Mandiant, unitatea de securitate cibernetică a Google Cloud, a publicat luni cel de-al 17-lea raport anual M-Trends, bazat pe peste 500.000 de ore de investigații de răspuns la incidente desfășurate pe parcursul anului 2025. Constatarea centrală a raportului: sectorul tehnologiei de vârf a depășit serviciile financiare ca industrie cel mai frecvent vizată, reprezentând 17% din toate investigațiile comparativ cu 14,6% pentru serviciile financiare — o schimbare după ce sectorul financiar a deținut prima poziție atât în 2023, cât și în 2024.
Poate și mai îngrijorător, timpul mediu global de persistență — numărul de zile în care un atacator rămâne nedetectat în rețeaua victimei — a crescut la 14 zile, de la 11 zile în raportul anului precedent.
Predarea de acces în 22 de secunde
Printre cele mai izbitoare dezvăluiri ale raportului se numără prăbușirea a ceea ce Mandiant numește „fereastra de predare a accesului” — intervalul de timp dintre momentul în care un broker de acces inițial obține un punct de intrare și transferul acelui acces către un grup secundar pentru operațiuni cu impact major, cum ar fi ransomware-ul. În 2022, durata mediană a predării accesului era de peste opt ore. În 2025, aceasta s-a redus la doar 22 de secunde.
Mandiant atribuie această accelerare specializării tot mai accentuate din cadrul ecosistemului criminalității cibernetice. Partenerii de acces inițial pregătesc acum în prealabil malware-ul și tunelurile preferate de colaboratorii lor chiar în timpul infecției inițiale, ceea ce înseamnă că actorii secundari sosesc complet echipați pentru a începe operațiunile imediat. Google Cloud a remarcat că „adversarii nu mai fură doar date”, ci „operează din ce în ce mai mult ca niște afaceri extrem de eficiente” care „au comprimat fereastra de timp în care apărătorii pot interveni”.
ClickFix, phishing-ul vocal și declinul emailului
Exploatările de vulnerabilități au rămas cel mai comun vector inițial de infecție pentru al șaselea an consecutiv, reprezentând 32% din intruziuni. Însă metodele pe care le folosesc atacatorii pentru a obține primul punct de acces se schimbă. Raportul evidențiază adoptarea pe scară largă a ClickFix, o tehnică de inginerie socială prin care atacatorii îi păcălesc pe utilizatori să execute comenzi malițioase prin intermediul unor solicitări false din browser, CAPTCHA-uri sau fluxuri de depanare. Brokerii de acces inițial folosesc din ce în ce mai mult ClickFix alături de reclame malițioase pentru a stabili puncte de acces înainte de a preda ștafeta operatorilor de ransomware.
Phishing-ul vocal (voice phishing) a crescut brusc la 11% din vectorii inițiali de infecție, devenind a doua metodă cel mai frecvent observată. Phishing-ul tradițional prin email, de multă vreme un element de bază al adversarilor, a scăzut la doar 6% pe măsură ce controalele tehnice automate s-au îmbunătățit. Mandiant a constatat, de asemenea, că compromiterea anterioară — în care atacatorii profită de accesul obținut inițial de un alt grup — s-a clasat ca fiind principalul vector inițial de infecție în operațiunile de ransomware, cu 30%, dublu față de rata observată în 2024.
Negarea recuperării și persistența extremă
Raportul documentează o schimbare în tacticile ransomware către ceea ce Mandiant numește “negarea recuperării” (recovery denial). Grupurile care utilizează familii de ransomware precum REDBIKE (Akira) și AGENDA (Qilin) vizează acum în mod activ infrastructura de backup, serviciile de identitate și planurile de management al virtualizării pentru a distruge capacitatea unei organizații de a-și restabili operațiunile.
Pe frontul spionajului, unii actori de amenințare optimizează pentru persistență extremă. Mandiant a descoperit că malware-ul personalizat în memorie, implementat pe dispozitivele de rețea de margine (edge), a obținut timpi de rezidență de aproape 400 de zile, depășind cu mult politicile standard de retenție a jurnalelor de 90 de zile și lăsând echipele de securitate orbi în fața întregii amplori a intruziunilor. Organizațiile au detectat activități malițioase intern în 52% din cazuri în 2025, față de 43% în 2024 — un semn pozitiv pentru apărători, chiar dacă peisajul amenințărilor devine mai complex.
Surse:
https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026