Атака №2: Злоупотреба с акаунти и превземане на достъп

Threat snapshot – Credential Abuse & Account Takeover

Как работи атаката

Credential abuse не „чупи“ системи. Тя ги използва.

След като валидни акаунти бъдат придобити. чрез phishing, malware, изтичане на бази данни или трети страни. атакуващият вече не трябва да „хаква“. Той просто влиза.

Отстрани активността изглежда легитимна. Коректни потребителски имена. Коректни пароли. Често от реалистични локации и устройства. Затова credential abuse е една от най-трудните фази за откриване.

Тук идентичността се превръща в атакуващ вектор.

Реални случаи

Credential abuse и account takeover атаките използват валидни пароли, сесии или одобрения за вход. Така нападателите могат да изглеждат като легитимни потребители и да заобиколят част от стандартните защити.

Uber (2022)

Сектор: Технологии и транспорт

Как е започнал инцидентът?
Нападателят използва корпоративна парола на външен изпълнител, вероятно открадната след malware инфекция на лично устройство. След многократни заявки за вход служителят одобрява една от MFA (Multi-Factor Authentication) нотификациите.

Какво е било компрометирано?

• служителски акаунти;
• вътрешни инструменти, включително Slack и Google Workspace;
• част от вътрешни съобщения и финансова информация.

Как се е развила атаката?
След първоначалния достъп нападателят достига до други акаунти и получава по-високи привилегии. Uber блокира засегнатите акаунти, изключва част от вътрешните инструменти и ротира ключове за достъп.

Какво би могло да ограничи щетите?

• phishing-resistant MFA;
• защита срещу MFA fatigue;
• проверка на устройството и контекста на входа;
• ограничаване на привилегиите.

23andMe (2023)

Сектор: Генетични и потребителски услуги

Как е започнал инцидентът?
Нападателят използва credential stuffing — автоматизирани опити с потребителски имена и пароли, компрометирани при други услуги и повторно използвани в 23andMe. Компанията не установява пробив в собствените си системи за удостоверяване.

Какво е било компрометирано?

• около 14 000 акаунта;
• приблизително 5,5 милиона DNA Relatives профила;
• около 1,4 милиона Family Tree профила.

Как се е развила атаката?
Компрометираните акаунти дават достъп и до информация, споделена от свързани потребители. След инцидента 23andMe изисква смяна на паролите и въвежда задължителна двустъпкова проверка.

Какво би могло да ограничи щетите?

• уникални пароли за всяка услуга;
• задължително MFA;
• откриване на credential stuffing;
• ограничаване на автоматизираните опити за вход.

Какво показват тези случаи?

При Uber валидна парола и едно одобрено MFA известие предоставят достъп до вътрешни системи. При 23andMe повторно използвани пароли позволяват превземането на хиляди акаунти и разкриването на информация за милиони свързани профили.

И двата случая показват, че валидните идентификационни данни не означават непременно легитимен достъп. Силното удостоверяване, контролът върху сесиите и наблюдението на необичайни входове са критични за ограничаване на account takeover атаките.

Кого таргетира най-често

Credential abuse следва стойността.
Атаките се насочват там, където достъпът означава мащаб, контрол и устойчивост.

Роли

• потребители с cloud, имейл и VPN достъп

• финанси, HR и оперативни екипи

• IT администратори и support

• service и integration акаунти

Сектори

• професионални услуги

• здравеопазване и образование

• SaaS-базирани организации

• производство и логистика

• публичен сектор

Тип организации

• силно cloud-зависими

• с remote и hybrid модели

• със слабо identity управление

• с нерегулярни прегледи на достъпите

Колкото по-централна е идентичността за операциите, толкова по-атрактивна става тя.

На какво разчита атаката

Credential abuse рядко стъпва върху една грешка.
Тя процъфтява там, където идентичността се приема за даденост, а не се проверява постоянно.

Човешки фактор

• повторно използване на пароли

• успешно phishing

• споделяне на достъп

• MFA fatigue

• последващо social engineering

Технически пропуски

• липсваща или слаба MFA

• прекомерни постоянни права

• споделени и unmanaged акаунти

• липса на identity телеметрия

• слаба видимост върху сесиите

Процесни слабости

• лош onboarding и offboarding

• редки прегледи на достъп

• липса на identity incident playbooks

• бавна реакция

Credential abuse успява, когато достъпът надживява контрола.

Как се хваща

Account takeover рядко се хваща при самия логин.
Открива се чрез поведение.

Какво може да забележи потребителят

• заключени акаунти

• неочаквани security известия

• изпратени от него имейли, които не е писал

• липсващи или променени данни

Какво вижда IT екипът

• нови устройства и локации

• impossible travel

• необичайна продължителност на сесии

• промени в права

Какво вижда SOC

• identity аномалии

• злоупотреба с токени

• lateral movement

• persistence механизми

Когато акаунти се използват злонамерено, идентичността става основният източник на сигнали.

Как се ограничава въздействието

При credential abuse всяка минута увеличава обхвата.

Първата цел е възстановяване на контрол върху идентичността.

• незабавно ресетване на пароли и прекратяване на сесии

• спиране на компрометирани и свързани акаунти

• ротация на токени, ключове и service акаунти

• одит на достъпи и права

• търсене на persistence и lateral movement

Какво не помага:

• ресет само на един акаунт

• приемане, че инцидентът е изолиран

• отлагане на преглед на привилегиите

Credential abuse се разпространява тихо. Ограничаването трябва да е решително.

Какво реално помага

Credential abuse не се спира на периметъра.
Тя се управлява чрез дисциплина около идентичността.

Хора

• обучение за credential хигиена

• ясни канали за докладване

• реакция при MFA атаки

Процеси

• least privilege модел

• регулярни access reviews

• бързо деактивиране на достъп

• identity response playbooks

Технологии

• MFA навсякъде

• identity threat detection

• conditional access

• session monitoring

• XDR/SOC интеграция

Колкото по-силен е identity слойът, толкова по-трудно е атакуващите да се скрият.

Регулаторен контекст (ЕС)

С влизането в сила на NIS2 и DORA в ЕС (2024–2025) злоупотребата с акаунти вече не е само технически риск. Тя е и регулаторен.

Организациите в критични и важни сектори вече са задължени да:

• поддържат документирани incident playbooks, включително за identity инциденти

• могат да откриват, реагират и възстановяват при компрометирани акаунти

• прилагат контрол върху достъпа, MFA и мониторинг като част от съответствието

Лошо управляван credential инцидент все по-често означава не само пробив в сигурността, а и пробив в съответствието.

Чести митове

Credential abuse често се подценява.

„Силните пароли са достатъчни“
„MFA решава identity атаките“
„Ако някой се логне, значи е легитимен“
„Ще видим, ако има необичаен достъп“

В реалността злоупотребата с акаунти остава една от най-устойчивите и разрушителни техники.

Атака №1: Фишинг и социално инженерство

Следва: Атака №3 – Компрометиране на бизнес имейли (BEC)