Cyberataki: kradzież tożsamości to bułka z masłem?

Przeczytaj także: Cyfrowa tożsamość na celowniku hakerów

Aż 60% przypadków incydentów analizowanych przez zespół Cisco Talos Incident Response było związanych z cyberatakami na tożsamość. Cyberprzestępcy coraz częściej uzyskują dostęp do systemów po prostu logując się przy użyciu skradzionych identyfikatorów sesji, kluczy API czy certyfikatów cyfrowych.

W przypadku cyberataków ransomware skala problemu jest jeszcze większa – niemal 70% analizowanych incydentów obejmowało wykorzystanie legalnych kont do uzyskania początkowego dostępu. W 2024 roku najczęściej atakowanym sektorem było szkolnictwo wyższe. Przyczyną jest m.in. ograniczony budżet na cyberbezpieczeństwo oraz duża liczba użytkowników, którzy korzystają z tych systemów. Na kolejnych miejscach znalazły się administracja publiczna, przemysł wytwórczy, opieka zdrowotna i finanse.

Inne kluczowe wnioski z raportu Cisco Talos:

• Grupy ransomware potrafią skutecznie unieszkodliwiać systemy ochronne swoich ofiar – udało im się to w większości przypadków obserwowanych przez Cisco Talos, prawie zawsze z powodzeniem.
• Najbardziej aktywną grupą ransomware w 2024 roku pozostaje LockBit, mimo że w marcu minionego roku próbowano ją rozbić. Na drugim miejscu uplasowała się relatywnie nowa grupa RansomHub, która atakuje duże organizacje i żąda wysokich okupów.
• 44% cyberataków na tożsamość dotyczyło usługi Active Directory.
• 20% cyberataków na tożsamość obejmowało aplikacje chmurowe, a API stały się szczególnie atrakcyjnym celem, mając dostęp do wielu wrażliwych danych.
• Najczęściej atakowane luki w zabezpieczeniach w 2024 roku to w większości starsze CVE (Common Vulnerabilities and Exposures), znane już od kilku lat.
• W 2024 roku hakerzy najczęściej atakowali stare podatności, m.in. w Apache Log4j czy Bash, co tworzy niezwykle szeroką powierzchnię cyberataku, wykorzystywaną przez cyberprzestępców do infiltracji wielu branż na całym świecie.

Powrót do podstaw cyberbezpieczeństwa

Eksperci Cisco Talos alarmują – cyberprzestępcy wcale nie muszą szukać nowych luk. Wiele z nich nadal wykorzystuje stare podatności, które pozostają w użyciu od lat. Niezaktualizowane systemy, źle skonfigurowane zabezpieczenia i brak skutecznej polityki dostępu to kluczowe czynniki ułatwiające cyberataki.

Obecny krajobraz zagrożeń pokazuje, że dla organizacji kluczowe jest dziś bardziej niż kiedykolwiek priorytetowe traktowanie podstawowych zasad cyberbezpieczeństwa oraz wdrażanie skutecznych mechanizmów ochrony tożsamości – mówi Holger Unterbrink, lider techniczny w Cisco Talos. Kolejnym istotnym problemem jest wykorzystywanie starszych podatności – niektóre z nich mają już dekady, a mimo to wciąż występują w powszechnie używanym oprogramowaniu i sprzęcie. Wiele z najczęściej atakowanych podatności dotyczy właśnie urządzeń, dla których nie są już dostępne aktualizacje zabezpieczeń.

Rola sztucznej inteligencji: mniej spektakularna, ale nadal groźna

Chociaż AI wciąż kojarzy się z zaawansowanymi cyberatakami, w rzeczywistości cyberprzestępcy wykorzystują ją w bardziej pragmatyczny sposób. Zamiast opracowywać nowe metody cyberataku, AI służy głównie do ulepszania istniejących technik, takich jak inżynieria społeczna, phishing czy automatyzacja zadań.

5 podstawowych zasad cyberbezpieczeństwa według Cisco Talos:

1. Regularnie instaluj aktualizacje i poprawki zabezpieczeń – przestarzałe systemy to otwarte drzwi dla atakujących.
2. Stosuj silne uwierzytelnianie – używaj MFA i złożonych haseł.
3. Zabezpiecz dostęp do sieci – wdrażaj mechanizmy kontroli dostępu i segmentację systemów.
4. Szyfruj ruch – ochrona danych powinna obejmować także monitorowanie i konfigurację systemów.
5. Bądź na bieżąco – śledź rekomendacje branżowe i aktualizuj polityki bezpieczeństwa.

Raport Cisco Talos Year in Review powstał na podstawie analizy danych telemetrycznych pochodzących z 46 milionów urządzeń w 193 krajach, co przekłada się na 886 miliardów zdarzeń dot. bezpieczeństwa dziennie.