Vezetői tanulságok CISO-knak és IT-döntéshozóknak az adatlopás, a zsarolóvírusok és a digitális függőségek kezeléséhez.
A legtöbb támadás nem feltétlenül a legnagyobb kockázat. Ez az ENISA Threat Landscape 2026 egyik legfontosabb vezetői tanulsága az, hogy miközben a megfigyelt incidensek több mint felét DDoS-támadások tették ki, az üzletmenet szempontjából rövid távon a pénzügyi motivációjú támadások, hosszabb távon pedig a kiberkémkedés jelentik a súlyosabb fenyegetést. A CISO-k számára ezért a kulcsszó a reziliencia, az a bizonyított képesség, hogy a szervezet megelőzi, felismeri és kezeli az incidenseket, majd helyreállítja kritikus szolgáltatásait.
A 2026 szeptemberében kiadott jelentés 8 257, az EU tagállamait és EU-ban működő szervezeteket érintő incidenst elemzett. A fő vizsgálati időszak 2025. január 1-jétől december 31-ig tartott, a dokumentum emellett egyes 2026-os fejleményekre, különösen a mesterséges intelligencia szerepére is kitér.
A támadások száma önmagában félrevezető
Az ENISA adatállományában a DDoS-támadások aránya 51,3%, a jogosulatlan hozzáféréseké 39,5%. A magas DDoS-arányt jelentős részben geopolitikai eseményekhez kapcsolódó hacktivista kampányok alakították. Ezek gyakran nyilvános weboldalakat és ügyfélportálokat céloztak – különösen a közigazgatásban, ahol a rögzített incidensek 81,8%-át ideológiai motivációjú DDoS-támadások tették ki –, és sok esetben korlátozott vagy átmeneti zavart okoztak.
Ez nem jelenti azt, hogy a rendelkezésre állás védelme másodlagos. Egy kritikus ügyfélcsatorna kiesése komoly következményekkel járhat. A biztonsági költségvetést azonban nem célszerű kizárólag a leggyakrabban látható támadásokhoz igazítani. Bár a pénzügyi motivációjú műveletek a rögzített incidensek körülbelül 29%-át tették ki, az ENISA ezeket tekinti a rövid távon legnagyobb hatású fenyegetésnek, a kiberkémkedés pedig közép- és hosszú távon jelentős stratégiai kockázat.
A vezetői kérdés tehát nem pusztán az, hogy „hány támadást blokkoltunk?”, hanem az is, hogy „mely üzleti szolgáltatásaink és információink maradtak ténylegesen védettek?”.
A zsarólóvírus támadás már nem csak titkosítási probléma
A pénzügyi motivációjú eseményeken belül a zsarolóvírus (ransomware) 47,3%-ot, az adatsértések 36%-ot tettek ki. A megfigyelt, támadók által bejelentett ransomware-esetek legnagyobb hányada a gyártóipart érintette, ezen ágazat aránya 25,2% volt. A jelentés az adatlopásra és zsarolásra összpontosító működés növekvő jelentőségét hangsúlyozza. A támadó akkor is nyomást gyakorolhat az áldozatra, ha nem titkosítja a rendszereket, hanem érzékeny adatok közzétételével fenyeget.
CISO-szempontból ebből az következik, hogy a mentési stratégia szükséges, de önmagában nem elegendő. A helyreállítható rendszer nem teszi meg nem történtté az adatlopást. A védekezési programban ezért együtt érdemes kezelni az adatkiáramlás felismerését, a privilegizált hozzáférések védelmét, a mentések elkülönítését és az incidens utáni hozzáférés-visszavonást.
A sikeres helyreállítás mércéje ne csak az legyen, hogy újra működik a szolgáltatás, hanem az is, hogy megszűnt-e a támadó hozzáférése.
A bizalom és a legitim hitelesítés is támadási felület
A jelentés kiemeli a ClickFix és a device-code phishing technikákat. A ClickFix hamis javítási vagy ellenőrzési lépéssel veszi rá a felhasználót kártékony kód futtatására. A device-code phishing legitim hitelesítési folyamatot használ fel a hozzáférés megszerzéséhez. A felhős és SaaS-környezeteket érintő adatlopásoknál – például a ShinyHunters műveleteinél – telefonos megtévesztés (vishing), MFA-visszaélés és OAuth-tokenlopás is megjelenik.
Nem elegendő kizárólag a gyanús hivatkozásokat vagy a hibás jelszavakat keresni. A támadó szabályosnak látszó folyamatokon keresztül is elérheti a célját.
Indokolt kontrollválasz a phishing-rezisztens hitelesítés prioritása a kiemelt hozzáféréseknél, az alkalmazásengedélyek felülvizsgálata, valamint a helpdesk- és fiókhelyreállítási folyamatok megerősítése. Az MFA lefedettsége mellett annak minőségét és a munkamenetek visszavonhatóságát is érdemes vizsgálni.
A beszállítói kockázat valójában üzletmeneti kockázat
Az ENISA több olyan esetet ismertet, amelyekben egy közös szolgáltató kompromittálása számos szervezet működésére hatott. A Collins Aerospace utaskezelő szoftverét érintő 2025. szeptemberi incidens több európai repülőtéren zavarta meg az automatizált check-int, és manuális eljárások alkalmazásához vezetett. A jelentés esettáblázata a vMUSE infrastruktúrához történt jogosulatlan FTP-hozzáférést az Everest csoporthoz kapcsolja.
A beszállítói értékelés ne álljon meg a kérdőívnél vagy a szerződéses nyilatkozatnál. Fontos vezetői kérdések lehetnek:
• Mely kritikus szolgáltatás függ egyetlen külső platformtól?
• Milyen hozzáférést kap a szolgáltató a vállalati rendszerekhez és adatokhoz?
• Működőképes-e az alternatív vagy manuális eljárás?
• Teszteltük-e a szolgáltatói kiesésből történő helyreállást?
A függőségeket az üzleti szolgáltatásokhoz érdemes rendelni, nem csupán a beszerzési nyilvántartáshoz.
A fejlesztési környezet a vállalati védelem része
A jelentés kompromittált csomagokat, repositorykat és böngészőbővítményeket, valamint fejlesztőket célzó, hamis toborzói megkeresésekre és programozási tesztekre épülő támadásokat is tárgyal, például a Contagious Interview kampányt. Külön kockázatként jelennek meg a Famous Chollima tevékenységéhez kapcsolódó, hamis identitással jelentkező IT-munkavállalók. A szoftverellátási lánc így nem kizárólag alkalmazásbiztonsági kérdés. A fejlesztői identitások, a hozzájuk kapcsolódó hitelesítő adatok és buildrendszerek vállalati hozzáférési útvonalat jelenthetnek.
Az erre adott kontrollválaszban helye van a jóváhagyott csomagforrásoknak, az elkülönített CI/CD-környezeteknek, a minimális jogosultságú buildidentitásoknak és a kiszivárgott hitelesítő adatok gyors visszavonásának. Az állásinterjú során kapott, ismeretlen forrásból származó kódot csak elkülönített tesztkörnyezetben futtassuk, vállalati hozzáférések és érzékeny adatok nélkül.
A mesterséges intelligencia gyorsító tényező és új védendő környezet
Az ENISA szerint 2025-ben az AI (mesterséges intelligencia) elsősorban a meglévő támadói készségeket és műveleti produktivitást erősítette. A jelentés előrejelzése ugyanakkor a támadási lánc további fázisainak közvetlen AI-támogatásával számol. Fontos különbséget tenni a már megfigyelt AI-val támogatott támadások és az AI további szerepére vonatkozó előrejelzések között. Az utóbbiak lehetséges fejlődési irányokat jeleznek, nem pedig az autonóm AI-támadások általános elterjedtségét igazolják.
A vállalati AI-alkalmazások közben maguk is védendő környezetté válnak, különösen, ha fájlokhoz, hitelesítő adatokhoz vagy fejlesztési rendszerekhez férnek hozzá. A javasolt válasz ezért AI- és connectorleltár, kijelölt tulajdonos, szűkített jogosultság, naplózás és a nagy hatású műveletek kontrollált engedélyezése.
Mit vigyen a CISO a következő vezetői ülésre?
- Kritikus internetes kitettségek és kihasznált sérülékenységek rendezése.
- Privilegizált identitások és SaaS-hozzáférések megerősítése.
- Adatlopási detektálás és bizonyított helyreállítás.
- Kritikus beszállítói és fejlesztési függőségek tesztelése.
- AI-integrációk bevonása a vállalati kockázatkezelésbe.
Ezek elemzői ajánlások, nem az ENISA által előírt határidők vagy univerzális kontrollkövetelmények. A blog bejegyzésünk kontrolljavaslatai nem a jelentés szó szerinti előírásai.
Végül az adatokat is megfelelően kell olvasni. A jelentés főként nyílt forrású és önként megosztott információkra épül, nem pedig teljes körű incidensregiszter. A százalékok a megfigyelt események megoszlását mutatják, nem egy adott vállalat támadási valószínűségét. A fenyegetési helyzetkép akkor válik valódi döntéstámogatóvá, amikor a szervezet saját szolgáltatásaihoz, kitettségeihez és tesztelt kontrolljaihoz kapcsolja.
