Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Raport Verizon DBIR 2026 pokazuje istotną zmianę w krajobrazie zagrożeń: wykorzystanie podatności po raz pierwszy wyprzedziło skradzione lub nadużywane dane uwierzytelniające jako najczęstszy wektor początkowego dostępu do środowisk ofiar. To ważny sygnał dla zespołów bezpieczeństwa, ponieważ oznacza przesunięcie ciężaru obrony z samej ochrony tożsamości na skuteczne zarządzanie podatnościami i zabezpieczanie zasobów wystawionych do internetu.
W praktyce zmiana ta wskazuje, że napastnicy coraz częściej wchodzą do organizacji bez konieczności wcześniejszego przejmowania loginów i haseł. Zamiast tego wykorzystują luki w oprogramowaniu, usługach zdalnego dostępu oraz urządzeniach brzegowych, skracając czas potrzebny do rozpoczęcia ataku.
W skrócie
Z ustaleń Verizon DBIR 2026 wynika, że wykorzystanie podatności odpowiadało za 31% naruszeń i stało się najczęściej obserwowanym sposobem uzyskiwania dostępu początkowego. Analiza objęła ponad 31 tys. incydentów bezpieczeństwa, w tym ponad 22 tys. potwierdzonych naruszeń danych w 145 krajach, w okresie od 1 listopada 2024 r. do 31 października 2025 r.
- Exploity wyprzedziły credential abuse jako główny wektor wejścia.
- Najbardziej narażone pozostają systemy i urządzenia dostępne z internetu.
- Rosnąca automatyzacja po stronie napastników skraca okno reakcji obrońców.
- Generatywna AI może przyspieszać rekonesans i rozwój technik eksploatacji.
Kontekst / historia
W poprzednich edycjach DBIR dominującym sposobem uzyskiwania dostępu były skompromitowane poświadczenia. Tegoroczny raport nie opisuje jednak jednorazowego odchylenia, lecz kulminację trendu obserwowanego od kilku lat. Wzrost znaczenia exploitów wynika zarówno z rosnącej liczby krytycznych luk, jak i z problemów organizacji z terminowym wdrażaniem poprawek.
Szczególnie trudne okazuje się zabezpieczanie urządzeń brzegowych, zapór sieciowych, koncentratorów VPN, systemów zdalnego dostępu i innych komponentów publikowanych do internetu. To właśnie te elementy infrastruktury są najczęściej celem szybkich kampanii wykorzystujących świeżo ujawnione podatności.
Analiza techniczna
Techniczny mechanizm ataku zwykle rozpoczyna się od skanowania publicznie dostępnych zasobów i identyfikacji podatnych usług. Następnie napastnik wykorzystuje lukę w komponencie odpowiedzialnym za uwierzytelnianie, obsługę sesji, zarządzanie ruchem HTTP lub zdalny dostęp. Jeżeli exploit zakończy się sukcesem, możliwe staje się wykonanie kodu, obejście uwierzytelniania, eskalacja uprawnień albo zapisanie webshella.
Na tym etapie atak rzadko się kończy. Po uzyskaniu dostępu przestępcy przechodzą do działań post-eksploatacyjnych, takich jak ustanowienie trwałości, ruch boczny, kradzież poświadczeń z pamięci lub przeglądarek, a następnie eksfiltracja danych bądź wdrożenie ransomware. Oznacza to, że exploit staje się dziś częściej punktem wejścia niż pojedynczym incydentem technicznym.
Szczególnie groźne są podatności w systemach perymetrycznych, ponieważ umożliwiają obejście wielu warstw ochronnych. Atakujący nie muszą wówczas prowadzić kampanii phishingowej ani kompromitować stacji roboczej użytkownika. To obniża koszt operacji, zwiększa skalowalność ataków i sprzyja automatyzacji całego procesu.
Wnioski raportu sugerują również, że rozwój narzędzi opartych na AI może skracać czas między publikacją informacji o luce a rozpoczęciem aktywnej eksploatacji. Dotyczy to nie tylko tworzenia kodu, ale też analizy dokumentacji, selekcji celów i generowania wariantów technik ataku.
Konsekwencje / ryzyko
Dla organizacji najważniejszą konsekwencją jest konieczność zmiany priorytetów w zarządzaniu ryzykiem. Model bezpieczeństwa oparty głównie na ochronie tożsamości, szkoleniach antyphishingowych i wdrożeniu MFA pozostaje ważny, ale przestaje być wystarczający, jeśli publicznie dostępne systemy pozostają podatne przez dłuższy czas.
Największe ryzyko dotyczy środowisk z długimi cyklami zmian, słabą inwentaryzacją zasobów, ograniczoną segmentacją sieci i niewystarczającą widocznością aktywów internet-facing. W takich warunkach organizacja może nie wiedzieć, które systemy są naprawdę dostępne z internetu i które z nich wymagają natychmiastowej reakcji.
- Rośnie ryzyko masowych kompromitacji po publikacji krytycznych CVE.
- Zwiększa się prawdopodobieństwo ataków ransomware po wejściu przez warstwę brzegową.
- MFA nie eliminuje zagrożenia, gdy luka pozwala ominąć uwierzytelnianie lub wykonać kod.
- Problemy z widocznością zasobów utrudniają skuteczną priorytetyzację łatania.
Rekomendacje
Organizacje powinny rozpocząć od utrzymywania aktualnego i pełnego spisu wszystkich zasobów dostępnych z internetu, wraz z przypisaniem właścicieli biznesowych i technicznych. Bez rzetelnej inwentaryzacji nie da się skutecznie zarządzać podatnościami ani podejmować właściwych decyzji o priorytetach.
Kolejnym krokiem powinna być priorytetyzacja łatania na podstawie rzeczywistej ekspozycji. Najkrótsze czasy reakcji powinny dotyczyć krytycznych podatności w systemach brzegowych, usługach zdalnego dostępu, rozwiązaniach VPN, zaporach, serwerach aplikacyjnych i platformach administracyjnych. Sama ocena CVSS nie wystarczy, jeśli nie uwzględnia dostępności z internetu, aktywnych kampanii oraz obecności publicznych exploitów.
Warto równolegle wdrażać mechanizmy kompensacyjne, które ograniczą skutki opóźnień w patchowaniu. Należą do nich segmentacja sieci, ograniczanie dostępu administracyjnego, wyłączanie nieużywanych usług, filtrowanie ruchu przychodzącego, reguły WAF dla podatnych aplikacji oraz dokładny monitoring telemetrii z urządzeń brzegowych.
Po stronie SOC konieczne jest rozszerzenie detekcji o ślady typowe dla post-eksploatacji. Chodzi między innymi o wykrywanie nietypowych procesów na urządzeniach perymetrycznych, nowych zadań harmonogramu, webshelli, nieautoryzowanych połączeń wychodzących, dumpowania poświadczeń oraz niestandardowego ruchu lateralnego.
- Utrzymuj pełną inwentaryzację zasobów internet-facing.
- Priorytetyzuj poprawki według realnej ekspozycji, a nie wyłącznie CVSS.
- Stosuj segmentację i mechanizmy kompensacyjne dla systemów krytycznych.
- Rozwijaj monitoring i playbooki reagowania dla exploitów zero-day i n-day.
Podsumowanie
Verizon DBIR 2026 potwierdza, że wykorzystanie podatności stało się najważniejszym wektorem początkowego dostępu do organizacji. To wyraźny sygnał, że przewaga napastników coraz częściej wynika z szybkości eksploatacji luk w systemach wystawionych do internetu, a nie wyłącznie z kradzieży poświadczeń.
Dla obrońców oznacza to konieczność skrócenia czasu wykrywania i łatania, poprawy widoczności zasobów oraz wzmocnienia ochrony warstwy brzegowej. W środowisku rosnącej automatyzacji ataków podstawowa higiena bezpieczeństwa, szybkie zarządzanie podatnościami i dojrzały monitoring pozostają najskuteczniejszą linią obrony.
Źródła
- Verizon DBIR: Vulnerability Exploits Overtake Credentials as Top Access Vector — https://www.infosecurity-magazine.com/news/verizon-dbir-exploits-top-access/
- Vulnerability exploitation top breach entry point, 2026 industry-wide DBIR finds — https://www.verizon.com/about/news/breach-industry-wide-dbir-finds
- 2026 Data Breach Investigations Report (DBIR) — https://www.verizon.com/business/resources/reports/dbir/
- Attackers hit vulnerabilities hard last year, making exploits the top entry point for breaches — https://cyberscoop.com/verizon-data-breach-investigations-report-2026/
- Verizon DBIR 2026: Vulnerability exploits top initial access as patching coverage falls — https://www.scworld.com/news/verizon-dbir-2026-vulnerability-exploits-top-initial-access-as-patching-coverage-falls