Przejęcia kont rosną: dlaczego account takeover stał się jednym z głównych zagrożeń tożsamości

Wprowadzenie do problemu / definicja

Przejęcie konta, określane jako account takeover (ATO), to sytuacja, w której cyberprzestępca uzyskuje nieautoryzowany dostęp do legalnego konta użytkownika i wykorzystuje je do dalszych działań w środowisku organizacji. To jeden z najgroźniejszych typów incydentów tożsamościowych, ponieważ napastnik działa pod prawidłową tożsamością, co utrudnia wykrycie ataku przez tradycyjne mechanizmy bezpieczeństwa.

W realiach pracy hybrydowej, chmury, modelu BYOD oraz powszechnego dostępu zdalnego ryzyko ATO wyraźnie rośnie. Samo poprawne logowanie przestaje dziś być wystarczającym dowodem zaufania.

W skrócie

Wzrost liczby przejęć kont napędzają przede wszystkim kradzieże poświadczeń, nowoczesny phishing ukierunkowany na proces logowania, obchodzenie MFA przez przejęcie sesji oraz coraz większa liczba urządzeń, nad którymi organizacje mają ograniczoną kontrolę. Atakujący coraz rzadziej próbują włamywać się bezpośrednio do infrastruktury — częściej przejmują zaufaną tożsamość użytkownika.

• ATO pozwala działać ciszej i skuteczniej niż klasyczne włamanie.
• MFA pozostaje ważne, ale nie eliminuje ryzyka przejęcia sesji.
• Kluczowe znaczenie ma ocena urządzenia, sesji i kontekstu logowania.
• Nowoczesna obrona wymaga podejścia Zero Trust i ciągłej weryfikacji.

Kontekst / historia

Przez lata kompromitacja kont opierała się głównie na wyciekach loginów i haseł, prostym phishingu oraz ponownym używaniu tych samych danych dostępowych w wielu usługach. Upowszechnienie MFA znacząco utrudniło takie ataki, ale nie zakończyło problemu. Cyberprzestępcy zmienili taktykę i zaczęli koncentrować się na samym procesie uwierzytelniania.

Rosnące znaczenie zyskały techniki takie jak MFA fatigue, znane również jako prompt bombing, a także ataki adversary-in-the-middle, reverse proxy phishing oraz przechwytywanie tokenów sesyjnych. Dzięki nim atakujący mogą ominąć dodatkowe warstwy ochrony bez konieczności łamania mechanizmów uwierzytelniania wprost.

Równolegle zmieniło się środowisko pracy. Organizacje zarządzają dziś rozproszonym ekosystemem tożsamości, aplikacji SaaS, punktów końcowych i zasobów chmurowych. W efekcie znacznie trudniej utrzymać pełną widoczność tego, kto uzyskuje dostęp, do jakich danych i z jakiego urządzenia.

Analiza techniczna

Współczesne przejęcie konta zwykle zaczyna się od jednego z kilku scenariuszy. Pierwszy to klasyczna kradzież poświadczeń pozyskanych z wcześniejszych wycieków, malware typu infostealer lub kampanii phishingowych. Drugi polega na przejęciu aktywnej sesji po poprawnym zalogowaniu użytkownika, gdzie celem nie jest hasło, lecz token sesyjny, uwierzytelniające ciasteczko lub inny artefakt pozwalający utrzymać zalogowany stan.

Phishing również stał się bardziej zaawansowany. Fałszywe strony logowania coraz lepiej imitują legalne serwisy, wykorzystują wiarygodne domeny pośredniczące, łańcuchy przekierowań i automatycznie generowane treści. Dla użytkownika odróżnienie ataku od prawdziwego procesu logowania staje się coraz trudniejsze, zwłaszcza gdy oszustwo odtwarza również żądanie MFA.

Istotnym elementem ryzyka są także urządzenia końcowe. Jeśli pracownik loguje się z prywatnego laptopa, niezaufanego telefonu lub systemu bez aktualizacji, organizacja może nie mieć wystarczającej wiedzy o stanie jego bezpieczeństwa. Infostealery działające na takich urządzeniach potrafią wykradać zapisane hasła, dane przeglądarki, ciasteczka sesyjne i informacje o aktywnych sesjach SSO.

To pokazuje ograniczenia tradycyjnych wdrożeń IAM. W wielu organizacjach sukces uwierzytelnienia jest nadal traktowany jako główny sygnał uprawniający do dostępu. Tymczasem nowoczesne zagrożenia wymagają oceny szerszego kontekstu: stanu urządzenia, wiarygodności sesji, lokalizacji, zachowania użytkownika oraz sygnałów ryzyka z narzędzi bezpieczeństwa.

Konsekwencje / ryzyko

Skutki przejęcia konta często wykraczają daleko poza samo naruszenie procesu logowania. Po uzyskaniu dostępu do legalnego konta napastnik może eskalować uprawnienia, poruszać się lateralnie, uzyskać dostęp do poczty, systemów SaaS, repozytoriów kodu, VPN, środowisk chmurowych i danych biznesowych.

Ponieważ działania odbywają się pod prawdziwą tożsamością użytkownika, wykrycie incydentu bywa opóźnione. To zwiększa ryzyko wycieku danych, oszustw finansowych, przejęcia skrzynek pocztowych, podszywania się pod pracowników, naruszenia integralności środowiska oraz wtórnych incydentów, takich jak ransomware czy kompromitacja łańcucha dostaw.

Szczególnie niebezpieczne są sytuacje, w których organizacja ma ograniczoną widoczność nad urządzeniami użytkowników i nie prowadzi ciągłej oceny ryzyka sesji. W takim modelu atakujący może przez długi czas utrzymywać dostęp, korzystając z legalnych ścieżek autoryzacji i unikając wzbudzania podejrzeń.

Rekomendacje

Podstawą obrony pozostaje MFA, ale samo wdrożenie wieloskładnikowego uwierzytelniania nie powinno być traktowane jako pełna ochrona przed ATO. Organizacje powinny wdrażać metody odporne na phishing, ograniczać możliwość akceptowania nadmiernych żądań logowania i monitorować symptomy MFA fatigue.

Drugim kluczowym filarem jest kontrola stanu urządzeń. Dostęp do zasobów powinien zależeć od kondycji endpointu, w tym poziomu aktualizacji, konfiguracji zabezpieczeń, obecności narzędzi ochronnych oraz oznak infekcji. Dotyczy to zarówno urządzeń firmowych, jak i prywatnych wykorzystywanych do pracy.

Niezbędne staje się także wdrożenie modelu ciągłej weryfikacji zgodnego z podejściem Zero Trust. Zaufanie nie powinno być przyznawane wyłącznie w momencie logowania, ale oceniane przez cały czas trwania sesji z uwzględnieniem kontekstu i poziomu ryzyka.

• Wymuszanie silnych i unikalnych haseł oraz blokowanie haseł znanych z wycieków.
• Monitorowanie wycieków poświadczeń i obecności danych organizacji w przestępczych bazach.
• Wykrywanie kradzieży tokenów i anomalii w uwierzytelnionych sesjach.
• Ograniczanie uprawnień zgodnie z zasadą najmniejszych przywilejów.
• Segmentacja dostępu do systemów i danych.
• Analiza ryzykownych logowań oraz nietypowych wzorców użycia kont.
• Szkolenia użytkowników z rozpoznawania nowoczesnego phishingu.
• Integracja kontroli tożsamości z EDR, MDM, IdP, VPN i SSO.

Podsumowanie

Przejęcie konta pozostaje jednym z najbardziej efektywnych i najmniej hałaśliwych sposobów uzyskania dostępu do środowiska organizacji. Wzrost skali tego zagrożenia wynika z połączenia kilku trendów: większej złożoności środowisk IT, skuteczności infostealerów, ewolucji phishingu oraz ograniczeń klasycznego podejścia do uwierzytelniania.

Dzisiejsza obrona przed ATO wymaga odejścia od prostego modelu „poprawne logowanie = zaufanie” na rzecz ciągłej oceny tożsamości, urządzenia i sesji. To właśnie w tym obszarze rozstrzyga się realna odporność organizacji na współczesne ataki tożsamościowe.

Źródła

1. BleepingComputer – Why Account Takeovers Are Rising and How to Stop Them – https://www.bleepingcomputer.com/news/security/why-account-takeovers-are-rising-and-how-to-stop-them/
2. Verizon – 2025 Data Breach Investigations Report – https://www.verizon.com/business/resources/reports/dbir/
3. CISA – Phishing Guidance: Stopping the Attack Cycle at Phase One – https://www.cisa.gov/news-events/news/phishing-guidance-stopping-attack-cycle-phase-one
4. NIST – Digital Identity Guidelines – https://pages.nist.gov/800-63-4/
5. Microsoft – Zero Trust security model – https://www.microsoft.com/security/business/zero-trust