Vuoden 2026 Lumen Defender Threatscape -raportti: Miksi näkyvyys loukkausten yhteydessä ei olekaan ratkaiseva tekijä

Vuoden 2026 Lumen Defender Threatscape -raportti Lumenilta, jonka takana on uhka-analytiikkaosasto Black Lotus Labs, antaa selkeän viestin, että useimmat organisaatiot taistelevat edelleen kyberhyökkäyksiä liian myöhään. Raportti väittää, että kun loukkaus havaitaan verkostossa, hyökkäyksen todellinen työ on jo valmis. Mikä näyttää yllättävältä murtautumiselta, on usein hyökkäyksen viimeinen vaihe pitkään ja huolellisesti suunnitellussa operaatiossa.

Sen sijaan, että keskittyisi siihen, mitä tapahtuu loukkauksen jälkeen, raportti siirtää huomion siihen, mitä tapahtuu ennen sitä. Tämä muutos muuttaa kaiken.

Kyberhyökkäykset alkavat nyt jo ennen loukkausta

Nykyiset kyberoperaatiot eivät enää muistuta tilanteisiin sopeutuvia murtautumisia. Ne muistuttavat enemmän rakennettuja kampanjoita, jotka kootaan ajan myötä. Uhka-aktöörit aloittavat jatkuvasti skannaamalla internetiä etsimällä alttiita järjestelmiä, päivittämättömiä laitteita ja heikkoja todennuskohtia. Kun he löytävät mahdollisuuksia, he rakentavat infrastruktuuria niiden ympärille.

Tämä valmisteluvaihe sisältää varastettujen tunnistetietojen vahvistamisen, välitysverkkojen määrittämisen, viestintäkanavien testaamisen ja varmistamisen, että komentojärjestelmät voivat toimia keskeytyksettä. Kun organisaatio havaitsee epäilyttävän toiminnan, hyökkääjä on jo rakentanut tarvittavat reitit liikkumiseen ympäristössä.

Se, mikä tekee tästä erityisen vaarallista, on se, että useimmat organisaatiot eivät näe tätä varhaisvaihetta. Perinteiset turvallisuustyökalut on suunniteltu havaitsemaan tunnetut uhkat tai epäilyttävän toiminnan verkostossa. Ne eivät ole suunniteltu havaitsemaan, miten hyökkäys on rakennettu alusta alkaen.

Infrastruktuurikerros on nyt todellinen taistelukenttä

Yksi raportin tärkeimmistä löydöksistä on, että kyberhyökkäykset eivät enää määritty vaidaksikaan malmareilla. Sen sijaan ne määrittyvät infrastruktuurilla, joka niitä tukee. Hyökkääjät panostavat enemmän kestävien, sopeutuvien järjestelmien rakentamiseen, jotka voivat selvitä häiriöistä ja palautua nopeasti.

Tämä muutos on nähtävissä sekä rikollisissa operaatioissa että valtioiden tukemissa kampanjoissa. Välitysverkostot ovat tulleet lähes jokaisen hyökkäyksen ydinosaaksi. Nämä verkostot sallivat hyökkääjien ohjata liikennettä mukautuneiden laitteiden kautta, usein tehdessä pahantahtoisen toiminnan näyttävän tulevan legitiimeiltä käyttäjiltä.

Samaan aikaan hyökkääjät siirtävät fokuksensa päätepisteistä reuna-laitteisiin, kuten reitittimiin, VPN-yhdyskäytäviin ja palomuureihin. Nämä järjestelmät sijaitsevat verkoston kriittisissä kohdissa, usein heikommalla näkyvyydellä ja tarjoavat suoran pääsyn sisäisiin järjestelmiin. Ne myös usein ovat pidemmän aikaa päällä ja vähemmän valvottuina, mikä tekee niistä ihanteellisia jalkojen alla olevia kohteita.

Tuloksena on uhkakuvasto, jossa hyökkääjät toimivat internetin yhdistävän kudoksen sisällä sen sijaan, että he toimisivat sen reunoilla.

Tekoäly nopeuttaa koko prosessia

Raportti korostaa, miten generatiivinen tekoäly nopeuttaa kyberoperaatioita dramaattisesti. Tehtävät, jotka aiemmin vaativat ihmisten koordinaatiota, voidaan nyt automatisoida. Hyökkääjät käyttävät tekoälyä skannaamalla haavoittuvuuksia, generoimalla infrastruktuuria, testaamalla hyökkäyksiä ja sopeuttamalla strategioitaan reaaliajassa.

Tämä muutos pakkaa hyökkäyksen aikajanaa. Se, mikä aiemmin kesti päiviä tai viikkoja, voi nyt tapahtua muutamassa tunnissa. Joidenkin tapausten osalta tekoälyjärjestelmät voivat arvioida verkko-olosuhteita, tunnistaa tehokkaimman etenemisen ja sopeuttaa taktiikkaa ilman ihmisen väliintuloa.

Puolustajille tämä luo uuden haasteen. Turvallisuustiimit eivät enää kohtaa staattisia uhkia. He kohtaavat järjestelmiä, jotka kehittyvät jatkuvasti ja reagoivat puolustuksiin, kun niitä kohtaavat.

Kyberrikollisuus on kehittynyt ammattimaiseksi teollisuudeksi

Raportin yksi hätkähköimmistä teemoista on, miten kyberrikollisuus on kehittynyt rakenteelliseksi, ammattimaiseksi ekosysteemiksi. Monet operaatiot muistuttavat nykyään legitiimejä teknologiayrityksiä. He tarjoavat palveluita, tukevat asiakkaita ja parantavat jatkuvasti tuotteitaan.

Malware-alustat myydään tilauspalveluina. Välitysverkkoja vuokrataan tarpeen mukaan. Pääsy mukautuneisiin järjestelmiin voidaan ostaa ja myydä uudelleen markkinoilla. Eri toimijat erikoistuvat hyökkäyksen elinkaaren eri osiin, alkaen alkuperäisestä pääsystä, tietojen poisviennistä ja rahastamiseen.

Tämä taso organisaatiota mahdollistaa kyberrikollisille tehokkaan operaatioiden skaalautumisen. Se myös tekee heistä kestävämmän. Kun yksi komponentti häirintyy, toinen voi nopeasti korvata sen.

Sama infrastruktuuri usein jaetaan useiden ryhmien kesken, mikä hämärtää rajaa rikollisen toiminnan ja valtioiden tukemien operaatioiden välillä. Tämä tekee attribuution vaikeammaksi ja lisää riskiä, että hyökkäyksen todellinen luonne tulkitaan väärin.

Välitysverkostot määrittävät luottamusta internetissä

Yksi raportin tärkeimmistä kehityksistä on kompromisoitujen laitteiden välitysverkkojen rakentaminen. Nämä verkostot sallivat hyökkääjien toimia sellaisilta IP-osoitteilta, jotka näyttävät olevan normaaleilta asuinkäyttöön tai kaupallisiin tarkoituksiin tarkoitetuilta laitteilta.

Puolustajan näkökulmasta tämä on suuri ongelma. Perinteiset turvallisuusmallit perustuvat voimakkaasti luottamusmerkkeihin, kuten sijaintiin, IP-mainetta ja verkoston omistajuuteen. Välitysverkostot horjuttavat kaikkia näitä merkkejä.

Hyökkääjä voi näyttää olevan legitiimi käyttäjä, joka yhdistää verkostoon asuinkäytössä olevan laitteen kautta. He voivat ohittaa sijaintiin perustuvat valvontajärjestelmät, välttää havaitsemisen ja sulautua saumattomasti normaaliin liikenteeseen.

Tämä tarkoittaa, että se, mikä näyttää puhdas olevan, ei välttämättä ole turvallista. Internet itsessään on muuttunut naamioitumiskeinoksi.

Jopa yksinkertaiset hyökkäykset on uudelleen keksitty

Raportti osoittaa myös, että vanhemmat tekniikat, kuten brute force -hyökkäykset, eivät ole vanhentuneita. Sen sijaan ne on muutettu skaalalla ja automaatiolla.

Hyökkääjillä on nyt pääsy massiivisiin varastettujen tunnistetietojen tietokantoihin. He yhdistävät tämän jakautuneen infrastruktuurin ja tekoälyohjattujen työkalujen kanssa testatakseen todennusjärjestelmiä tuhansien kohteiden yli samanaikaisesti. Nämä hyökkäykset eivät ole enää satunnaisia. Ne ovat kohdennettuja, pysyviä ja erittäin tehokkaita.

Se, mikä tekee niistä erityisen vaarallisia, on se, että ne usein toimivat ensimmäisenä askelena laajemmassa operaatiossa. Kun pääsy on saavutettu, hyökkääjät voivat siirtyä syvemmälle verkostoon, käyttää lisää työkaluja ja perustaa pitkäaikaisen valvonnan.

Valtioiden operaatiot muuttuvat infrastruktuurialustoiksi

Raportti korostaa, miten valtioiden toimijat rakentavat pitkäaikaisia infrastruktuureja, jotka tukevat useita kampanjoita ajan myötä. Nämä operaatiot on suunniteltu joustaviksi. Niitä voidaan käyttää tiedusteluun, hyödyntämiseen tai häirintään riippuen tavoitteesta.

Sen sijaan, että keskittyisivät yhteen kohdekohteeseen, nämä järjestelmät luovat perustan, jota voidaan käyttää eri operaatioissa. Ne on rakennettu skaalautumaan, sopeutumaan ja kestämään painetta.

Joidenkin tapausten osalta hyökkääjät eivät edes rakenna omaa infrastruktuuriaan. He ottavat haltuunsa järjestelmiä, joita jo hallitsee toinen ryhmä, ja käyttävät niitä oman operaationsa lähtökohtana. Tämä lisää monimutkaisuutta ja tekee yhä vaikeammaksi ymmärtää, kuka on hyökkäyksen takana.

Tulevaisuuden kybersuojaus määrittyy näkyvyydellä

Eteenpäin katsoen raportti tunnistaa useita muutoksia, jotka määrittävät uhkakuvaa vuonna 2026 ja sen jälkeen. Tärkein näistä on se, että riski määrittyy alttiisuuden perusteella.

Hyökkääjät skannaavat jatkuvasti internetiä. Jokainen näkyvä ja haavoittuvainen järjestelmä tullaan lopulta kohteeksi. Se ei riipu siitä, mihin alaan se kuuluu. Mahdollisuus on ohjaava tekijä.

Samaan aikaan tärkeimmät signaalit eivät tule yksittäisistä laitteista. Ne tulevat verkoston malleista. Järjestelmien viestintätavat, infrastruktuurin rakentaminen ja hylkääminen sekä liikenteen virtaaminen internetissä paljastavat hyökkäykset ennen kuin ne saavuttavat kohteensa.

Tämä vaatii erilaisen lähestymistavan turvallisuuteen. Sen sijaan, että keskittyisimme vain päätepisteisiin ja hälytyksiin, organisaatioiden on ymmärrettävä laajempi ympäristö, jossa hyökkäykset muotoutuvat.

Uusi lähestymistapa puolustukseen

Raportti tekee selväksi, että perinteiset puolustusstrategiat eivät enää riitä. Organisaatioiden on siirrettävä fokus eteenpäin hyökkäyskierron aikana. Heidän on keskityttävä havaitsemaan ja häiritsemään infrastruktuuria, joka mahdollistaa hyökkäykset, ei vain itse hyökkäykset.

Tämä tarkoittaa sitä, että reuna-laitteita on käsiteltävä kriittisinä varusteina. Se tarkoittaa seuraamista, miten liikenne tulee verkostoon ja menee sieltä pois. Se tarkoittaa myös ymmärtämistä järjestelmien välisistä suhteista sen sijaan, että riippuisimme staattisista merkeistä.

Se tarkoittaa myös sitä, että on hyväksyttävä, että raja rikollisen toiminnan ja valtioiden tukemien operaatioiden välillä on yhä hämärtyvä. Jokainen tunkeutuminen on käsiteltävä strategisena.

Raportin todellinen opetus

Raportin tärkein viesti on, että kyberhyökkäykset eivät enää ole erillisiä tapahtumia. Ne ovat rakennettuja järjestelmiä. Ne on suunniteltu, testattu ja viimeistelty kauan ennen kuin ne toteutetaan.

Kun hälytys laukaistaan, hyökkääjä on jo jollakin tavoin verkostossa. Perustyö on jo tehty.

Organisaatiot, jotka menestyvät tässä uudessa ympäristössä, ovat ne, jotka siirtävät fokuksensa. He katsovat päätepisteen ulkopuolelle. He katsovat loukkauksen ulkopuolelle. He keskittyvät infrastruktuuriin, joka mahdollistaa nämä hyökkäykset.

Näin tehdessään he saavuttavat yhden tärkeimmän edun, joka on modernissa kybersuojausympäristössä olennainen. He näkevät hyökkäyksen ennen kuin se alkaa.