczyn dominacji Azji i Ameryki Północnej w statystykach cyberataków jest kilka. Po pierwsze, wysoka wartość strategiczna lokalnych firm – hakerzy celują w organizacje, których przestoje mogą sparaliżować globalne łańcuchy dostaw. Po drugie, złożone środowiska IT łączące stare systemy z nowoczesnymi chmurami tworzą wiele punktów potencjalnego ataku. W Azji dodatkowym czynnikiem ryzyka jest szybkie tempo digitalizacji bez odpowiednich inwestycji w bezpieczeństwo. Z kolei w Ameryce Północnej problemem są rozbudowane sieci partnerskie – atak na jednego dostawcę często daje dostęp do dziesiątek powiązanych firm.

• Gęstość infrastruktury krytycznej – elektrownie, szpitale i centra danych skupione na małym obszarze
• Wysoka wartość danych – firmy z tych regionów przechowują wrażliwe informacje o globalnych klientach
• Polityczne napięcia – cyberprzestępczość często idzie w parze z konfliktami geopolitycznymi

Różnice w metodach ataków między regionami

Mimo podobnej skali zagrożeń, Azja i Ameryka Północna doświadczają innych typów ataków. W Azji dominują kampanie phishingowe masowo infekujące komputery pracowników, podczas gdy w USA i Kanadzie cyberprzestępcy wolą celowane ataki na luki w zabezpieczeniach. Różnice widać też w motywacjach – w Azji częściej spotyka się szpiegostwo przemysłowe, podczas gdy w Ameryce Północnej głównym celem jest wymuszenie okupu. Nawet ransomware działa inaczej – azjatyckie wersje często szyfrują dane bez żądania okupu, skupiając się na zakłócaniu działalności.

Wnioski

Analiza raportu IBM X-Force ujawnia fundamentalną zmianę w strategii cyberprzestępców – zamiast głośnych ataków ransomware, preferują oni dyskretną kradzież poświadczeń, która generuje większe zyski przy mniejszym ryzyku wykrycia. Europa, ze swoją przestarzałą infrastrukturą IT, stała się drugim najczęściej atakowanym regionem, szczególnie w sektorze infrastruktury krytycznej. Alarmujący jest 180-procentowy wzrost ataków z użyciem infostealerów oraz profesjonalizacja cyberprzestępczości, która coraz bardziej przypomina legalny biznes z własnymi modelami subskrypcyjnymi i gwarancjami.

Przedsiębiorstwa muszą pilnie zmodernizować podejście do bezpieczeństwa, ponieważ tradycyjne metody takie jak MFA czy regularne aktualizacje już nie wystarczają. Szczególnie narażony jest sektor przemysłowy, gdzie przestoje w produkcji generują ogromne straty finansowe. Kluczowe staje się wdrożenie rozwiązań analizujących zachowania użytkowników w czasie rzeczywistym oraz zasad zero trust, które minimalizują skutki potencjalnych naruszeń.

Najczęściej zadawane pytania

Dlaczego cyberprzestępcy przestawili się z ransomware na kradzież poświadczeń?
Kradzież danych uwierzytelniających oferuje większą skalowalność i mniejsze ryzyko niż tradycyjne ransomware. Skradzione poświadczenia można wielokrotnie sprzedawać na darknecie, a ataki są trudniejsze do wykrycia, co daje hakerom więcej czasu na eksfiltrację wrażliwych danych.

Czemu Europa jest szczególnie narażona na cyberataki?
Łączy wysoką koncentrację infrastruktury krytycznej z przestarzałymi systemami IT. Raport IBM wskazuje, że ponad połowa instancji Red Hat Enterprise Linux w Europie miała niezałatane krytyczne luki, a wiele systemów kontrolujących infrastrukturę działa na nieobsługiwanym już oprogramowaniu.

Jak działają infostealery i dlaczego są tak niebezpieczne?
To specjalne malware działające jak cyfrowy włamywacz, które potrafi wykradać hasła zapisane w przeglądarkach, przechwytywać dane z formularzy przed zaszyfrowaniem i pobierać pliki cookies umożliwiające ominięcie MFA. Mogą działać miesiącami bez wykrycia, systematycznie wysyłając dane na serwery kontrolowane przez hakerów.

Dlaczego tradycyjne MFA już nie wystarcza?
Cyberprzestępcy opracowali metody obejścia MFA, wykorzystując m.in. ataki typu adversary-in-the-middle czy przechwycone sesje cookies. Tradycyjne MFA oparte na SMS-ach jest szczególnie podatne, dlatego firmy powinny wdrażać bezhalsowe metody uwierzytelniania wykorzystujące kryptografię klucza publicznego.

Jak wygląda współczesny rynek skradzionych poświadczeń?
To zorganizowany system dystrybucji przypominający profesjonalne platformy e-commerce, z recenzjami sprzedawców, filtrami wyszukiwania i gwarancjami zwrotu. Ceny wahają się od 500$ za konto bankowe premium do 50$ za 1000 kont Netflix, a najbardziej pożądane są dane z sektora finansowego i medycznego.