На 4 август 2026 г. партньор на ransomware групата Akira започва атака тип „разпръскване на пароли“ (password spraying) срещу SonicWall SSL VPN. Около седем минути по-късно един от опитите успява. Идентификационните данни са валидни, а VPN профилът не е защитен с многофакторна автентикация (MFA). Приблизително два часа по-късно атакуващият използва RDP за достъп до домейн контролера и започва изброяване на обектите в Active Directory.

В крайна сметка разгръщането на зловредния софтуер за откуп се проваля, но до този момент атакуващият вече е откраднал идентификационни данни и файлове от споделени мрежови ресурси.

Това подчертава проблем, който все още е често срещан през 2026 г. – дадена организация може да изисква MFA за Microsoft 365 и други SaaS приложения, но същевременно да оставя определени пътища за достъп защитени единствено с пароли. Именно от този пропуск атакуващите редовно се възползват.

Откраднатите идентификационни данни остават ценен инструмент за атакуващите

След като атакуващият получи достъп до валиден акаунт, той може да започне да взаимодейства със средата чрез същите механизми за автентикация, използвани от легитимните служители и администратори. Изкуственият интелект добавя ново измерение към този проблем, като помага на атакуващите да действат с по-висока скорост и в по-голям мащаб.

Основните тактики, насочени към идентичността, остават до голяма степен непроменени: атакуващите все така компрометират самоличности, преизползват данни за вход, ескалират привилегии и злоупотребяват с легитимен достъп. Заплахата се състои в това, че изкуственият интелект прави познатите техники по-евтини и по-лесни за масово прилагане.

Разследванията на инциденти с рансъмуер на Mandiant показват защо това е от такова значение, след като бъдат придобити данни за вход. Компрометираните легитимни идентификационни данни представляват първоначалния вектор за достъп в 21% от инцидентите през 2025 г., при които входната точка е можело да бъде установена – обикновено чрез RDP или VPN.

RDP протоколът се появява често и на по-късен етап от веригата на атаката, като атакуващите са използвали компрометирани или новосъздадени профили през RDP за хоризонтално придвижване в мрежата (lateral movement) при около 85% от разследваните рансъмуер инциденти.

Идентифициране на откраднати идентификационни данни във вашата организация

Надеждната автентикация спомага за ограничаване на възможностите на атакуващия при открадната парола, но все пак е важно уязвимите или рискови данни за вход да бъдат откривани, преди да бъдат използвани. Повторното използване на пароли, изборът на слаби комбинации и идентификационните данни, изтекли при предишни пробиви, увеличават вероятността атакуващият да открие парола, която все още работи някъде в средата.

Това превръща регулярния одит на паролите в полезна част от сигурността на Active Directory. Specops Password Auditor е безплатен инструмент за одит на пароли в режим само за четене, който сканира Active Directory за уязвимости, свързани с паролите, и представя резултатите в интерактивен доклад, обхващащ информация за потребителите и политиките за пароли.

Това дава на ИТ екипите още една възможност да намалят риска, свързан с идентификационните данни, още при източника: да идентифицират слабостите в паролите, да ги отстранят, където е възможно, и да гарантират, че компрометираната парола сама по себе си не е достатъчна за получаване на достъп.

Защитете паролите си в Active Directory със Specops Password Policy

Докладът за разследване на пробиви в сигурността на данните на Verizon (Data Breach Investigations Report) установи, че откраднатите идентификационни данни участват в 44,7% от пробивите. Защитете с лекота Active Directory със съобразени с регулациите политики за пароли, блокирайки над 4 милиарда компрометирани пароли, повишавайки сигурността и намалявайки затрудненията за техническата поддръжка!

Защо облачната MFA не защитава непременно цялата Windows среда

Microsoft 365, доставчиците на самоличност и SaaS приложенията са логични места за добавяне на допълнителни фактори за автентикация, тъй като са достъпни от интернет и често биват атакувани. Проблемът е, че облачната MFA не се разпростира автоматично върху всяка система, която разчита на същата потребителска идентичност.

Потребителят може да се нуждае от MFA за достъп до SaaS приложение през корпоративния доставчик на идентичност, но същият профил все още може да бъде приет на друго място само с парола.

Това създава фрагментирана среда за автентикация, в която някои маршрути са по-добре защитени от други, което оставя пропуск, от който атакуващите да се възползват.

VPN мрежите са друг потенциален пропуск. Както показа атаката на рансъмуера Akira от август, киберпрестъпник, който придобие или отгатне чрез груба сила валидно потребителско име и парола, може директно да превърне тези данни в отдалечен достъп до мрежата, ако MFA не е задължителна.

Затова полезният въпрос за ИТ екипите и екипите по сигурност не е просто дали MFA е внедрена, а къде паролата сама по себе си все още е достатъчна. Входът в Windows, RDP, VPN достъпът и по-старите услуги, базирани на Active Directory, задължително трябва да бъдат включени в този преглед.

Премахване на пропуските в автентикацията

Затварянето на тези пропуски означава прилагане на по-строга автентикация на местата, където на идентификационните данни все още се гласува доверие самостоятелно, вместо MFA да се разглежда като мярка, която стои единствено пред облачните приложения.

Именно тук се вписват решения като Specops Secure Access, които разширяват обхвата на MFA до входа в Windows, RDP и VPN автентикацията. Това осигурява надеждна защита за част от пътищата за достъп, които атакуващите редовно атакуват с откраднати идентификационни данни от Active Directory.

Решението поддържа и SSO за SaaS приложения чрез OIDC и SAML, като помага на организациите да прилагат по-последователен подход за автентикация както за локалните, така и за облачните услуги.

Автентикацията е и ценен източник на телеметрия за сигурността. Specops Secure Access се интегрира със SIEM, SOC и платформи за анализ, което позволява събитията по автентикация и подозрителната дейност да се подават към по-широкия процес на наблюдение.

Защитата на потребителя обаче е само част от картината. Вторият въпрос е дали устройството, което прави заявката, може да се счита за надеждно.

Ограничаване на риска от откраднати пароли

През 2026 г. откраднатите пароли все още са мощен инструмент за атакуващите, ако се приемат от VPN, RDP сесии или Windows системи без допълнителни проверки. Ето защо обхватът на MFA е също толкова важен, колкото и самото ѝ внедряване. Защитата на облачните приложения е важна, но тя не елиминира риска, породен от други пътища за автентикация в средата, които все още разчитат единствено на парола.

Нито една мярка сама по себе си не може да спре всяко проникване и MFA не прави изключение. Но организациите могат да направят кражбата на идентификационни данни далеч по-малко полезна, като си зададат един прост въпрос: къде паролата все още може да се използва самостоятелно?

Добавянето на допълнителен слой защита към тези зони чрез Specops Secure Access гарантира, че една открадната парола няма да се превърне в най-лесния път към останалата част от мрежата.