Kryzys poświadczeń w firmach: jak NIS2 zmusza do zmiany podejścia do tożsamości
Kradzież poświadczeń to jedna z najskuteczniejszych metod ataku. Nowe regulacje nakładają na zarząd obowiązek ochrony tożsamości – zarówno ludzkiej, jak i maszynowej. Sprawdzamy, co wynika z analiz ekspertów i jakie działania wdrożyć.
Kradzież danych uwierzytelniających pozostaje jednym z najpowszechniejszych wektorów ataku. Jak wynika z raportów analityków, cyberprzestępcy coraz częściej nie włamują się do systemów – po prostu logują się przy użyciu skradzionych poświadczeń. To wyzwanie nie tylko techniczne, ale i regulacyjne, zwłaszcza przy wdrażaniu dyrektywy NIS2 w Polsce.
Jak działają ataki z użyciem skradzionych poświadczeń
Eksperci cytowani przez SecurityWeek zwracają uwagę, że kluczowa jest różnica między „kompromitacją poświadczeń” a „wykorzystaniem skradzionych poświadczeń”. Jak tłumaczy Ran Geva, CEO Webz.io: „Kompromitacja nie oznacza, że poświadczenia zostały już użyte. Oznacza, że nie są już wyłącznie pod kontrolą uprawnionego użytkownika”. Problem w tym, że gdy atakujący je wykorzysta, system traktuje go jak autentycznego użytkownika.
Erin Meyers, ekspertka ds. tożsamości w Huntress, dodaje: „Cechą definiującą jest to, że atakujący nie »włamuje się« w tradycyjny sposób – on się loguje (lub wykorzystuje już uwierzytelnioną sesję) i przejmuje uprawnienia prawowitego użytkownika”. Dzięki temu złośliwa aktywność zlewa się z normalnymi wzorcami dostępu.
Tożsamość ludzka i maszynowa – dwa obiegi ryzyka
Poświadczenia dzielą się na dwie główne kategorie: te dotyczące tożsamości ludzkiej (hasła, klucze dostępu, biometria) oraz tożsamości nie-ludzkiej (API, klucze SSH, certyfikaty, tokeny sesji). Jak wskazuje Dan Schiappa z Arctic Wolf, „kompromitacja poświadczeń jest jedną z najskuteczniejszych i najbardziej rozpowszechnionych taktyk, ponieważ można ją przeprowadzić przy minimalnych umiejętnościach technicznych”.
Bob Long z Daon ostrzega przed efektem kaskady: „Pojedyncza, prosta kompromitacja może wywołać kaskadę ryzyka na wielu kontach, zwłaszcza jeśli te same poświadczenia są używane wielokrotnie”. To szczególnie groźne w firmach, gdzie pracownicy powielają hasła między służbowymi a prywatnymi systemami.
Jak sprawdzić, czy twoje dane wyciekły
Renee Burton z Infoblox radzi: „Dla konsumentów jednym z najprostszych sposobów sprawdzenia jest skorzystanie z publicznych serwisów powiadamiania o naruszeniach, takich jak Have I Been Pwned, gdzie można wpisać swój adres e-mail i sprawdzić, czy pojawił się w znanych wyciekach”. Jednocześnie zaznacza, że to nie daje pełnego obrazu – nie obejmuje wszystkich incydentów.
Jeszcze trudniej jest w przypadku biometrii. Reinhard Hochrieser z Jumio zauważa: „Dowiedzenie się, że twoje poświadczenia zostały skradzione, jest prawie niemożliwe. Jeśli twój e-mail został skompromitowany, możesz otrzymać powiadomienie, ale w przypadku danych biometrycznych nie ma publicznych serwisów, które mogą powiedzieć, czy te dane zostały naruszone”.
NIS2 wymusza zmianę podejścia do zarządzania tożsamością
Szkolenie Akademia NIS2/KSC2 od Sekuraka podkreśla, że dyrektywa nakłada na podmioty kluczowe i ważne obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych. Wśród nich znajduje się uwierzytelnianie wieloskładnikowe oraz kontrola dostępu. To bezpośrednia odpowiedź na problem kradzieży poświadczeń.
Co istotne, NIS2 przenosi odpowiedzialność za bezpieczeństwo z działów IT na kierownictwo. Zarząd musi aktywnie zatwierdzać i nadzorować środki zarządzania ryzykiem, a członkowie zarządu są zobowiązani do regularnych szkoleń z cyberbezpieczeństwa. Za zaniedbania grożą kary osobiste i czasowe zakazy pełnienia funkcji kierowniczych.
Co robić – praktyczne kroki
Jan Bee, CISO TeamViewer, podsumowuje: „Ochrona samej infrastruktury nie wystarcza. Ochrona tożsamości w sposób ciągły jest teraz fundamentalna”. W praktyce oznacza to wdrożenie kilku kluczowych działań:
- Stosowanie uwierzytelniania wieloskładnikowego (MFA) we wszystkich systemach krytycznych.
- Regularne monitorowanie, czy poświadczenia pracowników nie pojawiły się w publicznych bazach wycieków (np. Have I Been Pwned).
- Wdrożenie narzędzi do wykrywania infostealerów w środowisku firmowym.
- Szczególną ochronę tokenów sesyjnych – ich liczba często wielokrotnie przekracza liczbę pracowników.
Ważna jest też edukacja. Tożsamość cyfrowa to nie tylko hasło, ale cały zbiór danych, które potwierdzają, kim jesteśmy w sieci. W dobie NIS2 dbanie o nie przestaje być wyłącznie kwestią wygody – staje się obowiązkiem prawnym i biznesowym.
