Wprowadzenie do problemu
Operatorzy ransomware coraz częściej odchodzą od wyłącznego polegania na phishingu, exploitach i skradzionych hasłach. Zamiast tego próbują pozyskać pomoc osób, które już mają legalny dostęp do środowiska organizacji, takich jak pracownicy, kontraktorzy czy partnerzy biznesowi. Taki model pozwala skrócić drogę do kluczowych systemów i ograniczyć ryzyko wykrycia na wczesnym etapie ataku.
Z perspektywy przestępców insider staje się cennym zasobem, ponieważ może dostarczyć nie tylko poświadczenia, ale również wiedzę operacyjną o infrastrukturze, zabezpieczeniach i procesach firmy. To sprawia, że zagrożenia wewnętrzne coraz wyraźniej wpisują się w krajobraz współczesnych kampanii ransomware.
W skrócie
- Grupy ransomware coraz częściej próbują rekrutować osoby z wewnętrznym dostępem do firmowych systemów.
- Najbardziej pożądane są dostępy do VPN, SSO, poczty, konsol chmurowych i narzędzi administracyjnych.
- Duże ryzyko dotyczy organizacji z nadmiernymi uprawnieniami, słabym offboardingiem i ograniczonym monitoringiem kont uprzywilejowanych.
- Atak z udziałem insidera może szybciej doprowadzić do sabotażu kopii zapasowych, wycieku danych i uruchomienia szyfrowania.
Kontekst i historia
Zagrożenia ze strony insiderów nie są nowym zjawiskiem. Od lat obejmują zarówno przypadkowe błędy użytkowników, jak i umyślne działania motywowane zyskiem, konfliktem z pracodawcą lub chęcią odwetu. Obecnie jednak widać wyraźną profesjonalizację tego modelu, ponieważ grupy ransomware-as-a-service zaczynają traktować insiderów jako realny kanał pozyskania initial access.
To naturalna ewolucja taktyk atakujących. W wielu organizacjach poprawiła się jakość zabezpieczeń technicznych, wdrożono MFA, segmentację sieci, systemy EDR i bardziej restrykcyjne polityki dostępu. W rezultacie przestępcy szukają prostszej ścieżki wejścia, a osoba działająca od wewnątrz może znacząco obniżyć koszt i złożoność całej operacji.
Trend ten wzmacniają również częste zmiany kadrowe, rozproszona praca, skomplikowane środowiska hybrydowe oraz problemy z pełnym odcinaniem dostępu po zmianie roli lub zakończeniu współpracy. Im większa organizacja, tym łatwiej o pozostawione aktywne konto, token sesyjny albo nadmiarowe uprawnienia.
Analiza techniczna
Udział insidera eliminuje jeden z najtrudniejszych etapów ataku ransomware, czyli uzyskanie pierwszego dostępu do środowiska. Zamiast prowadzić długą kampanię phishingową lub szukać podatności, operator może otrzymać gotowy kanał wejścia oraz wskazówki dotyczące architektury firmy.
W praktyce insider może zapewnić atakującym:
- aktywne dane logowania do VPN lub systemów SSO,
- dostęp do skrzynek pocztowych i komunikatorów,
- sesje zdalnego dostępu i narzędzia RMM,
- dostęp do repozytoriów kodu oraz paneli administracyjnych,
- uprawnienia do konsol chmurowych i zasobów SaaS,
- wiedzę o segmentacji sieci, kopiach zapasowych i narzędziach EDR,
- możliwość instalacji backdoorów lub legalnych narzędzi używanych później do nadużyć.
Szczególnie niebezpieczny jest insider z uprawnieniami uprzywilejowanymi. Taka osoba może pomóc ominąć kontrole bezpieczeństwa, wskazać krytyczne systemy biznesowe, a nawet ukryć ślady aktywności. Dla napastników oznacza to szybszy rekonesans, łatwiejszy ruch boczny i większą skuteczność przygotowania etapu szyfrowania.
Wysokie ryzyko pojawia się także podczas offboardingu. Jeśli po odejściu pracownika konto, aktywne sesje, klucze API, zgody aplikacyjne lub dostępy do usług SaaS nie zostaną natychmiast unieważnione, powstaje okno czasowe sprzyjające nadużyciom. Problem często dotyczy nie tylko samego konta głównego, ale też wielu rozproszonych systemów, o których organizacja zapomina.
Dodatkowym wyzwaniem jest to, że insider-assisted ransomware nierzadko wykorzystuje legalne narzędzia administracyjne. Aktywność wykonana z użyciem autoryzowanego konta i standardowych mechanizmów zdalnej obsługi może wyglądać podobnie do zwykłych działań operacyjnych. To utrudnia pracę zespołom SOC i wymaga głębszej analizy zachowań użytkowników oraz korelacji danych z IAM, HR i zarządzania dostawcami.
Konsekwencje i ryzyko
Atak z udziałem insidera jest szczególnie groźny, ponieważ rozpoczyna się z poziomu zaufanego dostępu. Oznacza to, że część klasycznych mechanizmów ochronnych może nie zadziałać wystarczająco wcześnie, nawet jeśli została poprawnie wdrożona.
Najważniejsze konsekwencje obejmują:
- większą szansę obejścia MFA i kontroli sieciowych dzięki użyciu legalnych kont oraz autoryzowanych urządzeń,
- szybszy dostęp do najcenniejszych zasobów, w tym kopii zapasowych, systemów finansowych, środowisk produkcyjnych i platform wirtualizacyjnych,
- wydłużony czas wykrycia z powodu braku klasycznych wskaźników kompromitacji,
- wyższe ryzyko wycieku danych, przestoju operacyjnego i strat finansowych,
- poważne skutki prawne, regulacyjne i reputacyjne.
W praktyce organizacja może dowiedzieć się o incydencie dopiero wtedy, gdy atakujący są już gotowi do szyfrowania lub szantażu związanego z ujawnieniem danych. To znacząco ogranicza pole manewru zespołów reagowania i zwiększa skalę szkód.
Rekomendacje
Obrona przed ransomware powinna obejmować nie tylko ochronę perymetru i stacji końcowych, ale również dojrzałe zarządzanie tożsamością, uprawnieniami i cyklem życia dostępu. Zagrożenia wewnętrzne nie mogą być traktowane wyłącznie jako problem HR lub compliance.
Najważniejsze działania ochronne to:
- wdrożenie zasady najmniejszych uprawnień dla wszystkich użytkowników, dostawców i kontraktorów,
- stosowanie PAM dla kont uprzywilejowanych oraz kontrola dostępu just-in-time,
- regularna recertyfikacja uprawnień i usuwanie nadmiarowych dostępów,
- pełny, szybki i zautomatyzowany offboarding obejmujący SSO, VPN, SaaS, chmurę, repozytoria i tokeny sesyjne,
- segmentacja krytycznych systemów, zwłaszcza kopii zapasowych, hypervisorów i konsol bezpieczeństwa,
- monitorowanie użycia RMM, zdalnej administracji i nietypowych działań na kontach uprzywilejowanych,
- ograniczanie współdzielonych kont oraz egzekwowanie silnego MFA dla zasobów krytycznych,
- korelacja telemetrii bezpieczeństwa z danymi z IAM, HR i procesów dostawczych,
- rozwój programu insider threat łączącego działania techniczne, organizacyjne i prawne.
Istotne znaczenie ma również kultura organizacyjna. Firmy powinny tworzyć środowisko, w którym pracownicy i partnerzy mogą bezpiecznie zgłaszać błędy, podejrzane zachowania i problemy operacyjne. Wiele incydentów można ograniczyć wcześniej, jeśli sygnały ostrzegawcze nie są ignorowane lub tłumione.
Podsumowanie
Rosnące zainteresowanie insiderami ze strony grup ransomware pokazuje, że cyberprzestępcy szybko adaptują się do coraz lepszych zabezpieczeń technicznych w firmach. Gdy klasyczne wektory wejścia stają się trudniejsze, legalny użytkownik z dostępem do środowiska staje się atrakcyjnym celem werbunku.
Dla organizacji oznacza to konieczność przesunięcia części uwagi z ochrony perymetru na kontrolę tożsamości, zarządzanie uprawnieniami, skuteczny offboarding oraz wykrywanie nadużyć legalnego dostępu. To właśnie dojrzałość w obszarach IAM, PAM, monitoringu i współpracy między działami może zdecydować o tym, czy atak zostanie zatrzymany na etapie przygotowania, czy dopiero po uruchomieniu ransomware.
Źródła
- Dark Reading – Stronger Security Drives Ransomware Groups to Recruit From Within – https://www.darkreading.com/cyber-risk/stronger-security-drives-ransomware-groups-to-recruit-from-within
- Flashpoint – research on insider access advertised to threat actors – https://flashpoint.io/blog/
- CISA – guidance related to SIM swapping and access abuse – https://www.cisa.gov/
- SentinelOne – insider threat cost and risk analysis – https://www.sentinelone.com/
- Mimecast – The State of Human Risk 2026 – https://www.mimecast.com/