Dane o cyberbezpieczeństwie z pierwszej połowy 2026 roku wskazują na wyraźną zmianę w sposobie, w jaki atakujący zdobywają dostęp do firm: kompromitacja tożsamości, phishing i socjotechnika są coraz częściej wykorzystywane do omijania tradycyjnych zabezpieczeń skoncentrowanych na oprogramowaniu.
Tę tendencję potwierdzają niedawne dane o incydentach. Zespół Unit 42 firmy Palo Alto Networks stwierdził, że słabości tożsamości odegrały istotną rolę w prawie 90% jego dochodzeń w ramach reagowania na incydenty, a 65% początkowego dostępu w jego danych o przypadkach obejmowało techniki oparte na tożsamości.
Odrębna cotygodniowa analiza obejmująca okres 7–13 września wykazała, że cztery z pięciu wyróżnionych incydentów dotyczyły skompromitowanych poświadczeń, sesji lub wyglądającego na zaufane żądania, a nie nowatorskiej techniki ataku.
Przesłanie dla zespołów bezpieczeństwa jest proste: atakujący coraz częściej nie muszą łamać oprogramowania, jeśli potrafią przekonać firmę, by ich wpuściła.
Co się zmienia?
Tradycyjne programy bezpieczeństwa często koncentrowały się głównie na lukach w systemach operacyjnych, aplikacjach i infrastrukturze sieciowej.
Te luki nadal są ważne. Aktywnie wykorzystywane luki w oprogramowaniu wciąż mogą dać atakującym potężny dostęp.
Ale ataki oparte na tożsamości oferują inną drogę.
Zamiast wykorzystywać lukę, atakujący może:
- ukraść hasło pracownika
- kupić skompromitowane poświadczenia
- ukraść tokeny sesji przeglądarki
- użyć phishingu typu adversary-in-the-middle do przechwycenia uwierzytelnienia
- podszyć się pod pracowników IT lub helpdesku
- nakłonić pracowników do zatwierdzania żądań uwierzytelnienia
- skompromitować dostawcę posiadającego legalny dostęp
- nadużyć istniejącej sesji w chmurze lub SaaS
- przekonać pracownika do zarejestrowania metody uwierzytelniania kontrolowanej przez atakującego
Gdy atakujący ma ważne poświadczenia, jego aktywność może wyglądać znacznie bardziej jak legalny ruch biznesowy.
Tożsamość stała się główną powierzchnią ataku
Raport Unit 42 dotyczący reagowania na incydenty z 2026 roku wykazał, że techniki oparte na tożsamości odpowiadały za 65% początkowego dostępu w jego danych o przypadkach reagowania na incydenty.
Podział obejmował socjotechnikę związaną z tożsamością, niewłaściwe użycie poświadczeń i ataki brute force oraz problemy z politykami tożsamości lub ryzykiem wewnętrznym.
Ma to szczególne znaczenie, ponieważ firmy przenoszą coraz więcej infrastruktury do środowisk chmurowych i SaaS.
Tradycyjny obwód sieci nie jest już jedyną granicą, która ma znaczenie.
Pojedyncza tożsamość może potencjalnie zapewniać dostęp do:
- Microsoft 365
- VPN-ów
- konsol chmurowych
- aplikacji SaaS
- aplikacji wewnętrznych
- repozytoriów kodu źródłowego
- baz danych klientów
- systemów administracyjnych
- usług podmiotów trzecich
Atakujący, który zdobędzie taką tożsamość, może zatem ominąć kilka tradycyjnych mechanizmów kontroli bezpieczeństwa jednocześnie.
Niedawne incydenty pokazują ten schemat
Krajobraz zagrożeń z okresu 7–13 września dostarcza kilku przykładów.
W jednym przypadku atakujący zdobyli poświadczenia od zewnętrznego dostawcy i wykorzystali je do uzyskania dostępu do interfejsu API firmy z sektora opieki zdrowotnej. W innym skompromitowane poświadczenia użytkownika z lokalnych służb ścigania posłużyły do uzyskania dostępu do stanowej bazy danych kierowców.
Odrębny incydent z udziałem Revolut pokazał inną formę nadużycia tożsamości: atakujący podszyli się pod legalny organ państwowy i przekonali pracowników do ujawnienia wrażliwych informacji o klientach. Same systemy firmy nie zostały technicznie naruszone.
Microsoft udokumentował również aktywne włamania do chmury, w których po socjotechnice następowało użycie skradzionych poświadczeń, nowych metod uwierzytelniania kontrolowanych przez atakującego, rozpoznanie środowiska chmurowego i gromadzenie danych.
Te incydenty mają ważną cechę wspólną: nadużyto zaufania.
Dlaczego skradzione poświadczenia są tak cenne
Wykorzystanie luk w oprogramowaniu często wymaga od atakującego znalezienia podatnego systemu, zrozumienia luki, opracowania exploita i pokonania dodatkowych zabezpieczeń.
Ważne poświadczenie może wyeliminować kilka z tych kroków.
Po uwierzytelnieniu atakujący może już wyglądać jak:
legalny pracownik korzystający z legalnego konta z legalnej usługi.
To utrudnia wykrycie.
Atakujący może również odziedziczyć uprawnienia, które nigdy nie miały być używane poza normalnymi obowiązkami pracownika.
Unit 42 stwierdził, że 99% przeanalizowanych tożsamości w chmurze miało nadmierne uprawnienia, w tym uprawnienia, które nie były używane przez dłuższy czas.
Tworzy to niebezpieczne połączenie:
skradziona tożsamość + nadmierne uprawnienia = szybkie rozszerzanie dostępu.
MFA pomaga — ale nie rozwiązuje problemu
Uwierzytelnianie wieloskładnikowe (MFA) pozostaje ważnym mechanizmem obronnym, ale współczesne ataki na tożsamość coraz częściej celują w sam proces uwierzytelniania.
Atakujący mogą próbować kraść uwierzytelnione sesje, nadużywać uprawnień OAuth, manipulować rejestracją MFA lub stosować techniki adversary-in-the-middle do przechwytywania materiałów uwierzytelniających.
Microsoft niedawno udokumentował kampanie, w których atakujący po skompromitowaniu tożsamości próbowali utrwalić swoją obecność, rejestrując metodę uwierzytelniania pod własną kontrolą.
Oznacza to, że firmy muszą monitorować więcej niż tylko udane logowania.
Zespoły bezpieczeństwa powinny również monitorować:
- nowe metody MFA
- nowo zarejestrowane urządzenia
- nietypowe aplikacje OAuth
- podejrzaną aktywność sesji
- niemożliwe lub nietypowe wzorce logowania
- zmiany uprawnień
- nietypową aktywność interfejsów API chmury
- zmiany haseł i metod odzyskiwania dostępu
- nieprawidłowy dostęp do wrażliwych aplikacji
Co powinny zrobić firmy
Bezpieczeństwo tożsamości musi stać się częścią podstawowej strategii cyberodporności.
✅ Wymuszaj uwierzytelnianie odporne na phishing
Tam, gdzie to praktyczne, stosuj sprzętowe lub odporne na phishing metody uwierzytelniania zamiast polegać wyłącznie na hasłach i tradycyjnych monitach MFA.
✅ Ograniczaj nadmierne uprawnienia
Regularnie przeglądaj uprawnienia użytkowników, kont usługowych i tożsamości w chmurze.
Jeśli konto nie potrzebuje dostępu administracyjnego, nie powinno go mieć.
✅ Monitoruj zmiany w uwierzytelnianiu
Ustaw alerty dla nowych urządzeń MFA, kluczy dostępu (passkeys), metod odzyskiwania dostępu, aplikacji OAuth i nieoczekiwanych zmian uprawnień.
✅ Chroń konta uprzywilejowane
Tożsamości administracyjne powinny mieć silniejsze zabezpieczenia, oddzielne poświadczenia i ściśle ograniczone ścieżki dostępu.
✅ Zabezpieczaj dostęp podmiotów trzecich
Konta dostawców i integracje powinny korzystać z minimalnych wymaganych uprawnień, w miarę możliwości z krótkotrwałych poświadczeń i ciągłego monitorowania.
✅ Szkol pracowników w zakresie ataków z podszywaniem się
Pracownicy powinni rozumieć, że atakujący niekoniecznie musi wysłać oczywisty e-mail phishingowy.
Prośba może nadejść przez Teams, SMS, rozmowę telefoniczną, kontakt z helpdeskiem, a nawet pozornie prawdziwe żądanie organu państwowego lub partnera biznesowego.
✅ Przygotuj się na skompromitowane poświadczenia
Samo zresetowanie hasła może nie wystarczyć.
Procedury reagowania na incydenty powinny obejmować unieważnianie aktywnych sesji, przegląd metod MFA, usuwanie złośliwych zgód OAuth, sprawdzanie reguł przekazywania i badanie zmian uprawnień.
Podsumowanie
Współczesny obwód korporacyjny coraz częściej zaczyna się od tożsamości.
Atakujący nie zawsze muszą znaleźć podatny serwer ani wdrożyć wyrafinowane złośliwe oprogramowanie. Czasem wystarczy im przekonująca wiadomość, skradziona sesja, skompromitowane konto dostawcy lub pracownik, który zaufa niewłaściwemu żądaniu.
Cyberodporność musi chronić tożsamości z taką samą intensywnością, z jaką tradycyjnie chroni się przed lukami w oprogramowaniu. Silne uwierzytelnianie, zasada najmniejszych uprawnień, ciągłe monitorowanie tożsamości i szybka reakcja na skompromitowane poświadczenia to dziś fundamentalne mechanizmy kontroli bezpieczeństwa.
