--- id: CP-004 slug: atak-aitm-kradziez-tokenu-mfa lang: pl title: Atak AiTM i kradzież tokenu MFA description: Fałszywa strona logowania przekazuje na żywo hasło i kod MFA, a atakujący przejmuje sesję. Jak to działa i jak się chronić. canonical_url: https://startbrain.io/cyberpedia/pl/articles/atak-aitm-kradziez-tokenu-mfa/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/atak-aitm-kradziez-tokenu-mfa.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Atak AiTM i kradzież tokenu MFA”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/atak-aitm-kradziez-tokenu-mfa/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-004 schema: G1 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/atak-aitm-kradziez-tokenu-mfa/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-aitm-vol-jeton-mfa/ en: https://startbrain.io/cyberpedia/en/articles/aitm-attack-mfa-token-theft/ de: https://startbrain.io/cyberpedia/de/articles/aitm-angriff-mfa-token-diebstahl/ es: https://startbrain.io/cyberpedia/es/articles/ataque-aitm-robo-token-mfa/ it: https://startbrain.io/cyberpedia/it/articles/attacco-aitm-furto-token-mfa/ nl: https://startbrain.io/cyberpedia/nl/articles/aitm-aanval-diefstal-mfa-token/ pt: https://startbrain.io/cyberpedia/pt/articles/ataque-aitm-roubo-token-mfa/ sources: - "n": 1 title: "From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud" publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ published: "2022-07-12" accessed: "2026-11-03" - "n": 2 title: "Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/004/ accessed: "2026-11-03" - "n": 3 title: Implementing Phishing-Resistant MFA publisher: CISA url: https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf accessed: "2026-11-03" - "n": 4 title: Passkeys (FIDO2) authentication method in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 accessed: "2026-11-03" - "n": 5 title: Adversary-in-the-Middle, Technique T1557 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1557/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: Steal Web Session Cookie, Technique T1539 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1539/ accessed: "2026-11-03" - "n": 8 title: Multi-factor authentication for your corporate online services publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services published: "2024-09-26" accessed: "2026-11-03" --- # Atak AiTM i kradzież tokenu MFA Wpisuje Pan/Pani hasło, zatwierdza kod z aplikacji uwierzytelniającej i skrzynka pocztowa otwiera się jak zwykle. Strona logowania była jednak fałszywa. W ataku typu „adversary-in-the-middle" (AiTM, atakujący pośrodku) serwer umieszczony między użytkownikiem a prawdziwą usługą przekazuje wszystko na żywo, a atakujący zachowuje przy okazji dowód zalogowania. Tym dowodem jest plik cookie sesji, czyli mały plik, który usługa przekazuje przeglądarce po udanym uwierzytelnieniu. Mając go, atakujący wchodzi na konto, a usługa o nic go już nie pyta. ## W 30 sekund - Gdzie to się zdarza: na stronie logowania do usługi online (poczta, pakiet biurowy online), do której prowadzi link lub załącznik otrzymany w wiadomości e-mail [1]. - Czego chce atakujący: hasła, a przede wszystkim cookie sesji, aby zalogować się w Pana/Pani imieniu mimo uwierzytelniania wieloskładnikowego (MFA) [1]. - Odruch: nie otwierać strony logowania z wiadomości; użyć zakładki w przeglądarce lub adresu wpisanego samodzielnie, a każdą wiadomość, która tam kieruje, zgłosić. - Jeśli już się stało: natychmiast powiadomić dział IT, ponieważ atakujący może działać w skrzynce pocztowej już kilka minut po kradzieży [1]. ## Pytania wprost ### Czy MFA nie chroni przed przejęciem konta? Powstrzymuje wiele zagrożeń. Microsoft pisze, że AiTM nie jest luką w MFA: ponieważ cookie sesji zostaje skradzione, atakujący jest uwierzytelniony zamiast użytkownika, niezależnie od metody logowania, której ten używa [1]. MITRE również zauważa, że użycie skradzionego cookie sesji omija niektóre protokoły MFA, bo sesja jest już uwierzytelniona [2]. ### Jak wygląda zastawiona strona? Jak prawdziwa. Serwer atakującego przekazuje każdą wymianę danych do naśladowanej witryny: strona wizualnie nie różni się od oryginału, a jedyną widoczną różnicą jest adres [1]. Jeśli organizacja spersonalizowała swoją stronę logowania Azure AD, fałszywa strona odtwarza tę samą personalizację [1]. ### Czy sześciocyfrowy kod wystarczy, by się chronić? Nie. CISA opisuje częstą technikę phishingu: wiadomość prowadzi do witryny imitującej portal logowania firmy, a użytkownik wpisuje tam nazwę użytkownika, hasło i 6-cyfrowy kod z aplikacji uwierzytelniającej [3]. ### Jaka ochrona naprawdę wytrzymuje? Klucze i passkeys FIDO2. Microsoft wyjaśnia, że chronią przed podszywaniem się pod weryfikatora: uwierzytelniacz przekazuje swoje sekrety tylko usłudze, w której klucz został zarejestrowany, a nie atakującemu, który się za nią podaje [4]. CISA zalicza FIDO/WebAuthn oraz uwierzytelnianie oparte na infrastrukturze klucza publicznego (PKI) do form MFA odpornych na phishing [3]. ## W skórze atakującego Atakujący nie musi budować fałszywej witryny: uruchamia serwer WWW, który przekazuje pakiety HTTP między ofiarą a atakowaną usługą, w obu kierunkach [1]. Strona zawiera dwie osobne sesje TLS, jedną z ofiarą, drugą z prawdziwą witryną, dzięki czemu z żądań można wyciągnąć hasła i, co ważniejsze, cookie sesji [1]. Tę pracę można zautomatyzować za pomocą zestawów open source. Microsoft wymienia Evilginx2, Modlishka i Muraena [1]. MITRE podaje, że Evilginx2 może służyć jako przekaźnik AiTM między legalną witryną a osobą złapaną na phishing, aby przechwycić dane logowania, tokeny uwierzytelniania i cookie sesji [5]. Po zdobyciu cookie atakujący wstrzykuje je do własnej przeglądarki, by pominąć uwierzytelnianie, nawet gdy MFA celu jest włączone [1]. ## Co widać na ekranie Na początku jest wiadomość. MITRE opisuje e-mail z zainfekowanym linkiem, który służy m.in. do omijania zabezpieczeń sprawdzających załączniki [6]. W kampanii zbadanej przez Microsoft e-mail zawierał załącznik HTML i zapowiadał wiadomość głosową [1]. Strona wyświetlała pasek pobierania wiadomości, ale pasek był wpisany na stałe w pliku: żaden plik audio nie był pobierany [1]. Ofiarę przekierowywano następnie na stronę, która wstępnie wypełniała jej adres e-mail, co zwiększało wiarygodność pułapki [1]. Potem pojawia się strona logowania, kopia portalu Microsoft. Gdy dane logowania zostały wpisane, a uwierzytelnienie się powiodło, ofiara trafiała na prawdziwą stronę office.com [1]. Nic nie sygnalizuje przechwycenia: w tle atakujący już przechwycił dane logowania i z kolei otworzył sesję [1]. Oto zneutralizowana ilustracja formy takiego adresu, pokazująca, że pułapkę zdradza tylko adres: ```text Illustration (adresse neutralisée, inventée pour l'exemple) : hxxps://login[.]exemple-portail[.]invalid/[identifiant de la victime] Page affichée : [copie du formulaire de connexion Microsoft] Adresse attendue : [l'adresse officielle du service, saisie ou enregistrée par vous] ``` ## Pod maską Usługa internetowa otwiera sesję po uwierzytelnieniu, aby nie pytać o tożsamość przy każdej stronie. Sesja opiera się na cookie dostarczonym przez usługę uwierzytelniania, które dowodzi serwerowi, że użytkownik jest zalogowany [1]. MITRE zauważa, że takie cookie często pozostają ważne przez długi czas, nawet gdy aplikacja nie jest aktywnie używana [7]. Atakujący, który je posiada, może zaimportować je do przeglądarki pod swoją kontrolą i zalogować się do aplikacji [2]. W kampanii z 2022 roku cookie zawierały deklarację MFA: atakujący używał ich więc do wejścia na konto mimo polityki MFA organizacji [1]. MITRE podaje też przypadek, w którym APT29 użyło skradzionych cookie do dostępu do zasobów w chmurze oraz sfałszowanego cookie duo-sid do ominięcia MFA na koncie pocztowym podczas włamania SolarWinds [2]. Po stronie obrony CISA porządkuje formy MFA od najsilniejszej do najsłabszej. Jednorazowe kody z aplikacji są podatne na phishing, tak samo jak SMS-y i połączenia głosowe [3]. Powiadomienia push z wpisywaniem liczby są odporne na „push bombing", ale nie na phishing [3]. Według CISA tylko FIDO/WebAuthn jest powszechnie dostępnym uwierzytelnianiem odpornym na phishing [3]. Brytyjskie NCSC poświęca przewodnik najsilniejszym metodom MFA [8]. Microsoft zaleca też polityki dostępu warunkowego, oceniane przy każdej próbie użycia skradzionego cookie (zgodne urządzenie, zaufany adres IP) [1]. ## Analizy incydentów ### Lipiec 2022: kampania wymierzona w ponad 10 000 organizacji 12 lipca 2022 roku Microsoft opublikował analizę szeroko zakrojonej kampanii phishingowej AiTM. Kampania kradła hasła, przejmowała sesje i omijała uwierzytelnianie, nawet gdy MFA było włączone. Według danych Microsoftu próbowała objąć ponad 10 000 organizacji od września 2021 roku [1]. Atakujący naśladowali stronę uwierzytelniania online pakietu Office, używając zestawu Evilginx2 [1]. ### Po kradzieży: oszustwa przelewowe Atakujący używali następnie skradzionych danych logowania i cookie, aby wejść do skrzynek pocztowych i przeprowadzać oszustwa przelewowe (BEC) wobec innych celów [1]. Microsoft zaobserwował, że między kradzieżą a początkiem oszustwa mogło wystarczyć pięć minut [1]. W kolejnych dniach atakujący co kilka godzin przeglądał e-maile i załączniki finansowe, szukał trwających korespondencji, a potem usuwał pierwotny e-mail phishingowy [1]. Następnie tworzył regułę skrzynki odbiorczej, która przenosiła do „Archiwum”, oznaczone jako przeczytane, wiadomości z domeny celu oszustwa, aby właściciel konta niczego nie zauważył [1]. Na koniec odpowiadał w wątkach o płatnościach i fakturach, po czym usuwał swoje odpowiedzi z elementów wysłanych [1]. Raz prowadził kilka prób równolegle z tej samej skrzynki [1]. ## Źródła 1. Microsoft, „From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud”, 12 lipca 2022. https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise”. https://attack.mitre.org/techniques/T1550/004/ (dostęp 3 listopada 2026) 3. CISA, „Implementing Phishing-Resistant MFA”. https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf (dostęp 3 listopada 2026) 4. Microsoft, „Passkeys (FIDO2) authentication method in Microsoft Entra ID”. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Adversary-in-the-Middle, Technique T1557 - Enterprise”. https://attack.mitre.org/techniques/T1557/ (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise”. https://attack.mitre.org/techniques/T1566/002/ (dostęp 3 listopada 2026) 7. MITRE ATT&CK, „Steal Web Session Cookie, Technique T1539 - Enterprise”. https://attack.mitre.org/techniques/T1539/ (dostęp 3 listopada 2026) 8. NCSC (Royaume-Uni), „Multi-factor authentication for your corporate online services”, 26 września 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/atak-aitm-kradziez-tokenu-mfa/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.