Microsoft Digital Defense Report 2026: Vetonaulan nostot johdolle
Microsoft julkaisi vuosittaisen Digital Defense Report -raporttinsa. Tarkastelujakso on heinäkuu 2025–kesäkuu 2026, ja sivuja on yli sata. Luimme raportin ja poimimme tähän havainnot, joilla on eniten merkitystä pk-yrityksen johdolle.
Tiivistelmä
- Kalastelulla alkaneiden tunkeutumisten osuus nousi Microsoftin tapausselvityksissä 7 prosentista 23 prosenttiin.
- 45 % kalasteluista käytti välistävetotekniikkaa (AiTM), joka kaappaa salasanan lisäksi MFA-koodin ja kirjautumisistunnon.
- Haavoittuvuudesta saadaan toimiva hyökkäys mediaanina reilusti alle vuorokaudessa. Yrityksissä kriittisen korjauksen asentaminen vie tyypillisesti 30–60 päivää.
- Kiristyshaittaohjelmissa IT-alan osuus nousi 15 prosentista 24 prosenttiin niistä tapauksista, joissa toimiala tiedetään.
- Microsoftin ensimmäinen suositus on seurata kyberriskiä johtoryhmässä omilla mittareillaan.
Kalastelu kolminkertaistui tunkeutumisen alkuna
Microsoftin tapausselvityksissä kalastelu oli tunkeutumisen alku 23 prosentissa tapauksista, kun vuotta aiemmin osuus oli 7 %. Yleisin alku oli internetiin näkyvän palvelun haavoittuvuus (24 %). Luotetun kumppanin ja ohjelmistotoimitusketjun kautta alkaneet tunkeutumiset kaksinkertaistuivat kumpikin 2 prosentista 4 prosenttiin.
Pk-yrityksessä internetiin näkyviä palveluita ovat yleensä Microsoft 365 -kirjautuminen, palomuuri, VPN ja muut etäyhteydet. Niistä kannattaa tietää, mitkä ovat auki ja kuka vastaa niiden päivityksistä.
Kalastelu kaappaa nyt myös MFA-koodin
Välistävetohyökkäyksessä (adversary-in-the-middle, AiTM) hyökkääjän palvelin asettuu käyttäjän ja oikean kirjautumissivun väliin. Käyttäjä kirjautuu tavalliseen tapaan ja hyväksyy MFA-pyynnön, ja hyökkääjä saa kirjautumisistunnon itselleen. AiTM-linkkien osuus kaikista tunnistetuista kalastelutekniikoista oli 45 %. Kalastelulla alkaneista tunkeutumisista 87,7 % johti tunnusten tai istunnon varastamiseen.
Microsoft suosittaa pääsyavaimia (passkey) ja muuta kalastelun kestävää MFA:ta. Lisäksi istunnot ja tokenit pitää pystyä mitätöimään nopeasti. Olemme kirjoittaneet aiemmin pääsyavaimista Entra ID:ssä ja ehdollisesta pääsynhallinnasta.
Hyökkääjä ehtii ennen kuukausipäivitystä
Raportin mukaan aika haavoittuvuuden löytymisestä toimivaan hyökkäykseen on pudonnut mediaanina reilusti alle vuorokauteen. Tekoäly nopeuttaa haavoittuvuuksien etsintää, ja vuodelle 2026 arvioidaan ennätykselliset noin 72.000 uutta CVE-haavoittuvuutta. Yrityksissä kriittisten, internetiin näkyvien haavoittuvuuksien korjaaminen vie mediaanina 30–60 päivää.
Microsoft suosittaa, että internetiin näkyvän järjestelmän tai identiteettijärjestelmän uusi haavoittuvuus korjataan 72 tunnissa. Raportin mukaan kuukausittainen päivityssykli ei välttämättä enää riitä näille järjestelmille. Päätelaitteiden päivitykset voi automatisoida laitehallinnalla. Palomuurit ja VPN-laitteet kannattaa käydä läpi erikseen, koska ne jäävät usein automaattisten päivitysten ulkopuolelle.
Kiristyshaittaohjelmat osuivat eniten IT-alaan
Microsoft Defenderin havaitsemissa kiristyshaittaohjelmatapauksissa tietotekniikka-ala oli useimmin kohteena: 649 tapausta, kun vuotta aiemmin niitä oli 248. Toimiala tunnistettiin aiempaa useammin, joten osuus kuvaa muutosta tarkemmin. IT-alan osuus nousi 15 prosentista 24 prosenttiin. Aktiivisin kiristyshaittaohjelma Defenderin havainnoissa oli Akira (22 %).
IT-toimittajalla on pääsy asiakkaidensa järjestelmiin, joten toimittajan oma tietoturva on osa asiakkaan tietoturvaa. Olemme ISO 27001 -sertifioitu, ja sertifiointi kattaa koko yrityksen. Microsoft 365 Backupissa palautus testataan suunnitelman mukaan, jotta tiedot saadaan takaisin myös kiristystilanteessa.
Mitä johdon kannattaa pyytää IT:ltä
Microsoft listaa raportissa kymmenen prioriteettia (s. 7). Pk-yrityksessä näistä pääsee alkuun viidellä.
- Kyberriskin mittarit johtoryhmään. Microsoft nimeää seurattaviksi identiteettien altistuksen, päivitysviiveen, tekoälyagenttien oikeudet, kriittiset riippuvuudet, hyökkääjän viipymäajan ja palautumisvalmiuden. Virtuaalinen tietoturvajohtaja auttaa tuomaan ne osaksi johtoryhmän raportointia.
- Pääsyavaimet tai muu kalastelun kestävä MFA vähintään ylläpitäjille ja johdolle.
- 72 tunnin korjaustavoite internetiin näkyville järjestelmille sekä ajantasainen lista siitä, mitä internetiin näkyy.
- Valvonta, joka yhdistää päätelaitteiden, identiteettien, sähköpostin ja pilven signaalit. Microsoftin mukaan tunkeutuminen havaitaan näin aiemmin. SOC-tietoturvakeskuksemme valvoo asiakkaidemme ympäristöjä ympäri vuorokauden.
- Henkilöstön harjoittelu oikeilla kalasteluesimerkeillä. Raportin mukaan ihmisiin kohdistuvat huijaukset ovat edelleen yksi yleisimmistä reiteistä sisään. Jatkuvassa tietoturvatietoisuuspalvelussa hyökkäyssimulaatiot perustuvat ajankohtaisiin uhkiin.
Viime vuoden raportin havainnot kokosimme Microsoft Digital Defense Report 2025 -yhteenvetoon.
Käydään nämä läpi teidän ympäristönne osalta.