Archiwa: Phishing - Security Bez Tabu

Phishing „na passkey” uderza w Microsoft 365. Nowy wektor przejęcia kont i kradzieży danych

Wprowadzenie do problemu / definicja

Phishing wykorzystujący motyw passkey to nowa odsłona ataków socjotechnicznych wymierzonych w tożsamość użytkowników i dostęp do usług chmurowych. Przestępcy podszywają się pod dział IT, help desk lub administratorów bezpieczeństwa i przekonują pracowników do wykonania rzekomej aktualizacji, aktywacji albo naprawy mechanizmów logowania.

W praktyce celem nie jest już wyłącznie zdobycie hasła. Atakujący dążą do przejęcia sesji, dodania własnych metod uwierzytelniania wieloskładnikowego oraz uzyskania trwałego dostępu do środowiska Microsoft 365, co następnie umożliwia rozpoznanie zasobów i długotrwałą eksfiltrację danych.

W skrócie

Opisywane kampanie pokazują, że rosnąca popularność passkeys i nowoczesnych metod uwierzytelniania stała się wygodnym pretekstem do oszustw. Użytkownicy coraz częściej słyszą o odchodzeniu od haseł, dlatego komunikaty o „koniecznej aktywacji passkey”, „ponownej rejestracji MFA” lub „naprawie SSO” brzmią wiarygodnie i nie budzą od razu podejrzeń.

atak rozpoczyna się zwykle od telefonu, SMS-a lub wiadomości od osoby podszywającej się pod wsparcie IT,
ofiara jest kierowana do fałszywego portalu logowania albo do scenariusza device code phishing,
po uzyskaniu dostępu napastnik rejestruje własne metody MFA,
kolejnym etapem jest nadużycie Microsoft Graph API oraz przeszukiwanie SharePoint, OneDrive i poczty,
końcowym celem jest kradzież danych prowadzona godzinami lub nawet przez wiele dni.

Kontekst / historia

Ataki na warstwę tożsamości od dawna zyskują na znaczeniu, ale obecnie osiągnęły nowy poziom dojrzałości. Zamiast infekować stację roboczą złośliwym oprogramowaniem, przeciwnik coraz częściej koncentruje się na uzyskaniu legalnie wyglądającego dostępu do konta, sesji lub tokenu. To podejście jest szczególnie skuteczne w środowiskach SaaS, gdzie pojedyncze konto może otwierać drogę do poczty, dokumentów, współdzielonych repozytoriów i danych biznesowych.

Motyw passkey działa dlatego, że wpisuje się w realne zmiany zachodzące w organizacjach. Firmy wdrażają silniejsze metody logowania, komunikują migrację od haseł i zachęcają do korzystania z bezpieczniejszych rozwiązań. W efekcie fałszywe prośby o aktywację passkey, weryfikację tożsamości czy ponowne skonfigurowanie SSO wyglądają jak element rutynowej administracji, a nie początek incydentu.

Analiza techniczna

Atak zwykle zaczyna się od rozpoznania. Operatorzy kampanii zbierają informacje o strukturze firmy, stanowiskach pracowników i możliwych celach o podwyższonych uprawnieniach. Dane pochodzą z publicznych źródeł, serwisów zawodowych, mediów społecznościowych oraz wcześniejszych wycieków kontaktów.

Następnie dochodzi do kontaktu socjotechnicznego. Napastnik dzwoni lub pisze do ofiary, podając się za członka zespołu wsparcia technicznego. W rozmowie wywiera presję czasu i przedstawia rzekomy problem związany z logowaniem, MFA, rejestracją urządzenia albo przejściem na passkeys.

W warstwie technicznej obserwowane są co najmniej dwa dominujące scenariusze. Pierwszy to klasyczny model adversary-in-the-middle, w którym fałszywa infrastruktura pośredniczy w procesie logowania i może przechwycić poświadczenia, tokeny albo stan sesji. Drugi to device code phishing, gdzie użytkownik sam zatwierdza kod urządzenia, autoryzując w praktyce dostęp przeciwnika bez konieczności bezpośredniego ujawnienia hasła.

Ważnym elementem kampanii jest infrastruktura domenowa. Przestępcy rejestrują domeny i subdomeny nawiązujące do aktywacji kont, passkeys, konfiguracji SSO czy weryfikacji dostępu. Często osadzają również nazwę organizacji-ofiary w adresie, aby komunikat wyglądał na wewnętrzny i spersonalizowany.

Po pierwszym przejęciu dostępu napastnik dąży do utrwalenia obecności. Zamiast polegać wyłącznie na skradzionej sesji, dodaje własną metodę MFA, taką jak numer telefonu, aplikacja uwierzytelniająca lub token OTP. Ten moment jest krytyczny, ponieważ znacząco utrudnia szybkie odzyskanie kontroli nad kontem przez legalnego użytkownika i zespół bezpieczeństwa.

Kolejny etap to działania po kompromitacji. Atakujący wykorzystuje Microsoft Graph API do enumeracji użytkowników, grup, ról, uprawnień i dostępnych zasobów w dzierżawie. Równolegle przeszukuje skrzynki pocztowe, analizuje metadane załączników i pobiera pliki z SharePoint Online oraz OneDrive for Business. W wielu przypadkach eksfiltracja jest rozłożona w czasie i realizowana z użyciem różnych adresów IP dla logowania, rozpoznania i transferu danych, co utrudnia wykrywanie incydentu na podstawie pojedynczego wskaźnika.

Z perspektywy obrony szczególnie problematyczne jest to, że pojedyncze wywołania API mogą wyglądać legalnie. Dopiero korelacja zdarzeń, takich jak nietypowe logowanie, dodanie nowej metody MFA, intensywna enumeracja zasobów i nagły wzrost odczytów lub pobrań, ujawnia pełny obraz ataku.

Konsekwencje / ryzyko

Skutki takiego incydentu mogą być bardzo poważne, zwłaszcza gdy przejęte konto ma szeroki dostęp do danych współdzielonych, skrzynek pocztowych kadry kierowniczej, dokumentacji projektowej lub zasobów finansowych. W środowisku Microsoft 365 pojedyncza kompromitacja może szybko przełożyć się na utratę dużego wolumenu informacji poufnych.

Ryzyko zwiększa także fakt, że atak omija tradycyjne modele ochrony oparte na perymetrze i wykrywaniu malware. Jeżeli użytkownik sam autoryzuje proces wyglądający na legalny, a późniejsza aktywność odbywa się przez natywne usługi SaaS i oficjalne interfejsy API, incydent może przez długi czas pozostawać niezauważony.

utrata dokumentów biznesowych i danych operacyjnych,
kradzież wiadomości e-mail i załączników,
dostęp do poufnych zasobów współdzielonych,
wydłużona obecność przeciwnika dzięki dodaniu własnej metody MFA,
utrudniona analiza śledcza z powodu braku klasycznych artefaktów malware na stacjach roboczych.

Rekomendacje

Organizacje powinny traktować ten typ kampanii jako atak na tożsamość, a nie wyłącznie klasyczny phishing. Podstawą jest wprowadzenie jasnych procedur operacyjnych: dział IT nie powinien inicjować przez telefon lub SMS nagłych procesów aktywacji, resetu lub „pilnej aktualizacji” passkeys bez wcześniej ustalonego, możliwego do zweryfikowania kanału.

Równie ważne jest monitorowanie zdarzeń tożsamościowych i korelacja sygnałów z różnych źródeł. Sam alert o nietypowym logowaniu może nie wystarczyć, ale połączenie go z rejestracją nowej metody MFA oraz wzrostem aktywności Graph API powinno skutkować priorytetową reakcją SOC.

monitorować rejestrację nowych metod MFA i ich zmiany,
analizować logowania z urządzeń niezarządzanych i nietypowych lokalizacji,
kontrolować oraz ograniczać użycie device code flow,
wdrożyć reguły detekcyjne oparte na sekwencji zdarzeń,
obserwować nagły wzrost aktywności Microsoft Graph API,
wykrywać masowe pobrania z SharePoint, OneDrive i Exchange Online,
egzekwować Conditional Access i ograniczać nadmierne uprawnienia,
przygotować procedury szybkiego unieważniania sesji i tokenów.

Nie można też pomijać edukacji użytkowników. Szkolenia powinny obejmować scenariusze vishingu, smishingu, fałszywych portali logowania oraz przypadki, w których pracownik jest proszony o zatwierdzenie kodu urządzenia lub zmianę metod uwierzytelniania pod presją czasu.

W razie wykrycia incydentu działania muszą być natychmiastowe. Należy usunąć nieautoryzowane metody MFA, zresetować aktywne sesje i tokeny, wymusić ponowną rejestrację zaufanych metod logowania oraz przeanalizować zakres użycia Graph API, SharePoint, OneDrive i poczty pod kątem możliwej eksfiltracji danych.

Podsumowanie

Phishing „na passkey” nie oznacza, że sama technologia passkeys jest słaba. Problemem pozostaje człowiek, proces oraz możliwość nadużycia legalnych mechanizmów tożsamościowych przez skuteczną socjotechnikę. To kolejny dowód na to, że nowoczesne uwierzytelnianie musi być wspierane przez dojrzałe monitorowanie, silne procedury i dobrze przygotowaną reakcję na incydenty.

Dla obrońców kluczowe jest przesunięcie uwagi z pojedynczego logowania na cały łańcuch zdarzeń po kompromitacji. Widoczność tożsamości, analiza behawioralna oraz szybkie reagowanie na anomalie związane z MFA i dostępem do danych stają się dziś fundamentem skutecznej ochrony środowisk Microsoft 365.

Źródła

Kampania phishingowa z ponad milionem spersonalizowanych wiadomości pokazuje nową skalę oszustw wspieranych przez AI

Wprowadzenie do problemu / definicja

Masowe kampanie phishingowe od lat należą do najpoważniejszych zagrożeń dla firm, ale do niedawna ich skuteczność ograniczał kompromis między skalą a wiarygodnością. Najnowsza kampania oszustw finansowych pokazuje, że generatywna sztuczna inteligencja zaczyna ten model zmieniać, umożliwiając tworzenie wiadomości wyglądających na precyzyjnie przygotowane, a jednocześnie rozsyłanych w ogromnym wolumenie.

W analizowanym przypadku cyberprzestępcy rozesłali ponad milion spersonalizowanych wiadomości e-mail w ciągu zaledwie trzech dni. Celem były przede wszystkim zespoły finansowe i działy accounts payable, czyli osoby odpowiedzialne za akceptowanie i realizację płatności.

W skrócie

W ciągu trzech dni rozesłano ponad milion wiadomości do użytkowników korporacyjnych.
Atak podszywał się pod kadrę zarządzającą oraz zewnętrznych dostawców usług.
Centralnym elementem oszustwa były fałszywe faktury opiewające na kwoty rzędu 50 tys. dolarów.
Wiadomości zawierały nazwy firm ofiar, dane kadry kierowniczej i spreparowane wątki korespondencji.
Wiele śladów technicznych sugeruje wykorzystanie AI do przygotowania i skalowania kampanii.

Kontekst / historia

Business Email Compromise oraz fraud fakturowy nie są nowymi zjawiskami. Od lat grupy cyberprzestępcze podszywają się pod dyrektorów, partnerów biznesowych i dostawców, aby skłonić pracowników do wykonania przelewów na rachunki kontrolowane przez przestępców.

Dotychczas atakujący zwykle wybierali jeden z dwóch modeli. Pierwszy opierał się na masowej wysyłce prostych i mało wiarygodnych wiadomości. Drugi polegał na ograniczonych wolumenowo, ale dobrze przygotowanych atakach typu spear phishing lub BEC. Opisywana operacja łączy te dwa światy: osiąga skalę typową dla spamu, a jednocześnie zachowuje poziom personalizacji charakterystyczny dla ukierunkowanych oszustw.

To istotny sygnał dla organizacji, ponieważ pokazuje postępującą industrializację socjotechniki. Generatywna AI nie musi wymyślać nowych technik ataku, aby zwiększyć zagrożenie — wystarczy, że obniża koszt przygotowania przekonujących komunikatów i skraca czas potrzebny na ich dopasowanie do konkretnej ofiary.

Analiza techniczna

Mechanizm ataku bazował na kilku warstwach wiarygodności. Wiadomości kierowano do pracowników finansowych i przedstawiano jako zatwierdzone płatności związane z roczną subskrypcją lub usługą biznesową. W polu nadawcy, podpisach i elementach reply-to wykorzystywano dane rzekomych członków zarządu, takich jak CEO, CFO czy President.

Istotnym elementem był spreparowany wątek wcześniejszej korespondencji umieszczany pod właściwą wiadomością. Taki zabieg miał tworzyć wrażenie, że sprawa została już omówiona pomiędzy kierownictwem firmy a dostawcą, a pracownik finansowy ma jedynie dokończyć formalność w postaci płatności.

Do wiadomości dołączano lub osadzano fałszywe faktury przygotowane w profesjonalnej formie. Zawierały one numery dokumentów, daty, szczegóły rozliczenia, oznaczenia walut oraz branding przypominający legalną firmę technologiczną. Szczególnie ważna była personalizacja sekcji odbiorcy, gdzie pojawiały się rzeczywiste nazwy organizacji oraz nazwiska osób z kadry zarządzającej.

Badacze zwrócili też uwagę na wykorzystanie domen lookalike oraz infrastruktury stron trzecich do dostarczania wiadomości. Taka infrastruktura mogła wspierać omijanie części mechanizmów filtrujących i zwiększać pozory autentyczności komunikacji.

Za możliwym wykorzystaniem generatywnej AI przemawiały artefakty widoczne w szablonach wiadomości i kodzie HTML, w tym uporządkowane etykiety sekcji, spójna struktura dokumentów i bardzo jednolity styl przy jednoczesnym podmienianiu danych organizacyjnych. Nie jest to jednoznaczny dowód pełnej automatyzacji, ale silnie sugeruje, że AI wspierała przygotowanie treści i ich szybkie dostosowanie do wielu odbiorców.

Z perspektywy detekcji widoczne były również oznaki fałszerstwa. Spreparowane łańcuchy wiadomości nie zawierały typowych metadanych rzeczywiście przekazywanych e-maili, pojawiały się także niespójności językowe, nietypowe sformułowania tematów oraz rozbieżności logiczne między rzekomą wcześniejszą korespondencją a aktualnym żądaniem płatności.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem tego typu kampanii jest bezpośrednia utrata środków finansowych. W przeciwieństwie do klasycznego phishingu ukierunkowanego na kradzież danych logowania, tutaj szkoda może powstać natychmiast po zatwierdzeniu przelewu. Fałszywe faktury były na tyle wysokie, by zapewnić przestępcom znaczny zysk, ale jednocześnie wystarczająco realistyczne, by nie wzbudzać automatycznie podejrzeń w dużych organizacjach.

Ryzyko zwiększa połączenie trzech czynników: skali, personalizacji i automatyzacji. Im bardziej wiadomość pasuje do realiów organizacji, tym łatwiej przechodzi przez ocenę człowieka. Im większy wolumen kampanii, tym większa szansa, że choć część odbiorców wykona oczekiwaną akcję. Z kolei wykorzystanie AI obniża koszt i czas tworzenia takich wiadomości, co może prowadzić do częstszego występowania podobnych operacji.

Skutki dla firm nie ograniczają się do utraty pieniędzy. Udany incydent może oznaczać zakłócenia pracy działów księgowych, spory z kontrahentami, konieczność uruchomienia procedur reagowania, przegląd kontroli wewnętrznych oraz spadek zaufania do komunikacji elektronicznej w procesach biznesowych.

Rekomendacje

Organizacje powinny traktować ochronę przed oszustwami fakturowymi i podszywaniem się pod kadrę zarządzającą jako wspólny obszar odpowiedzialności bezpieczeństwa poczty, finansów i zarządzania ryzykiem. Kluczowe znaczenie ma poprawna konfiguracja mechanizmów uwierzytelniania poczty, takich jak SPF, DKIM i DMARC, a także ochrona przed spoofingiem oraz nadużyciami związanymi z domenami podobnymi wizualnie.

W praktyce warto wdrożyć wielowarstwowe filtrowanie wiadomości przychodzących, obejmujące analizę nadawcy, reputacji domen, anomalii w nagłówkach, załączników, linków i zachowań po dostarczeniu wiadomości do skrzynki odbiorczej. Istotne są także mechanizmy pozwalające retroaktywnie usuwać złośliwe wiadomości po uzyskaniu nowych danych wywiadowczych.

Równie ważne są zabezpieczenia procesowe. Każda nieoczekiwana faktura, zmiana rachunku bankowego, pilna prośba o przelew lub akceptacja przekazana wyłącznie przez e-mail powinna wymagać dodatkowego potwierdzenia innym kanałem. Najlepiej, aby weryfikacja odbywała się telefonicznie, poprzez znany numer kontaktowy, albo za pośrednictwem zatwierdzonego systemu workflow.

Wprowadzenie obowiązkowej weryfikacji dla płatności wysokokwotowych.
Oddzielenie uprawnień do inicjowania i zatwierdzania przelewów.
Monitorowanie domen lookalike i nowych rejestracji powiązanych z dostawcami.
Szkolenia dla działów finansowych z rozpoznawania spreparowanych wątków korespondencji.
Mapowanie incydentów do technik MITRE ATT&CK związanych z phishingiem, impersonacją i financial theft.

Programy awareness również muszą się zmienić. W erze AI brak literówek nie jest już dowodem autentyczności wiadomości. Pracownicy powinni umieć oceniać kontekst biznesowy, sens żądania płatniczego, wiarygodność wcześniejszego wątku oraz zgodność wiadomości z obowiązującymi procedurami.

Podsumowanie

Opisana kampania pokazuje, że generatywna AI staje się praktycznym narzędziem zwiększającym skuteczność znanych od lat oszustw BEC i fraudów fakturowych. Połączenie masowej skali z wysoką personalizacją sprawia, że granica między klasycznym phishingiem a ukierunkowaną socjotechniką zaczyna się zacierać.

Dla obrońców najważniejszy wniosek jest jasny: tradycyjne fundamenty bezpieczeństwa poczty i kontroli finansowych nadal są niezbędne, ale muszą zostać uzupełnione o szybszą analitykę, automatyzację reakcji oraz procedury odporne na realistyczne, spersonalizowane oszustwa. Tego typu kampanie prawdopodobnie będą pojawiać się coraz częściej.

Źródła

Revolut ujawnił dane KYC po fałszywym wniosku z domeny rządowej

Wprowadzenie do problemu / definicja

Incydent związany z Revolut pokazuje, jak dużym zagrożeniem dla organizacji finansowych są nadużycia w procesach obsługi formalnych żądań o udostępnienie danych. W tym przypadku nie chodziło o klasyczne włamanie do systemów, lecz o skuteczne obejście procedur poprzez wykorzystanie wiadomości, która wyglądała na legalną korespondencję urzędową.

To modelowy przykład ataku opartego na zaufaniu do nadawcy. Sama poprawna autoryzacja domeny e-mail nie wystarczyła, by potwierdzić autentyczność żądania, a konsekwencją było przekazanie wrażliwych danych klienta nieuprawnionej stronie.

W skrócie

Revolut potwierdził, że ujawnił dane klientów po otrzymaniu fałszywego żądania wysłanego z adresu działającego w oficjalnej domenie rządowej. Wiadomość przeszła standardowe kontrole uwierzytelnienia, dlatego została potraktowana jako autentyczna.

nie doszło do włamania do infrastruktury Revolut,
nie ujawniono środków klientów,
przekazane zostały jednak wrażliwe dane KYC i informacje finansowe,
incydent pokazuje ograniczenia zaufania opartego wyłącznie na reputacji domeny.

Kontekst / historia

Procesy KYC oraz obsługa wniosków od organów ścigania i instytucji publicznych należą do najbardziej wrażliwych obszarów działalności fintechów. Firmy te przechowują szeroki zakres danych osobowych i finansowych, w tym informacje identyfikacyjne, dokumenty tożsamości, potwierdzenia adresu, materiały weryfikacyjne i historię aktywności na rachunkach.

W tym przypadku problem nie wynikał z błędu aplikacji, luki w infrastrukturze chmurowej ani przełamania zabezpieczeń technicznych. Źródłem incydentu było nadużycie zaufania do kanału komunikacji. Fałszywe żądanie zostało przesłane z konta osadzonego w autentycznej domenie instytucji państwowej albo z konta, które wcześniej przejęto. To wystarczyło, by standardowe kontrole operacyjne nie zatrzymały procesu.

Z perspektywy bezpieczeństwa jest to przykład rosnącego znaczenia ataków wymierzonych nie tylko w systemy IT, lecz także w procesy biznesowe i decyzyjne. Dla napastnika manipulacja procedurą bywa łatwiejsza niż przełamywanie warstw technicznych ochrony.

Analiza techniczna

Najważniejszym elementem incydentu było to, że wiadomość zawierała poprawne atrybuty uwierzytelnienia domenowego. Mechanizmy w rodzaju SPF, DKIM i DMARC mogą potwierdzić, że e-mail pochodzi z określonej infrastruktury pocztowej, ale nie potwierdzają legalności samego żądania ani uprawnień osoby, która je wysyła.

Według dostępnych informacji Revolut przekazał dane w przekonaniu, że odpowiada na prawidłowy wniosek urzędowy. Zakres ujawnionych informacji obejmował:

dane identyfikacyjne, takie jak imię i nazwisko, data urodzenia oraz informacje zawodowe,
dane kontaktowe, w tym adres pocztowy, adres e-mail i numer telefonu,
kopie dokumentów tożsamości, takich jak paszport lub prawo jazdy,
zdjęcie weryfikacyjne użyte podczas potwierdzania tożsamości,
dane finansowe, w tym informacje o rachunku, wyciągi oraz historię transakcji, również związanych z Bitcoinem.

Warto podkreślić, że ujawnione zdjęcie weryfikacyjne nie musi oznaczać pełnej kompromitacji zaawansowanych danych biometrycznych. Mimo to taki materiał może zostać wykorzystany do kolejnych prób oszustwa, podszywania się pod ofiarę albo budowania bardziej wiarygodnych kampanii socjotechnicznych.

Techniczna lekcja z tego zdarzenia jest jasna: autentyczna domena nie zawsze oznacza autoryzowaną intencję. W przypadku procesów wysokiego ryzyka sama walidacja poczty elektronicznej nie może być jedyną podstawą decyzji.

Konsekwencje / ryzyko

Ryzyko wynikające z tego incydentu jest istotne, ponieważ ujawniony zestaw danych ma wysoką wartość dla cyberprzestępców. Połączenie danych osobowych, kopii dokumentów, informacji kontaktowych oraz historii finansowej umożliwia przygotowanie wieloetapowych operacji przestępczych.

kradzież tożsamości i zakładanie fałszywych kont,
spear phishing skierowany do konkretnych osób,
próby przejęcia kont w innych instytucjach finansowych i na giełdach kryptowalut,
oszustwa inwestycyjne oparte na znajomości aktywności finansowej ofiary,
szantaż lub działania ukierunkowane na osoby o wyższym statusie majątkowym.

Szczególnie niebezpieczne może być ujawnienie historii transakcji powiązanej z rzeczywistą tożsamością klienta. W środowisku kryptowalut taka korelacja znacząco zwiększa ryzyko profilowania ofiary, analizy jej aktywów oraz przygotowania precyzyjnych kampanii przestępczych.

Rekomendacje

Dla organizacji finansowych incydent ten powinien być sygnałem do przeglądu procedur związanych z obsługą żądań o ujawnienie danych. Ochrona takich procesów musi obejmować nie tylko kontrolę techniczną, ale również niezależne potwierdzanie legalności wniosku.

wdrożenie wielokanałowej weryfikacji wszystkich żądań dotyczących danych wrażliwych,
odejście od traktowania poczty elektronicznej jako samodzielnego kanału autoryzacji,
potwierdzanie tożsamości wnioskodawcy przez wcześniej zdefiniowane punkty kontaktu,
wprowadzenie zasady dwóch par oczu i formalnej ścieżki akceptacji,
ograniczanie zakresu ujawnianych danych zgodnie z zasadą minimalizacji,
centralne logowanie i audyt wszystkich żądań dotyczących danych klientów,
utrzymywanie list zaufanych podmiotów kontaktowych z odrębną walidacją zmian,
szkolenie zespołów prawnych, compliance i operacyjnych w zakresie BEC oraz socjotechniki.

Z perspektywy klientów zasadne pozostają działania ostrożnościowe:

uważne monitorowanie prób phishingu i podszywania się pod instytucje finansowe,
sprawdzanie aktywności na rachunkach bankowych i kontach inwestycyjnych,
szczególna ostrożność wobec wiadomości odnoszących się do KYC, kryptowalut i wcześniejszych transakcji,
rozważenie dodatkowych zabezpieczeń tożsamości i alertów kredytowych tam, gdzie są dostępne.

Podsumowanie

Incydent z Revolut nie był klasycznym naruszeniem infrastruktury, lecz przykładem skutecznego obejścia zabezpieczeń proceduralnych z użyciem zaufanej domeny państwowej. To ważne ostrzeżenie dla całego sektora finansowego, że bezpieczeństwo danych nie może opierać się wyłącznie na technicznej walidacji nadawcy wiadomości.

W obszarze KYC i formalnych wniosków o udostępnienie informacji konieczne są dodatkowe warstwy kontroli, niezależna weryfikacja oraz ścisła minimalizacja zakresu przekazywanych danych. Najbardziej wrażliwe procesy mogą zostać naruszone bez bezpośredniego włamania do systemów, jeśli organizacja zbyt mocno ufa pozornie legalnej komunikacji.

Źródła

Badania nad phishingiem podważają skuteczność tradycyjnych testów świadomości bezpieczeństwa

Wprowadzenie do problemu / definicja

Symulacje phishingowe od lat są jednym z podstawowych elementów programów security awareness. W wielu organizacjach ich skuteczność ocenia się głównie na podstawie wskaźnika kliknięć w fałszywe wiadomości lub linki. Najnowsze badania pokazują jednak, że taki model jest zbyt uproszczony i może prowadzić do błędnych wniosków na temat realnej odporności organizacji na ataki phishingowe.

Samo kliknięcie nie zawsze oznacza jeszcze incydent bezpieczeństwa. Znacznie ważniejsze jest to, czy użytkownik po interakcji z wiadomością ujawnia dane uwierzytelniające, uruchamia złośliwą zawartość albo zgłasza podejrzaną wiadomość odpowiednim zespołom.

W skrócie

Analiza oparta na 2,47 mln symulowanych wiadomości phishingowych wysłanych do ponad 123 tys. pracowników w przeszło 1,2 tys. organizacji wskazuje, że sam click rate nie odzwierciedla faktycznego poziomu ryzyka. Badacze uwzględnili również wyciek poświadczeń oraz zgłaszanie podejrzanych wiadomości, dzięki czemu uzyskali pełniejszy obraz zachowań użytkowników.

Sam wskaźnik kliknięć nie pokazuje pełnego ryzyka.
Kluczowe znaczenie mają także przekazanie poświadczeń i zgłoszenie wiadomości.
Wyniki różnią się istotnie między branżami i zespołami.
Część pracowników technicznych wypadła słabiej, niż często się zakłada.

Kontekst / historia

Przez lata szkolenia antyphishingowe były projektowane wokół prostego modelu: użytkownik kliknął albo nie kliknął. Taki wskaźnik był wygodny, łatwy do porównywania i atrakcyjny z perspektywy raportowania do kadry zarządzającej. Z czasem stał się standardowym KPI dla wielu zespołów bezpieczeństwa i dostawców platform szkoleniowych.

Problem polega na tym, że kliknięcie nie musi oznaczać kompromitacji. Użytkownik może otworzyć link, rozpoznać próbę oszustwa i zakończyć interakcję bez szkody dla organizacji. Z drugiej strony pojedynczy przypadek wpisania hasła do fałszywego formularza może wygenerować ryzyko znacznie większe niż wiele samych kliknięć. To właśnie dlatego tradycyjny model oceny podatności na phishing jest coraz częściej krytykowany jako zbyt powierzchowny.

Analiza techniczna

Badanie objęło kampanie realizowane przez 12 miesięcy, od 1 czerwca 2025 r. do 31 maja 2026 r. Symulacje były personalizowane z użyciem platformy wspieranej przez AI i dostarczane różnymi kanałami, w tym e-mailem oraz komunikatorem korporacyjnym. Scenariusze dopasowywano do roli odbiorcy oraz jego wcześniejszych reakcji.

Najważniejszym elementem metodologii było jednoczesne śledzenie trzech zachowań użytkownika:

kliknięcia w wiadomość lub link,
przekazania poświadczeń lub innych danych,
zgłoszenia podejrzanej wiadomości.

Takie podejście lepiej odzwierciedla rzeczywisty łańcuch zdarzeń podczas ataku phishingowego. Z perspektywy technicznej realne zagrożenie pojawia się dopiero wtedy, gdy użytkownik podejmie kolejne działania prowadzące do naruszenia bezpieczeństwa.

wprowadzi login i hasło do fałszywego panelu,
prześle poufne dane,
zatwierdzi oszukańcze żądanie MFA,
uruchomi złośliwy załącznik lub skrypt.

W badaniu odnotowano, że 30% pracowników działów rozwoju technicznego i IT kliknęło co najmniej jedną symulowaną wiadomość. Jednocześnie niemal 20% pracowników sektora budownictwa i nieruchomości przekazało poświadczenia po skutecznym phishingu. Najlepsze wyniki osiągnął sektor finansowy, który wypadał korzystniej pod względem kliknięć, wycieków poświadczeń i zgłoszeń.

Istotny był także wymiar czasowy programu. W pierwszych miesiącach poziom kliknięć i wycieków danych potrafił rosnąć, zanim zaczął spadać. Oznacza to, że krótkoterminowe pomiary mogą być mylące i nie powinny być uznawane za ostateczny dowód skuteczności programu szkoleniowego. Pod koniec 12-miesięcznego cyklu użytkownicy zgłaszali podejrzane wiadomości niemal dwukrotnie częściej, niż w nie klikali.

Konsekwencje / ryzyko

Najważniejszym ryzykiem dla organizacji jest fałszywe poczucie bezpieczeństwa. Niski wskaźnik kliknięć może dobrze wyglądać w raportach, ale nie musi oznaczać, że pracownicy rzeczywiście potrafią powstrzymać atak lub odpowiednio wcześnie zgłosić incydent.

W praktyce może to prowadzić do kilku poważnych problemów:

niedoszacowania ryzyka przejęcia kont,
błędnego projektowania kampanii szkoleniowych,
nieprawidłowej priorytetyzacji zespołów wysokiego ryzyka,
przeceniania odporności personelu technicznego,
opóźnionego wykrywania rzeczywistych prób phishingu.

Wyniki sugerują również, że różnice występują nie tylko między branżami, ale także między zespołami w obrębie tej samej organizacji. To podważa sens uniwersalnych szkoleń dla wszystkich pracowników i wskazuje na potrzebę bardziej precyzyjnego dopasowania programów edukacyjnych do profilu ryzyka.

Rekomendacje

Organizacje powinny odejść od jednowymiarowej oceny opartej wyłącznie na click rate i wdrożyć bardziej dojrzały model analizy odporności na phishing.

Mierzyć cały ciąg zachowań użytkownika, a nie tylko pierwszy etap interakcji.
Raportować kliknięcia, przekazanie danych, zgłoszenia oraz czas reakcji.
Segmentować kampanie według ról, działów i profili ryzyka.
Prowadzić testy długofalowo i analizować trendy zamiast pojedynczych wyników.
Promować zachowania obronne, zwłaszcza szybkie zgłaszanie podejrzanych wiadomości.
Łączyć wyniki symulacji z ochroną tożsamości, MFA odpornym na phishing, wykrywaniem anomalii logowania i politykami haseł.

Szczególnie ważne jest wspieranie operacyjnej czujności pracowników. Z punktu widzenia SOC i zespołów reagowania szybkie zgłoszenie kampanii phishingowej może ograniczyć skalę incydentu skuteczniej niż sama poprawa wskaźnika kliknięć.

Podsumowanie

Najważniejszy wniosek z badania jest prosty: kliknięcie nie jest pełnym miernikiem ryzyka phishingowego. O rzeczywistej odporności organizacji decyduje to, czy użytkownik po interakcji z wiadomością ujawnia dane, przerywa atak, czy zgłasza incydent.

Dla zespołów bezpieczeństwa oznacza to konieczność dojrzalszego podejścia do security awareness, opartego na analizie zachowań, segmentacji ryzyka i długoterminowym doskonaleniu programu. W przeciwnym razie organizacja może optymalizować wskaźniki, które dobrze wyglądają w prezentacjach, ale nie zapewniają skutecznej ochrony przed realnym phishingiem.

Źródła

Phishing Research Challenges Conventional Security Awareness Testing — https://www.securityweek.com/phishing-research-challenges-conventional-security-awareness-testing/

Ataki phishingowe podszywające się pod passkeys uderzają w Microsoft 365

Wprowadzenie do problemu / definicja

Nowa fala kampanii phishingowych wykorzystuje motyw passkeys, MFA oraz SSO do przejmowania tożsamości użytkowników korporacyjnych i uzyskiwania dostępu do środowisk Microsoft 365. Celem napastników nie jest zwykle faktyczna rejestracja klucza dostępu, lecz skłonienie ofiary do zalogowania się przez infrastrukturę pośredniczącą lub do autoryzowania złośliwej aplikacji w ramach legalnego procesu device code.

W praktyce oznacza to możliwość przejęcia sesji, tokenów uwierzytelniających oraz dostępu do danych biznesowych przechowywanych w usługach chmurowych. To kolejny etap ewolucji phishingu, w którym przestępcy odchodzą od prostego wyłudzania haseł na rzecz przejmowania całego kontekstu logowania.

W skrócie

Kampanie są wymierzone w organizacje korzystające z Microsoft 365.
Napastnicy podszywają się pod dział IT i wykorzystują presję związaną z rzekomą aktualizacją passkeys, MFA lub SSO.
Do przejęcia dostępu używane są przede wszystkim techniki adversary-in-the-middle oraz device code phishing.
Po uzyskaniu dostępu atakujący mapują środowisko, dodają własne metody MFA i eksfiltrują dane z SharePoint Online, OneDrive oraz Exchange Online.
Ataki są trudne do wykrycia, ponieważ bazują na legalnych przepływach uwierzytelniania i autoryzacji.

Kontekst / historia

Obserwowane kampanie wpisują się w szerszy trend ataków na tożsamość w chmurze. Wraz z rosnącą popularnością phishing-resistant MFA i passkeys cyberprzestępcy coraz częściej koncentrują się nie na przełamaniu samego mechanizmu uwierzytelniania, lecz na zmanipulowaniu użytkownika i wykorzystaniu prawidłowego procesu logowania do własnych celów.

Motyw passkeys pełni w tych operacjach przede wszystkim funkcję socjotechniczną. Ofiara otrzymuje wiarygodną narrację o konieczności aktualizacji, migracji lub synchronizacji dostępu, co zwiększa szansę, że wykona polecenia bez głębszej weryfikacji. Charakterystyczny jest też wysoki poziom przygotowania napastników, którzy wcześniej rozpoznają strukturę organizacji i dobierają komunikaty do konkretnej firmy oraz stanowiska pracownika.

Takie działania są spójne z wcześniejszymi kampaniami vishingowymi i phishingowymi wymierzonymi w środowiska korporacyjne. Z perspektywy obrony oznacza to, że nowoczesne zabezpieczenia tożsamości muszą być wspierane przez monitoring zachowań, kontrolę aplikacji oraz dojrzałe procedury weryfikacji nietypowych próśb kierowanych do pracowników.

Analiza techniczna

Technicznie kampania opiera się na dwóch głównych ścieżkach kompromitacji. Pierwszą jest phishing typu adversary-in-the-middle. Użytkownik trafia na stronę imitującą logowanie Microsoft, wprowadza dane i przechodzi proces MFA, ale cała komunikacja odbywa się przez infrastrukturę kontrolowaną przez napastnika. Dzięki temu możliwe jest przechwycenie nie tylko poświadczeń, lecz także tokenów sesyjnych, które umożliwiają dalszy dostęp bez ponownego uwierzytelniania.

Drugą ścieżką jest device code phishing. W tym wariancie ofiara otrzymuje instrukcję, aby wpisać wskazany kod na legalnej stronie uwierzytelniania urządzeń. Proces wygląda wiarygodnie, ponieważ odbywa się w prawdziwym ekosystemie dostawcy tożsamości, jednak kod jest powiązany z aplikacją kontrolowaną przez atakującego. Po zatwierdzeniu aplikacja otrzymuje token dostępu do konta i powiązanych zasobów.

Po kompromitacji konta napastnicy przechodzą do rozpoznania środowiska. Analizują uprawnienia, przypisane aplikacje, informacje profilowe, historię logowań oraz komponenty zarządzania kontem. Następnie wykorzystują Microsoft Graph do enumeracji użytkowników, grup, ról, metod uwierzytelniania, aplikacji, service principals i zasobów danych.

Z punktu widzenia detekcji problem polega na tym, że pojedyncze operacje mogą wyglądać jak normalna aktywność użytkownika. Dopiero pełen wzorzec zachowania staje się podejrzany: szybka inspekcja uprawnień, przemieszczanie się między usługami, sprawdzanie metod MFA, a następnie dostęp do plików, wiadomości i załączników.

Istotnym elementem ataku jest także trwałość. Napastnicy mogą dodać nowe metody MFA, takie jak numer telefonu, aplikacja uwierzytelniająca lub token programowy OATH. Pozwala im to utrzymać dostęp nawet po zmianie hasła, jeśli organizacja nie wykona pełnego unieważnienia sesji, tokenów i dodatkowych artefaktów pozostawionych po incydencie.

Eksfiltracja danych często przebiega stopniowo. Zamiast jednorazowego masowego pobierania plików atakujący rozkładają działania na dłuższy czas, aby ich aktywność przypominała zwykłe zachowanie użytkownika. To znacząco utrudnia wykrycie oparte wyłącznie na prostych progach anomalii.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem jest utrata poufności danych korporacyjnych. Po przejęciu tożsamości użytkownika napastnicy mogą uzyskać dostęp do dokumentów, skrzynek pocztowych, załączników, zasobów współdzielonych oraz aplikacji zintegrowanych przez SSO. W praktyce oznacza to ryzyko wycieku informacji handlowych, danych klientów, materiałów finansowych, treści prawnych i dokumentacji operacyjnej.

Drugim poziomem ryzyka jest możliwość eskalacji dostępu. Nawet konto bez uprawnień administracyjnych może dostarczyć cennych informacji o strukturze organizacji, relacjach zaufania, aplikacjach i potencjalnych ścieżkach bocznego ruchu. W środowiskach o szerokich uprawnieniach aplikacyjnych lub słabo egzekwowanym Conditional Access kompromitacja jednego użytkownika może otworzyć drogę do znacznie większego incydentu.

Nie mniej groźna jest trwałość ataku. Dodanie nowych metod MFA, nieautoryzowanych aplikacji OAuth czy reguł skrzynki pocztowej może pozwolić na dalszą obecność w środowisku nawet po podstawowych działaniach naprawczych. Dlatego sama zmiana hasła nie powinna być traktowana jako wystarczająca remediacja.

Rekomendacje

Organizacje korzystające z Microsoft 365 powinny wzmacniać ochronę tożsamości nie tylko przez wdrażanie nowoczesnych metod uwierzytelniania, ale również przez kontrolę procesów operacyjnych i stały monitoring aktywności w chmurze.

Wdrażać phishing-resistant MFA tam, gdzie to możliwe, oraz ograniczać słabsze metody uwierzytelniania.
Zweryfikować, czy przepływ device code jest potrzebny biznesowo, a jeśli nie, wyłączyć go.
Monitorować logowania z niezarządzanych urządzeń, nietypowych lokalizacji i nowych kontekstów dostępowych.
Tworzyć alerty dla szybkiego dodania nowej metody MFA po udanym logowaniu.
Analizować intensywną enumerację przez Microsoft Graph oraz nietypowy dostęp do SharePoint, OneDrive i Exchange.
Regularnie przeglądać aplikacje korporacyjne, zgody OAuth i zarejestrowane metody MFA.
Ograniczać dostęp do wrażliwych zasobów wyłącznie z urządzeń zarządzanych i egzekwować polityki Conditional Access.
Szkolić pracowników, aby nie wykonywali telefonicznych poleceń dotyczących kodów logowania lub pilnych zmian dostępu bez niezależnego potwierdzenia.

W przypadku potwierdzonej kompromitacji niezbędna jest pełna procedura remediacji. Powinna ona obejmować unieważnienie aktywnych sesji i tokenów, reset poświadczeń, usunięcie nieautoryzowanych metod MFA, przegląd aplikacji i zgód OAuth, kontrolę reguł pocztowych oraz ponowną, bezpieczną rejestrację metod uwierzytelniania przez użytkownika.

Podsumowanie

Ataki phishingowe wykorzystujące narrację o passkeys pokazują, że współczesne kampanie wymierzone w środowiska chmurowe coraz rzadziej koncentrują się na samym haśle. Znacznie częściej celem staje się przejęcie sesji, tokenów i legalnych ścieżek autoryzacji, co pozwala działać ciszej i skuteczniej.

Dla zespołów bezpieczeństwa oznacza to konieczność przesunięcia ciężaru obrony w stronę monitoringu tożsamości, kontroli metod MFA, zarządzania aplikacjami OAuth oraz korelacji telemetrii z wielu warstw usług Microsoft 365. Tylko połączenie silnego uwierzytelniania, ograniczeń dostępowych, wysokiej jakości detekcji i świadomych użytkowników może skutecznie ograniczyć ryzyko takich kampanii.

Źródła

Passkey-themed phishing attacks lead to Microsoft 365 data theft — https://www.bleepingcomputer.com/news/security/passkey-themed-phishing-attacks-lead-to-microsoft-365-data-theft/
Passkey-themed social engineering leads to identity and cloud compromise — https://www.microsoft.com/en-us/security/blog/2026/09/09/passkey-themed-social-engineering-leads-identity-cloud-compromise/
Welcome to BlackFile: Inside a Vishing Extortion Operation — https://cloud.google.com/blog/topics/threat-intelligence/blackfile-vishing-extortion-operation
Learn about the sign-in log activity details – Microsoft Entra ID — https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-sign-in-log-activity-details
Microsoft Entra ID security updates: Passkeys are the default authentication method in Entra ID — https://www.microsoft.com/en-us/security/blog/2026/07/13/microsoft-entra-id-security-updates-passkeys-are-the-default-authentication-method-in-entra-id/

Badania nad phishingiem podważają skuteczność tradycyjnych testów świadomości bezpieczeństwa

Wprowadzenie do problemu / definicja

Phishing pozostaje jednym z najczęściej wykorzystywanych wektorów ataku na organizacje, ponieważ łączy niskie koszty prowadzenia kampanii z wysoką skutecznością socjotechniki. W wielu firmach poziom dojrzałości szkoleń security awareness nadal ocenia się głównie przez pryzmat współczynnika kliknięć w linki z symulowanych wiadomości phishingowych. Najnowsze badania pokazują jednak, że taki sposób pomiaru jest zbyt uproszczony i może prowadzić do błędnych wniosków o rzeczywistej odporności organizacji.

W skrócie

Analiza 2,47 mln symulowanych prób phishingu przeprowadzonych w okresie od 1 czerwca 2025 r. do 31 maja 2026 r. na grupie ponad 123 tys. pracowników z przeszło 1,2 tys. organizacji wskazuje, że samo mierzenie kliknięć nie oddaje pełnego poziomu ryzyka. Znacznie ważniejsze jest to, czy użytkownik po interakcji z wiadomością ujawnia poświadczenia, przerywa proces czy zgłasza incydent do zespołu bezpieczeństwa.

Wyniki badania pokazują również istotne różnice pomiędzy branżami i zespołami. Co istotne, część pracowników technicznych osiągała słabsze wyniki, niż można by oczekiwać na podstawie ich kompetencji zawodowych, co podważa powszechne założenia dotyczące profili ryzyka wewnątrz organizacji.

Kontekst / historia

Symulacje phishingowe od lat są podstawowym narzędziem oceny skuteczności programów szkoleniowych z zakresu cyberbezpieczeństwa. Ich popularność wynika z prostoty wdrożenia, łatwości raportowania wyników oraz możliwości porównywania poszczególnych działów lub lokalizacji. Problem polega jednak na tym, że pojedynczy wskaźnik kliknięć nie odzwierciedla całego łańcucha decyzyjnego użytkownika.

Kliknięcie nie musi jeszcze oznaczać incydentu bezpieczeństwa. Realne zagrożenie pojawia się dopiero wtedy, gdy użytkownik wykona kolejny krok, na przykład wpisze hasło, poda kod MFA, pobierze plik lub prześle poufne dane. Z perspektywy obrońcy to właśnie te zachowania powinny stanowić podstawę oceny skuteczności szkoleń i dojrzałości organizacji.

Badanie zwróciło szczególną uwagę na trzy elementy: kliknięcie, ujawnienie poświadczeń oraz zgłoszenie wiadomości. Taki model jest bliższy rzeczywistemu przebiegowi ataku phishingowego i lepiej pokazuje, czy pracownik potrafi przerwać niebezpieczną interakcję oraz uruchomić procedury obronne.

Analiza techniczna

Badanie objęło 12 miesięcy symulowanych kampanii phishingowych prowadzonych różnymi kanałami, w tym pocztą elektroniczną i komunikacją korporacyjną. Scenariusze były dopasowywane do roli odbiorców oraz ich wcześniejszych reakcji, co zwiększało realizm testów i ograniczało wartość jednorazowych, statycznych pomiarów.

Najważniejszy wniosek techniczny jest jasny: click rate nie powinien być traktowany jako główny miernik skuteczności programu awareness. Użytkownik może kliknąć link z ciekawości, po czym rozpoznać próbę oszustwa i przerwać proces. Może też przejść dalej i przekazać napastnikowi dane logowania. Te dwa scenariusze mają całkowicie odmienny wpływ na poziom ryzyka.

Badanie wykazało, że przy pierwszej symulacji więcej użytkowników zgłaszało wiadomość niż w nią klikało, ale mimo to 1,57% badanych ujawniało poświadczenia. W praktyce oznacza to, że nawet w organizacji zatrudniającej 500 osób można statystycznie oczekiwać kilku pracowników skłonnych do przekazania danych logowania podczas odpowiednio przygotowanej kampanii.

Widoczne były także wyraźne różnice sektorowe i zespołowe. Około 30% pracowników rozwoju technicznego i IT kliknęło przynajmniej jedną symulację, podczas gdy najwyższą odporność zaobserwowano w sektorze usług finansowych. Jednocześnie udział osób klikających wahał się od około 26% w obszarach projektowych do ponad 41% w branży budowlanej, co pokazuje, że organizacje nie powinny zakładać jednego, uniwersalnego profilu ryzyka phishingowego.

Interesujący był również efekt czasu. W pierwszych sześciu miesiącach programu wskaźniki kliknięć i ujawniania poświadczeń rosły, a dopiero później zaczynały spadać. To sugeruje, że jednorazowe kampanie testowe nie wystarczają do oceny dojrzałości użytkowników. Program awareness musi być długofalowy, iteracyjny i analizowany w ujęciu trendów, a nie pojedynczych wyników.

Konsekwencje / ryzyko

Największym zagrożeniem wynikającym z tych ustaleń jest błędna interpretacja wyników testów phishingowych przez zespoły bezpieczeństwa i kadrę zarządzającą. Niski współczynnik kliknięć może wyglądać korzystnie w raportach, ale nie musi oznaczać faktycznej odporności, jeśli organizacja nie mierzy skali wycieków poświadczeń i poziomu zgłaszalności incydentów.

Fałszywe poczucie bezpieczeństwa może prowadzić do ograniczania inwestycji w szkolenia, niedostatecznego wsparcia dla zespołów SOC i IR oraz pomijania słabszych punktów w konkretnych działach. Uśrednianie wyników dla całej organizacji bywa szczególnie niebezpieczne, ponieważ może ukrywać podatności w grupach mających dostęp do systemów krytycznych lub danych o wysokiej wartości.

Z biznesowego punktu widzenia skuteczny phishing nadal może prowadzić do przejęcia kont, oszustw BEC, rozprzestrzeniania malware, kradzieży danych, a także późniejszych etapów ataku, w tym ransomware. Jeśli metryki bezpieczeństwa nie odzwierciedlają tych rzeczywistych ścieżek kompromitacji, organizacja podejmuje decyzje w oparciu o niepełny obraz ryzyka.

Rekomendacje

Organizacje powinny odejść od oceniania skuteczności testów phishingowych wyłącznie na podstawie kliknięć. Zestaw kluczowych metryk powinien obejmować zarówno click rate, jak i credential submission rate, report rate, czas do zgłoszenia, udział użytkowników wielokrotnie podatnych oraz trendy zmian w dłuższym okresie.

Segmentować wyniki według działów, ról, poziomu uprzywilejowania i dostępu do zasobów krytycznych.
Nie zakładać automatycznie, że pracownicy techniczni stanowią grupę niskiego ryzyka.
Prowadzić programy szkoleniowe w sposób ciągły i adaptacyjny, a nie jednorazowy.
Łączyć symulacje z krótkimi szkoleniami kontekstowymi i natychmiastową informacją zwrotną.
Wzmacniać warstwę techniczną poprzez MFA odporne na phishing, ochronę poczty, filtrowanie URL, sandboxing załączników i monitorowanie anomalii logowania.

Ważne jest również odpowiednie raportowanie do zarządu. Zamiast koncentrować się na pytaniu, ilu użytkowników kliknęło, lepiej analizować, ilu ujawniło poświadczenia, jak szybko incydent został zgłoszony i czy odporność rośnie w dłuższej perspektywie. To metryki znacznie bliższe realnemu ryzyku operacyjnemu i biznesowemu.

Podsumowanie

Najnowsze badania nad phishingiem pokazują, że tradycyjne testy świadomości bezpieczeństwa wymagają istotnej rewizji. Kliknięcie w link nie daje pełnego obrazu zagrożenia, a nadmierne skupienie na jednym wskaźniku może zniekształcać ocenę odporności organizacji na ataki socjotechniczne.

Dla zespołów cyberbezpieczeństwa oznacza to potrzebę dojrzalszego modelu pomiarowego, lepszej segmentacji ryzyka oraz długoterminowych programów szkoleniowych wspartych kontrolami technicznymi. Tylko takie podejście pozwala realistycznie ocenić ekspozycję na phishing i ograniczyć ryzyko kompromitacji kont.

Źródła

Phishing Research Challenges Conventional Security Awareness Testing

Masowy phishing wspierany przez AI: ponad milion spersonalizowanych wiadomości w trzy dni

Wprowadzenie do problemu / definicja

Phishing finansowy od lat pozostaje jednym z najskuteczniejszych wektorów ataku na organizacje, szczególnie wtedy, gdy wykorzystuje podszywanie się pod zaufane podmioty, faktury oraz presję czasu. Najnowsze obserwacje pokazują jednak wyraźną zmianę jakościową: dzięki wykorzystaniu sztucznej inteligencji cyberprzestępcy mogą dziś łączyć skalę typową dla kampanii masowych z poziomem personalizacji kojarzonym wcześniej z precyzyjnie przygotowanymi oszustwami biznesowymi.

W praktyce oznacza to, że firmy muszą mierzyć się nie tylko z większą liczbą podejrzanych wiadomości, ale także z ich znacznie wyższą wiarygodnością. To istotne przesunięcie zagrożenia, ponieważ klasyczne sygnały ostrzegawcze przestają być wystarczające.

W skrócie

Napastnik rozesłał ponad milion wiadomości e-mail w ciągu zaledwie trzech dni.
Celem kampanii były głównie działy finansowe i zespoły odpowiedzialne za zobowiązania.
Wiadomości dotyczyły rzekomych zaległych płatności za roczne subskrypcje usług chmurowych.
Atak wykorzystywał realistyczne faktury, spreparowane wątki korespondencji i odniesienia do prawdziwych osób z kierownictwa firm.
Kluczową rolę odegrała automatyzacja oparta na AI, wspierająca rekonesans i personalizację treści.

Kontekst / historia

Przez wiele lat cyberprzestępcy musieli wybierać pomiędzy dwiema strategiami. Pierwsza opierała się na masowym rozsyłaniu prostych, generycznych wiadomości, które były tanie i łatwe do skalowania, ale jednocześnie mniej skuteczne. Druga polegała na przygotowywaniu bardziej ukierunkowanych kampanii przeciwko wybranym ofiarom, co zwiększało szansę powodzenia, lecz wymagało znacznie większych nakładów czasu i zasobów.

Rozwój narzędzi generatywnej AI stopniowo zaciera ten podział. Atakujący mogą automatycznie zbierać publicznie dostępne informacje o firmach, ich strukturach zarządczych, rolach pracowników i bieżących kontekstach biznesowych. Dzięki temu masowa kampania może sprawiać wrażenie ręcznie dopracowanej i starannie przygotowanej dla konkretnego odbiorcy.

Opisany przypadek dobrze obrazuje ten trend. Atak objął organizacje z różnych branż, a wśród najczęściej wybieranych celów znalazły się firmy z sektorów IT, dóbr konsumenckich oraz nieruchomości. Szczególnie duży udział miały podmioty działające na rynku amerykańskim.

Analiza techniczna

Mechanizm oszustwa nie był technologicznie rewolucyjny, ale okazał się wyjątkowo skuteczny operacyjnie. Przestępcy rozsyłali wiadomości dotyczące rzekomych należności za usługi przedsiębiorstwowe, do których dołączano szczegółowe faktury. Dokumenty zawierały realistyczne pozycje kosztowe oraz wiarygodnie wyglądające kwoty, co miało ograniczyć podejrzenia odbiorcy.

Jednym z najważniejszych elementów kampanii była spreparowana historia korespondencji. Zamiast pojedynczego wezwania do zapłaty ofiara otrzymywała wiadomość osadzoną w fałszywym wątku, który sugerował wcześniejsze ustalenia pomiędzy dostawcą a członkiem kadry kierowniczej. Taki zabieg zwiększa prawdopodobieństwo, że pracownik uzna sprawę za zatwierdzoną na wyższym szczeblu organizacji.

W wiadomościach pojawiały się również nazwiska rzeczywistych prezesów, dyrektorów finansowych i innych osób pełniących kluczowe funkcje. To wskazuje na wykorzystanie publicznie dostępnych danych korporacyjnych oraz narzędzi automatyzujących ich analizę. Sztuczna inteligencja mogła zostać użyta jednocześnie do rekonesansu OSINT, segmentacji ofiar, generowania treści, tworzenia wariantów faktur i dopasowywania kontekstu do konkretnej organizacji.

Z technicznego punktu widzenia nie był to zupełnie nowy typ ataku. Największym problemem jest raczej uprzemysłowienie dobrze znanych technik phishingu i oszustw płatniczych. To właśnie zdolność do zwiększania skali i jakości tradycyjnych metod czyni takie kampanie szczególnie niebezpiecznymi.

Konsekwencje / ryzyko

Najpoważniejsze ryzyko dotyczy przełamania standardowych mechanizmów oceny wiarygodności wiadomości przez użytkowników biznesowych. Tradycyjne szkolenia często uczą rozpoznawania literówek, nietypowych domen czy ogólnikowej treści. W przypadku kampanii wspieranych przez AI takie symptomy mogą w ogóle nie występować.

Działy finansowe pozostają szczególnie narażone, ponieważ pracują pod presją czasu, regularnie obsługują faktury i kontaktują się z wieloma zewnętrznymi dostawcami. Jeśli napastnik skutecznie podszyje się pod znanego kontrahenta lub członka zarządu, rośnie ryzyko nieautoryzowanej płatności, zmiany danych rozliczeniowych albo ujawnienia wrażliwych informacji.

Skutki udanej kampanii nie ograniczają się wyłącznie do bezpośrednich strat finansowych. Mogą obejmować również naruszenie procedur compliance, wzrost kosztów obsługi incydentu, utratę zaufania do komunikacji e-mail oraz zakłócenia w procesach księgowych i operacyjnych. Przy tak dużej skali nawet niski odsetek skuteczności może zapewnić przestępcom znaczące zyski.

Rekomendacje

Organizacje powinny przyjąć założenie, że wysokiej jakości phishing finansowy można dziś łatwo zautomatyzować. Odpowiedź obronna musi więc łączyć zabezpieczenia techniczne z dojrzałymi procedurami biznesowymi.

Wdrożyć i egzekwować SPF, DKIM oraz DMARC, a także mechanizmy ograniczające spoofing domen i nazw wyświetlanych.
Rozwijać filtrowanie poczty w oparciu o analizę behawioralną, korelację sygnałów i integrację z systemami detekcji oraz telemetrią XDR.
Wprowadzić obowiązkową, niezależną weryfikację każdej zmiany danych płatniczych, pilnych faktur oraz nietypowych próśb o przelew.
Zaktualizować szkolenia pracowników, aby obejmowały nie tylko podstawowe cechy phishingu, ale również analizę kontekstu biznesowego i techniki socjotechniczne wykorzystujące autorytet.
Przygotować playbooki SOC i IR dla oszustw fakturowych wspieranych przez AI, uwzględniające analizę nagłówków, walidację załączników i szybkie wyszukiwanie podobnych wiadomości.

Podsumowanie

Opisana kampania pokazuje, że sztuczna inteligencja nie musi tworzyć zupełnie nowych klas zagrożeń, aby radykalnie zwiększyć ryzyko dla przedsiębiorstw. Wystarczy, że pozwala przestępcom szybciej skalować sprawdzone techniki oszustw e-mailowych i podnosić ich wiarygodność.

Połączenie masowości, personalizacji oraz realistycznego kontekstu biznesowego sprawia, że współczesny phishing finansowy staje się trudniejszy do wykrycia niż jeszcze kilka lat temu. Najlepszą odpowiedzią pozostaje podejście warstwowe: silne zabezpieczenia poczty, odporne procesy finansowe, aktualne szkolenia użytkowników oraz sprawna detekcja i reakcja na incydenty.

Źródła

Threat Actor Generates 1M Personalized Fraud Emails in 3 Days