przejęcie konta

Przejęcie konta (account takeover, ATO) to uzyskanie przez atakującego pełnej kontroli nad cudzym kontem, zwykle połączone z odcięciem właściciela przez zmianę hasła, adresu e-mail i metod odzyskiwania. MITRE ATT&CK opisuje wykorzystanie prawidłowych kont jako technikę, dzięki której przeciwnik może uzyskać początkowy dostęp, utrzymać się w systemie, podnieść uprawnienia i uniknąć wykrycia ^[1]. Przejęte konto działa z uprawnieniami właściciela, więc jego użycie trudno odróżnić od zwykłej pracy. Dla strony WordPress najgroźniejsze jest przejęcie konta administratora.

Jak działa

Atak ma dwa etapy: zdobycie środków uwierzytelnienia i utrwalenie kontroli. Pierwszy etap może przebiegać na kilka sposobów, opisanych w tabeli poniżej. Drugi polega na zmianie hasła, adresu e-mail i numeru telefonu, dodaniu własnej metody logowania albo utworzeniu dodatkowego konta, żeby dostęp przetrwał reakcję właściciela.

RYS. 1Przejęcie konta i jego wykorzystanie

Cykl ten opisał CERT Polska w czerwcu 2025 roku przy kampanii grupy UNC1151. Atakujący wykorzystywali podatność CVE-2024-42009 w poczcie Roundcube, która pozwalała wykonać dowolny kod JavaScript w kontekście użytkownika ^[4]. Złośliwy kod przechwytywał próby logowania i wysyłał kopię danych na serwer atakującego ^[4]. Po zalogowaniu na przejętą skrzynkę sprawca analizował jej zawartość i pobierał książkę adresową, a skrzynka służyła do dalszych kampanii ^[4].

Metody

OWASP definiuje credential stuffing jako automatyczne wprowadzanie skradzionych par login i hasło do formularzy logowania ^[2]. Atak działa, bo wielu użytkowników używa tego samego hasła w wielu serwisach, więc dane z jednego wycieku otwierają konta w innych ^[2]. MITRE dodaje, że przeciwnicy chętnie korzystają z nieaktywnych kont, na przykład byłych pracowników, bo nikt nie zauważy nietypowej aktywności ^[1]. Wśród technik szczegółowych MITRE wymienia też użycie kont domyślnych, których hasła fabryczne nie zostały zmienione, oraz kont w usługach chmurowych ^[1]. Dla strony oznacza to, że ryzyko dotyczy nie tylko panelu WordPressa, ale też panelu hostingu, konta u rejestratora domeny i skrzynki pocztowej, na którą przychodzą linki do resetu hasła.

W WordPressie

Dokumentacja WordPressa ostrzega, że atakujący z dostępem do konta administratora może instalować złośliwe skrypty ^[6]. Wbudowany edytor plików motywów i wtyczek jest często pierwszym narzędziem, po które sięga napastnik po zalogowaniu, bo pozwala wykonać kod ^[6]. Przejęcie konta administratora oznacza więc zwykle przejęcie całej strony.

Formularz logowania jest celem ataków siłowych. Poradnik WordPressa odradza nazwę użytkownika admin, zaleca długie, unikalne hasła, menedżer haseł i uwierzytelnianie dwuskładnikowe dla wszystkich administratorów ^[5]. Zwraca też uwagę na xmlrpc.php, częsty cel zgadywania haseł, który warto wyłączyć, jeśli nie jest używany ^[5]; zob. XML-RPC i limit prób logowania.

Drugą ścieżką dostępu są hasła aplikacji, wprowadzone w WordPressie 5.6 do uwierzytelniania żądań do interfejsów API ^[7]. Nie służą do logowania w panelu, ale każde z nich daje dostęp do API z uprawnieniami użytkownika ^[7]. Hasła te mają 24 znaki i są przechowywane w bazie jako skróty ^[7]. Po incydencie należy przejrzeć ich listę na stronie edycji użytkownika i unieważnić nieznane ^[7]. Pomaga w tym informacja o dacie utworzenia i ostatniego użycia każdego hasła, którą WordPress pokazuje w tym samym miejscu ^[7].

Przejęcie może też nie wymagać hasła. W kampanii z grudnia 2023 roku fałszywa wtyczka „łatająca” lukę zakładała ukryte konto administratora wpsecuritypatch ^[8]. Dlatego po każdym podejrzeniu przejęcia sprawdza się listę użytkowników pod kątem nieautoryzowanych kont administratora.

Zagrożenia i skutki

Według MITRE przejęte dane logowania pozwalają ominąć kontrolę dostępu i utrzymać zdalny dostęp do usług takich jak VPN czy poczta ^[1]. Typowe skutki:

• wyłudzenia i phishing wysyłany z zaufanego adresu ofiary ^[4];
• dostęp do danych osobowych, a więc naruszenie ochrony danych osobowych;
• na stronie WordPress: tylna furtka, SEO spam albo złośliwe przekierowanie;
• utrata dostępu przez prawowitego właściciela.

Jak się bronić

Najskuteczniejszym zabezpieczeniem jest uwierzytelnianie wieloskładnikowe; OWASP nazywa je podstawowym środkiem przeciw credential stuffing ^[2]. Nie każda forma jest równie mocna. NIST nie uznaje za odporne na phishing metod, w których użytkownik ręcznie przepisuje kod, bo taki kod nie jest związany z konkretną sesją ^[3]. Od weryfikatorów na poziomie AAL2 wymaga zaoferowania co najmniej jednej opcji odpornej na phishing ^[3], na przykład passkey albo kluczy FIDO2 / WebAuthn. NIST zaleca też sprawdzanie nowych haseł z listą haseł popularnych i ujawnionych w wyciekach ^[3].

Po stronie administratora strony liczą się: zasada najmniejszych uprawnień, usuwanie nieużywanych kont, limit prób logowania i wyłączenie edytora plików. Gdy do przejęcia już doszło, trzeba zmienić hasła i przejrzeć dziennik aktywności konta; takie kroki zalecał CERT Polska po kampanii UNC1151 ^[4]. Na stronie WordPress dochodzi do tego przegląd kont administratorów i haseł aplikacji.