Nowa fala ataków na MFA. Jak cyberprzestępcy omijają dodatkowe zabezpieczenia?
W 2025 roku niemal jedna trzecia ataków na uwierzytelnianie wieloskładnikowe (MFA) wymierzona była w systemy zarządzania tożsamością. Eksperci Cisco Talos opisują, jak działają te ataki i jak się przed nimi bronić.
W 2025 roku uwierzytelnianie wieloskładnikowe (MFA) przestało być niezdobytą twierdzą. Raport Cisco Talos ujawnia, że atakujący coraz częściej celują nie w samo hasło, ale w mechanizmy MFA i procesy zarządzania tożsamością. Dla firm i administratorów oznacza to konieczność zmiany podejścia do ochrony dostępu.
MFA spray i kompromitacja urządzeń – dwa główne scenariusze
Badacze Cisco Talos wskazują, że w 2025 roku niemal jedna trzecia ataków typu MFA spray (czyli prób logowania z wykorzystaniem wielu zestawów haseł na różnych kontach) była wymierzona w systemy klasy IAM (Identity and Access Management). Narzędzia, które miały scentralizować i usprawnić zarządzanie dostępem, stały się punktem zapalnym.
Drugim, równie niebezpiecznym trendem jest wzrost kompromitacji urządzeń – aż o 178%. Ataki te często zaczynają się od voice phishing, czyli rozmowy telefonicznej, w której przestępca nakłania administratora do zarejestrowania złośliwego urządzenia. Gdy to się uda, atakujący może przejąć tokeny SSO i zmienić role użytkowników, a nawet same polityki MFA.
Edukacja na celowniku – dlaczego uczelnie są podatne?
Raport wyraźnie wskazuje, że sektor szkolnictwa wyższego był najczęściej atakowanym celem w kategorii kompromitacji urządzeń. Dlaczego? Jak tłumaczą badacze, wpływa na to kilka czynników: zróżnicowana i często niezarządzana populacja urządzeń, słabo łatane systemy operacyjne, niskie wymogi weryfikacji nowych urządzeń oraz duże, publicznie dostępne katalogi użytkowników, które ułatwiają precyzyjny phishing.
Co ciekawe, te same instytucje okazały się znacznie mniej podatne na ataki typu MFA spray. Powód? Silne polityki blokad, ograniczenia liczby prób logowania i zróżnicowane metody uwierzytelniania.
Phishing ewoluuje – fałszywe wiadomości z wewnątrz organizacji
Phishing pozostaje głównym wektorem początkowego dostępu – odpowiadał za 40% incydentów w 2025 roku. Przestępcy udoskonalili jednak technikę. Coraz częściej wykorzystują Microsoft 365 Direct Send, czyli funkcję pozwalającą urządzeniom sieciowym (jak drukarki czy skanery) na wysyłanie wiadomości wewnętrznych. Ponieważ takie e-maile wyglądają, jakby pochodziły z wewnątrz organizacji, rzadziej są skanowane przez filery antyspamowe i rzadziej budzą czujność pracowników.
„Te wewnętrzne wiadomości nie otrzymują takiej samej kontroli jak e-maile zewnętrzne – ani ze strony pracowników, ani zautomatyzowanych filtrów” – podkreślają analitycy Cisco Talos. Dzięki tej metodzie atakujący mogą podszyć się pod wewnętrzny adres e-mail bez przejmowania rzeczywistego konta.
Jak się bronić? Praktyczne zalecenia
Eksperci zalecają przede wszystkim dostosowanie strategii ochrony do konkretnego środowiska. W przypadku ryzyka ataków MFA spray kluczowe są: silne polityki blokad, dobra higiena haseł i dostęp warunkowy. Z kolei przed kompromitacją urządzeń chronią: lepsze zarządzanie urządzeniami, restrykcyjne sesje oraz wdrożenie phishing-resistant MFA z kontrolą rejestracji nowych urządzeń.
W przypadku phishingu wewnętrznego Cisco Talos radzi włączenie nowej funkcji „Reject Direct Send” w Microsoft 365, zaostrzenie polityk SPF/DMARC oraz traktowanie wiadomości wyglądających na wewnętrzne z taką samą ostrożnością jak poczty przychodzącej z zewnątrz.
Wnioski z raportu są jednoznaczne: MFA to wciąż skuteczne zabezpieczenie, ale tylko wtedy, gdy jest odpowiednio skonfigurowane i egzekwowane. Warto regularnie przeglądać polityki dostępu i reagować na zmieniające się taktyki atakujących.
