Wprowadzenie do problemu / definicja
Uwierzytelnianie wieloskładnikowe od lat jest jednym z najważniejszych mechanizmów ograniczających skutki kradzieży haseł. Problem pojawia się jednak wtedy, gdy organizacja wdraża MFA jedynie częściowo — na przykład dla usług chmurowych i aplikacji SaaS — pozostawiając inne ścieżki dostępu, takie jak VPN, RDP, logowanie do systemów Windows czy starsze usługi oparte o Active Directory, zabezpieczone wyłącznie hasłem.
W praktyce oznacza to, że firma może formalnie deklarować wdrożone MFA, a mimo to nadal pozostawiać atakującym realną możliwość wejścia do środowiska z użyciem przejętych poświadczeń. To właśnie te niespójności w ochronie tożsamości są obecnie jednym z najbardziej praktycznych wektorów ataku.
W skrócie
Cyberprzestępcy nadal skutecznie wykorzystują konta chronione wyłącznie hasłem, nawet jeśli część środowiska organizacji jest objęta MFA. Samo zabezpieczenie poczty, pakietu biurowego lub wybranych aplikacji biznesowych nie wystarcza, jeśli ten sam użytkownik może zalogować się do innych systemów bez dodatkowego czynnika.
- częściowe wdrożenie MFA nie eliminuje ryzyka przejęcia konta,
- VPN, RDP i logowanie do Windows nadal bywają pomijane w politykach MFA,
- jedno poprawne hasło może otworzyć drogę do ruchu bocznego i eskalacji uprawnień,
- atakujący często korzystają z legalnych mechanizmów logowania, co utrudnia wykrycie incydentu.
Kontekst / historia
Opisany problem dobrze ilustruje incydent z sierpnia 2026 roku, w którym operator powiązany z ransomware Akira przeprowadził password spraying przeciwko usłudze SSL VPN. Jedna z prób zakończyła się powodzeniem, ponieważ konto posiadało poprawne dane logowania, ale nie było objęte MFA.
Po uzyskaniu dostępu napastnik wykorzystał zdalny dostęp do środowiska, a następnie użył RDP, aby dotrzeć do kontrolera domeny i rozpocząć rozpoznanie Active Directory. Chociaż wdrożenie ransomware ostatecznie się nie powiodło, sam przebieg incydentu pokazał, że fragmentaryczne podejście do ochrony tożsamości wciąż pozostaje poważnym problemem operacyjnym.
To nie jest wyłącznie przypadek jednostkowy. W wielu organizacjach warstwa chmurowa jest znacznie lepiej chroniona niż starsze systemy infrastrukturalne. W efekcie pojedyncze przejęte hasło nadal może stanowić skuteczny punkt wejścia do środowiska wewnętrznego.
Analiza techniczna
Z technicznego punktu widzenia problem nie wynika z wady samego MFA, lecz z jego niepełnego zakresu wdrożenia. Ten sam użytkownik może być skutecznie chroniony dodatkowym czynnikiem przy logowaniu do usług SaaS, a jednocześnie używać identycznych poświadczeń do logowania w innych systemach, które nie wymagają dodatkowej weryfikacji.
Typowy łańcuch ataku rozpoczyna się od pozyskania lub odgadnięcia hasła. Atakujący mogą wykorzystać password spraying, reuse poświadczeń z wcześniejszych wycieków, phishing albo słabe polityki haseł. Następnie testują dostęp do różnych punktów uwierzytelniania w organizacji, szukając miejsca, w którym samo hasło wystarcza do zalogowania.
Najczęściej atakowane są:
- usługi VPN,
- RDP,
- logowanie interaktywne do stacji roboczych i serwerów Windows,
- starsze aplikacje zintegrowane z Active Directory,
- usługi infrastrukturalne korzystające z tych samych kont użytkowników.
Po wejściu do środowiska napastnicy zwykle przechodzą do działań post-exploitation. Obejmują one enumerację Active Directory, weryfikację członkostwa w grupach uprzywilejowanych, dostęp do udziałów sieciowych, ruch boczny przy użyciu RDP lub legalnych kont oraz tworzenie nowych kont albo nadużywanie istniejących uprawnień.
Szczególnie istotne jest to, że znaczna część tych aktywności odbywa się z użyciem prawidłowych danych logowania. Z perspektywy narzędzi bezpieczeństwa atakujący może wyglądać jak zwykły użytkownik lub administrator wykonujący codzienne czynności, co znacząco utrudnia detekcję opartą wyłącznie na klasycznych wskaźnikach kompromitacji.
Konsekwencje / ryzyko
Największym zagrożeniem jest fałszywe poczucie bezpieczeństwa. Organizacja może zakładać, że skoro MFA działa dla poczty i aplikacji chmurowych, to ryzyko kradzieży haseł zostało w dużej mierze ograniczone. W rzeczywistości wystarczy jedna niespójnie zabezpieczona ścieżka dostępu, aby obejść tę ochronę.
Potencjalne konsekwencje obejmują:
- nieautoryzowany dostęp zdalny do sieci firmowej,
- kompromitację kont domenowych,
- eskalację uprawnień w środowisku Active Directory,
- kradzież danych z udziałów plikowych,
- przygotowanie środowiska pod atak ransomware,
- utrudnione wykrywanie incydentu z powodu użycia legalnych poświadczeń.
Ryzyko rośnie dodatkowo tam, gdzie organizacje nie egzekwują silnych polityk haseł, dopuszczają reuse poświadczeń, nie monitorują anomalii logowania lub pozostawiają szeroko dostępne usługi zdalne. W takich warunkach nawet pozornie dojrzałe wdrożenie MFA nie zamyka rzeczywistej powierzchni ataku.
Rekomendacje
Najważniejszym krokiem jest zmiana perspektywy: zamiast pytać, czy organizacja ma MFA, należy ustalić, gdzie samo hasło nadal wystarcza do uzyskania dostępu. Dopiero takie podejście pozwala rzetelnie ocenić poziom ochrony tożsamości.
W praktyce warto wdrożyć następujące działania:
- objąć MFA nie tylko aplikacje chmurowe, ale również VPN, RDP, logowanie do Windows oraz inne usługi oparte o Active Directory,
- przeprowadzić pełną inwentaryzację wszystkich punktów uwierzytelniania korzystających z tych samych kont użytkowników,
- regularnie audytować hasła pod kątem słabości, reuse i obecności w znanych wyciekach,
- ograniczyć ekspozycję RDP i innych usług zdalnych do niezbędnego minimum,
- stosować segmentację dostępu oraz zasadę najmniejszych uprawnień,
- monitorować zdarzenia logowania pod kątem nietypowych lokalizacji, godzin, urządzeń i sekwencji dostępu,
- integrować telemetrię uwierzytelniania z systemami SIEM i procesami SOC,
- weryfikować nie tylko użytkownika, ale również stan oraz poziom zaufania urządzenia inicjującego sesję.
W środowiskach hybrydowych kluczowa jest spójność polityk bezpieczeństwa. Wdrożenie MFA wyłącznie dla usług SaaS nie powinno być traktowane jako zakończenie projektu ochrony tożsamości, jeśli równolegle istnieją inne trasy prowadzące do tych samych zasobów.
Podsumowanie
Luki w pokryciu MFA pozostają jednym z najskuteczniejszych wektorów wejścia do środowisk firmowych. Problem nie polega na braku technologii, lecz na jej fragmentarycznym wdrożeniu i braku spójności pomiędzy chmurą, infrastrukturą lokalną oraz usługami zdalnego dostępu.
Jeżeli konto użytkownika jest chronione MFA tylko w części systemów, a równolegle może zostać użyte do logowania przez VPN, RDP lub system Windows przy pomocy samego hasła, to przejęte poświadczenia nadal mają wysoką wartość operacyjną dla napastnika. Dlatego organizacje powinny traktować tożsamość jako wspólną powierzchnię ataku i konsekwentnie domykać wszystkie ścieżki uwierzytelniania.