Nowoczesne ataki omijają uwierzytelnianie wieloskładnikowe – jak cyberprzestępcy logują się zamiast włamywać
W skrócie
- Współcześni cyberprzestępcy coraz częściej nie przełamują zabezpieczeń siłą, lecz logują się do systemów, wykorzystując socjotechnikę, przechwytywanie sesji i podszywanie się pod pracowników działu pomocy technicznej.
- Tradycyjne uwierzytelnianie wieloskładnikowe (MFA) przestało być wystarczającą ochroną wobec ataków opartych na zmęczeniu MFA i kradzieży poświadczeń.
- Skuteczna obrona wymaga dziś połączenia wykrywania zagrożeń tożsamości, analizy behawioralnej i strategii adaptacyjnego zaufania.
Przez lata uwierzytelnianie wieloskładnikowe (MFA) było uznawane za jeden z filarów bezpieczeństwa korporacyjnego. Dziś ten pogląd wymaga rewizji. Jak wskazują eksperci ds. cyberbezpieczeństwa, współcześni napastnicy coraz rzadziej próbują przełamać techniczne zabezpieczenia siłą – zamiast tego po prostu logują się do systemów, korzystając z wykradzionych lub wyłudzonych poświadczeń securityweek.com.
Jak wygląda nowoczesny łańcuch ataku na tożsamość
Cyberprzestępcy dysponują dziś szerokim arsenałem technik pozwalających ominąć tradycyjne mechanizmy ochrony. Do najczęściej stosowanych należą securityweek.com:
- Zaawansowana socjotechnika – manipulowanie pracownikami w celu ujawnienia danych dostępowych lub zatwierdzenia fałszywych żądań uwierzytelnienia,
- Ataki zmęczenia MFA – zasypywanie ofiary powiadomieniami o logowaniu do momentu, gdy ta omyłkowo lub z irytacji zatwierdzi nieautoryzowany dostęp,
- Przechwytywanie sesji – przejęcie aktywnej sesji użytkownika po tym, jak ten już się uwierzytelnił,
- Kradzież poświadczeń – pozyskiwanie loginów i haseł z różnych źródeł, w tym z wycieków danych,
- Podszywanie się pod pracowników działu pomocy technicznej – kontaktowanie się z działem IT w imieniu ofiary w celu zresetowania dostępów lub ominięcia procedur weryfikacyjnych.
Efektem tych działań jest niezauważone poruszanie się napastnika po środowisku korporacyjnym – zarówno w infrastrukturze lokalnej, jak i chmurowej.
Luki w wykrywaniu zagrożeń w środowiskach hybrydowych
Szczególnym wyzwaniem pozostają środowiska hybrydowe i wielochmurowe, w których widoczność zdarzeń związanych z tożsamością jest często fragmentaryczna. Cyberprzestępcy potrafią wykorzystać te luki, przemieszczając się między systemami w sposób, który nie wyzwala alertów w żadnym z monitorowanych punktów z osobna securityweek.com.
Tradycyjne narzędzia bezpieczeństwa, zaprojektowane z myślą o wykrywaniu złośliwego oprogramowania czy nieautoryzowanego ruchu sieciowego, nie są przystosowane do identyfikowania ataków opartych wyłącznie na legalnych poświadczeniach i zaufanych przepływach dostępu.
W kierunku adaptacyjnego zaufania i analizy behawioralnej
Odpowiedzią na te zagrożenia ma być odejście od statycznych modeli uwierzytelniania na rzecz podejść dynamicznych. Eksperci wskazują na trzy kluczowe elementy skutecznej obrony securityweek.com:
- Wykrywanie zagrożeń tożsamości – ciągłe monitorowanie aktywności kont pod kątem anomalii,
- Analiza behawioralna – budowanie profili typowego zachowania użytkowników i wykrywanie odchyleń,
- Adaptacyjne zaufanie – dostosowywanie poziomu wymaganego uwierzytelnienia do kontekstu żądania dostępu (lokalizacja, urządzenie, pora dnia, wrażliwość zasobu).
Celem jest stworzenie systemu, który nie tylko weryfikuje tożsamość w momencie logowania, ale stale ocenia wiarygodność sesji przez cały czas jej trwania.
Co to oznacza
Dla polskich organizacji – zarówno przedsiębiorstw, jak i instytucji publicznych – opisane trendy mają bezpośrednie przełożenie na codzienne decyzje dotyczące bezpieczeństwa. Wdrożenie MFA, choć wciąż konieczne, nie może być traktowane jako punkt końcowy strategii ochrony tożsamości. Ataki zmęczenia MFA i podszywanie się pod pracowników działu IT to techniki, które nie wymagają zaawansowanych narzędzi technicznych – wystarczy cierpliwość i umiejętności socjotechniczne, co czyni je dostępnymi dla szerokiego grona cyberprzestępców.
Szczególnie narażone są organizacje, które przeszły na modele pracy hybrydowej lub przeniosły część infrastruktury do chmury, nie aktualizując jednocześnie procedur weryfikacji tożsamości i monitorowania dostępów. Fragmentaryczna widoczność zdarzeń w takich środowiskach tworzy martwe pola, które napastnicy aktywnie wykorzystują.
Przejście na model adaptacyjnego zaufania wiąże się z inwestycjami w narzędzia analityczne i zmianą podejścia operacyjnego – od reagowania na incydenty do ciągłego monitorowania kontekstu dostępu. Dla działów bezpieczeństwa oznacza to konieczność ścisłej współpracy z zespołami zarządzającymi tożsamością i dostępem, a dla zarządów – zrozumienie, że sam fakt posiadania MFA nie chroni już przed najpoważniejszymi kategoriami ataków securityweek.com.
Szerszy kontekst
Phishing z wykorzystaniem kodu urządzenia stał się szczególnie wyrafinowanym wektorem ataku, w którym cyberprzestępcy używają narzędzi takich jak TokenTactics do przechwytywania tokenów Microsoft 365 i uzyskiwania nieautoryzowanego dostępu do środowisk korporacyjnych, w tym Outlook, SharePoint i Teams. Ataki te często obejmują przechwytywanie tokenów, omijanie zasad dostępu warunkowego oraz podszywanie się pod urządzenia przy użyciu rezydencjalnych usług proxy, aby wyglądać jak legalne urządzenia. Rosyjscy aktorzy sponsorowani przez państwo byli szczególnie aktywni w stosowaniu tych technik wobec kont Microsoft 365.
W 2023 roku Kroll zaobserwował rosnącą liczbę cyberataków wymierzonych w 90% organizacji, które już wdrożyły uwierzytelnianie wieloskładnikowe. Co więcej, Cisco Talos informuje, że w pierwszym kwartale 2024 roku 50% ich interwencji w odpowiedzi na incydenty dotyczyło ataków omijających MFA.
Źle skonfigurowane lub nieobowiązkowe ustawienia MFA odegrały znaczącą rolę w poważnych atakach w 2024 roku, w tym w incydentach ransomware w Change Healthcare oraz kradzieży danych uwierzytelniających w naruszeniach dotykających klientów Snowflake.
Microsoft poinformował, że ataki phishingowe typu adversary-in-the-middle wymierzone były w ponad 10 000 organizacji, kradnąc dane uwierzytelniające i pliki cookie sesji w celu ominięcia uwierzytelniania wieloskładnikowego (MFA). Te wyrafinowane kampanie napędzały powszechne ataki na firmową pocztę elektroniczną (BEC), uwypuklając ewoluujący krajobraz zagrożeń.
Okta Terrify, narzędzie zaprezentowane podczas konferencji BSides Cymru 2024, pokazało, jak rozwiązania bezhasłowe, takie jak FastPass Okta Verify lub FIDO2/WebAuthn, mogą być nadużywane po przejęciu kontroli nad punktem końcowym. Systemy bezhasłowe opierają się na parach kluczy publiczny/prywatny generowanych podczas rejestracji w celu uwierzytelniania użytkowników. Dostęp do punktu końcowego może prowadzić do wyodrębnienia zaszyfrowanej bazy danych, odzyskania materiału klucza, a następnie generowania fałszywych kluczy biometrycznych lub nadużywania istniejących kluczy.
Analiza
Kluczowy wniosek płynący z opisywanych trendów jest taki, że MFA przestało być wystarczającą barierą ochronną – stało się natomiast celem samym w sobie. Dane są tu jednoznaczne: według descope.com w pierwszym kwartale 2024 roku aż 50% interwencji Cisco Talos dotyczyło ataków omijających MFA, a firma Kroll odnotowała w 2023 roku rosnącą falę ataków wymierzonych w organizacje, które MFA już wdrożyły. Jak wskazuje abnormal.ai, błędnie skonfigurowane lub nieobowiązkowe ustawienia MFA odegrały istotną rolę w głośnych incydentach 2024 roku, w tym ataku ransomware na Change Healthcare oraz kradzieży poświadczeń klientów Snowflake. Oznacza to, że samo posiadanie MFA może dawać fałszywe poczucie bezpieczeństwa – i właśnie to fałszywe poczucie jest dziś jedną z głównych luk eksploatowanych przez napastników.
Szczególnie niepokojący jest kierunek rozwoju technik ataku. Według mobileidworld.com tzw. device code phishing – z użyciem narzędzi takich jak TokenTactics – pozwala przechwytywać tokeny Microsoft 365 i uzyskiwać dostęp do środowisk korporacyjnych z pominięciem mechanizmów warunkowego dostępu, a rosyjskie grupy sponsorowane przez państwo aktywnie stosują te metody przeciwko platformom Microsoft. Jednocześnie ataki socjotechniczne są wspomagane przez sztuczną inteligencję generującą wiarygodne wiadomości phishingowe, a liczba mobilnych ataków phishingowych wzrosła globalnie o 26 procent w 2024 roku. Jak pokazuje bugcrowd.com, nawet systemy bezhasłowe oparte na FIDO2 czy Okta FastPass mogą być nadużyte po przejęciu kontroli nad urządzeniem końcowym – co obala mit, że nowsze technologie uwierzytelniania są z definicji bezpieczne.
Dla polskich organizacji praktyczna implikacja jest następująca: inwestycja w MFA to konieczny, ale niewystarczający krok. Priorytetem powinno stać się wdrożenie ciągłego monitorowania behawioralnego i modelu adaptacyjnego zaufania, który ocenia wiarygodność sesji nie tylko w momencie logowania, lecz przez cały czas jej trwania. Środowiska hybrydowe i wielochmurowe wymagają przy tym zunifikowanej widoczności zdarzeń tożsamościowych – fragmentaryczne monitorowanie tworzy martwe pola, które napastnicy potrafią systematycznie wykorzystywać, przemieszczając się między systemami bez wyzwalania jakiegokolwiek alertu.
Powiązane newsy
Krytyczna luka w Microsoft 365 Copilot: atak SearchLeak pozwalał kraść kody 2FA z e-maili1 lipca 2026
Następny przełom w AI: modele uczące się w trakcie pracy, nie tylko podczas treningu1 lipca 2026
OpenAI prezentuje GPT-5.6 Sol – najbardziej zaawansowany model AI do cyberbezpieczeństwa z ograniczonym dostępem30 czerwca 2026
NVIDIA NeMo AutoModel przyspiesza dostrajanie modeli MoE: 3,7x wyższa przepustowość przy mniejszym zużyciu pamięci GPU1 lipca 2026