Raport Cisco Talos: Jak przestępcy przejmują cybertożsamość

Cyfrowy świat w 2024 roku był polem coraz bardziej zaawansowanej i zróżnicowanej walki między atakującymi a organizacjami próbującymi bronić swojej infrastruktury. Cisco Talos, jedno z najbardziej renomowanych centrów analizy zagrożeń na świecie, w najnowszym raporcie „Year in Review 2024” przedstawia szczegółowy obraz krajobrazu cyberzagrożeń, jaki ukształtował się w minionym roku. Z raportu wyłania się wniosek kluczowy dla każdego, kto zarządza bezpieczeństwem w sieci: tożsamość cyfrowa stała się głównym polem walki. Zespół cyberbezpieczeństwa Talos przeanalizował ponad 886 miliardów zdarzeń bezpieczeństwa dziennie z 46 milionów urządzeń rozmieszczonych w 193 krajach. To bezprecedensowa skala monitoringu, pozwalająca z dużą precyzją określić, jakie techniki, cele i wektory ataku dominowały w 2024 roku. Choć wiele trendów — jak wzrost ataków ransomware czy nadużycia phishingowe — nie zaskakuje, to sposób, w jaki przestępcy wykorzystują legalne konta użytkowników, słabości MFA i przestarzałe systemy, ukazuje nowy wymiar skuteczności ich działań. Raport Talos to nie tylko sucha statystyka. To zbiór sygnałów ostrzegawczych i jednocześnie zestaw konkretnych wskazówek, jak bronić się przed najpoważniejszymi zagrożeniami. W tej analizie przyglądamy się najważniejszym wnioskom Cisco, uzupełniając je o kontekst i interpretację przydatną dla organizacji każdej wielkości — od uczelni i urzędów po sektor prywatny. Kradzież tożsamości nowym standardem W ponad 60 proc. wszystkich przypadków analizowanych przez zespół Cisco Talos IR (Incident Response) ataki bazowały na przejęciu tożsamości użytkownika. Cyberprzestępcy coraz częściej porzucają złożone narzędzia na rzecz prostych metod: wykorzystują wykradzione dane logowania i logują się do systemów tak, jakby byli legalnymi użytkownikami. To nie tylko trudne do wykrycia, ale i wyjątkowo skuteczne. Brak wykrywalnego złośliwego oprogramowania sprawia, że ataki często są niewidoczne dla klasycznych systemów ochrony, a przestępcy zyskują dostęp do całych sieci korporacyjnych. Zjawisko to jest ściśle powiązane z działalnością tzw. brokerów dostępu początkowego (Initial Access Brokers), którzy sprzedają dane logowania na forach darknetu, a także z coraz większą liczbą urządzeń i usług, które wymagają logowania – w tym aplikacji chmurowych, systemów VPN, czy środowisk Active Directory. Cyberprzestępcy wykorzystują stare błędy Aż cztery z dwunastu najczęściej atakowanych podatności to błędy znane od dekady. Log4Shell (2021), Shellshock (2014), podatności w PHP (CVE-2017-9841, CVE-2024-4577) czy w urządzeniach D-Link i Check Point pokazują, że atakujący nie muszą szukać nowych exploitów. Wystarczy, że organizacje nadal nie łatają znanych dziur. Co gorsza, część z tych podatności dotyczy sprzętu, który osiągnął już status EOL (End of Life) i nie otrzymuje aktualizacji. D-Link NAS czy starsze modele routerów to łatwe cele – często narażone na botnety typu Mirai czy Gafgyt, które służą do budowania sieci zainfekowanych urządzeń do dalszych ataków DDoS czy eskalacji uprawnień. Cisco podkreśla, że brak aktualizacji i złe zarządzanie konfiguracją były drugą najczęściej występującą słabością organizacji w 2024 roku. Co ciekawe, schemat ataków był niemal identyczny niezależnie od wielkości celu – tak małe, jak i duże firmy były atakowane w podobny sposób. Edukacja, zdrowie i administracja to ulubione cele ransomware Rok 2024 potwierdził, że ransomware nadal jest jednym z największych zagrożeń. Najczęściej atakowane były uczelnie wyższe, instytucje administracji publicznej i sektor zdrowia. Uczelnie, mimo że teoretycznie lepiej zabezpieczone niż szkoły średnie, stanowią łakomy kąsek z powodu danych badawczych, informacji finansowych i niskiego poziomu segmentacji sieci. Dodatkowo, ataki częściej miały miejsce wiosną i latem – w czasie przerw akademickich i urlopów, gdy reakcja na incydenty jest spowolniona. W aż 70 proc. przypadków dostęp początkowy uzyskiwany był przez legalne dane logowania – to kolejny dowód na znaczenie ataków opartych na tożsamości. Ransomware często wykorzystywał także publicznie dostępne aplikacje, które nie były odpowiednio skonfigurowane. Narzędzia przestępców: to, co pod ręką Zamiast niestandardowych malware’ów, przestępcy sięgają po to, co znajdą na atakowanym systemie – tzw. LoLBins (Living-off-the-Land Binaries). Narzędzia takie jak PsExec, PowerShell, RDP, a także open-source’owe frameworki (np. Impacket) są trudne do wykrycia, ponieważ są częścią normalnej pracy systemu. Jednocześnie dają szerokie możliwości eskalacji uprawnień, lateralnego przemieszczenia się po sieci i ukrycia swojej obecności. Coraz częściej obserwuje się także wykorzystanie DonPAPI – narzędzia do zdalnego pozyskiwania haseł przechowywanych lokalnie na wielu komputerach w sieci. W połączeniu z innymi technikami, jak np. Mimikatz do dumpowania haseł z pamięci LSASS, daje to przestępcom kompleksowy dostęp do infrastruktury ofiary. Ataki na MFA – problem numer jeden Mimo że MFA (uwierzytelnianie wieloskładnikowe) pozostaje jedną z najlepszych metod ochrony, Cisco Talos wskazuje, że było ono najczęściej wykorzystywaną luką bezpieczeństwa w 2024 roku. Wśród błędów: brak wdrożenia MFA, MFA w trybie tylko informacyjnym (audit-only), błędna konfiguracja lub skuteczne ataki typu MFA fatigue (zalewanie użytkownika powiadomieniami do momentu zaakceptowania). Co więcej, 24 proc. ataków na MFA dotyczyło aplikacji IAM – takich jak Microsoft 365, Duo Central czy Shibboleth – czyli centralnych elementów zarządzania dostępem w organizacji. To one, źle zabezpieczone, stają się furtką do całej infrastruktury. Sztuczna inteligencja: potencjał jeszcze nie w pełni wykorzystany Mimo obaw przed potęgą AI w cyberprzestępczości, rok 2024 nie przyniósł przełomowych zastosowań tej technologii przez atakujących. Zamiast tworzyć nowe typy zagrożeń, AI wspierała głównie działania socjotechniczne (phishing, deepfake) oraz automatyzację zadań. Generatywne modele językowe były wykorzystywane do pisania realistycznych maili, automatyzacji OSINT czy skryptowania prostych exploitów. Cisco ostrzega jednak, że rok 2025 może być początkiem „agentic AI” – systemów autonomicznych, które samodzielnie realizują cele, podejmują decyzje i mogą przeprowadzać złożone, wieloetapowe ataki bez ciągłej kontroli człowieka. Raport Cisco Talos „Year in Review 2024” nie pozostawia złudzeń: nowoczesne cyberzagrożenia są mniej spektakularne niż jeszcze kilka lat temu, ale za to znacznie trudniejsze do wykrycia. Cyberprzestępcy nie muszą forsować drzwi taranem – wystarczy, że znajdą klucze pod wycieraczką. W 2024 roku tymi kluczami były przede wszystkim dane logowania, słabo zabezpieczone systemy MFA oraz niezałatane podatności, które mimo upływu lat wciąż pozostają aktywne. Jednocześnie Cisco zwraca uwagę na pewien paradoks. W czasach, gdy coraz więcej mówi się o sztucznej inteligencji jako narzędziu zmieniającym świat, to właśnie proste techniki inżynierii społecznej, nadużycia zaufania i błędy konfiguracyjne stanowiły trzon skutecznych kampanii cyberataków. AI była obecna — ale głównie jako narzędzie wspierające phishing, automatyzację i personalizację ataków, nie zaś jako źródło nowych, przełomowych metod. To wszystko prowadzi do prostego, lecz ważnego wniosku: bezpieczeństwo zaczyna się od podstaw. Od regularnych aktualizacji, przez konfigurację MFA, po segmentację sieci i szkolenie użytkowników. Nawet najbardziej zaawansowane technologie obronne nie będą skuteczne, jeśli organizacje nie zadbają o fundamenty. Rok 2025 zapowiada kolejne wyzwania – rozwój agentowych systemów AI, wzrost skali ataków tożsamościowych, a także dalszą profesjonalizację usług dostępnych „as-a-service” na forach darknetu. Ale właśnie dlatego teraz jest czas, by wrócić do podstaw. Bo na froncie cyberbezpieczeństwa nie wygrywa ten, kto ma najwięcej narzędzi – tylko ten, kto wie, jak z nich korzystać. Źródło: Raport Cisco Talos „Year in Review 2024”

TECHNOLOGIA · CYBERBEZPIECZEŃSTWO · BIZNES

Raport Cisco Talos: Jak przestępcy przejmują cybertożsamość

Czytaj więcej

Najnowsze

tSEC w praktyce – działa i wspiera bezpieczeństwo lokalnych sieci

Nowe modele budżetowych spawarek Signal Fire w XBEST.pl

Nowa generacja kabli ADSS już w xbest.pl!

Co ma Outlook, czego brakuje Gmailowi?

Zaprezentuj swoją firmę podczas Zjazdu MiŚOT!

O nas

TECHNOLOGIA · CYBERBEZPIECZEŃSTWO · BIZNES

Raport Cisco Talos: Jak przestępcy przejmują cybertożsamość

Czytaj więcej

ARTYKUŁY POWIĄZANE

Najnowsze

O nas