Prophet Security: połowa potwierdzonych ataków w kwartale celowała w tożsamość

Prophet Security od 1 maja do 31 lipca 2026 roku badało każdy alert w środowiskach klientów od razu po jego pojawieniu się. Około 93% zakończonych dochodzeń dotyczyło zdarzeń niegroźnych, a 7% potwierdziło złośliwą aktywność. W mniej więcej połowie tych przypadków celem była tożsamość, czyli konta i sesje użytkowników.

Bezpośrednie ataki na konta i sesje stanowiły około 18% potwierdzonych incydentów. Były wśród nich przejmowanie sesji, ponowne użycie tokenów, obchodzenie MFA, credential stuffing oraz utrwalanie dostępu przez reguły skrzynki pocztowej i zgody OAuth. O skuteczności decydowało to, czym atakujący się logował. Próby z hasłem zwykle blokowano: dostęp warunkowy zatrzymywał nawet poprawne hasła wpisywane przez komercyjne VPN z nowych krajów, a MFA odporne na phishing zatrzymywało serwery pośredniczące przechwytujące dane logowania.

Ataki z użyciem sesji już zalogowanej raz za razem się udawały, także w kampaniach phishingowych. Hasło i MFA chroniły więc przed logowaniem, ale nie przed kimś, kto przejął aktywną sesję.