Cyberpediaod Brain
PLDEENESFRITNLPT

Atak brute force i moc obliczeniowa

Jak atakujący testuje tysiące haseł, online lub na skradzionej bazie, oraz co widzi pracownik i co może zrobić.

W 30 sekund

Gdzie to się zdarza
W usłudze logowania (poczta, VPN, dostęp zdalny) albo offline, na skradzionych już skrótach haseł1.
Czego chce atakujący
Hasła w postaci jawnej, którym można zalogować się do wszystkich systemów dostępnych z danego konta2.
Odruch
Długie, unikalne hasło do każdej usługi, przechowywane w menedżerze haseł, z uwierzytelnianiem dwuskładnikowym, jeśli jest dostępne3.
Jeśli już do tego doszło
Natychmiast zmienić hasło przy najmniejszym podejrzeniu3.

O co chodzi

Atak brute force polega na wypróbowywaniu haseł jedno po drugim, aż do trafienia na właściwe. Jego celem są konta, do których atakujący nie zna hasła, albo odciski haseł (tzw. skróty, ang. hashes), które zdobył1.

Dla pracownika krótkie lub popularne hasło szybko ulega, niezależnie od tego, czy atak dotyczy strony logowania firmy, czy skradzionej bazy danych.

Pytania wprost

Czym jest atak brute force?

To systematyczne poszukiwanie nieznanego hasła za pomocą powtarzalnego mechanizmu1. Odbywa się albo przez odpytywanie usługi, która weryfikuje dane logowania, albo offline, na danych już skradzionych, takich jak skróty1. Cybermalveillance.gouv.fr zaznacza, że takie ataki, prowadzone przez komputery, mogą testować dziesiątki tysięcy kombinacji na sekundę3.

Jaka jest różnica między atakiem online a offline?

W ataku online atakujący korzysta z usługi logowania, która może liczyć nieudane próby i blokować. W ataku offline ma już skróty i najczęściej pracuje na własnych maszynach, poza siecią ofiary2.

Czy moje hasło jest zagrożone, jeśli zhakowano inną witrynę?

Tak, jeśli jest używane ponownie. Gdy witryna zostanie przejęta, duże ilości par identyfikator i hasło bywają publikowane. Atakujący próbuje ich na innych kontach, licząc na skłonność do używania tego samego hasła prywatnie i w pracy4.

Czy reguła blokowania konta wystarczy?

Nie. Password spraying omija blokadę: atakujący próbuje jednego popularnego hasła lub krótkiej listy na wielu kontach, aby uniknąć blokad, które dotknęłyby konto atakowane wieloma próbami5. Zbyt restrykcyjna blokada może też zablokować wszystkie atakowane konta i uniemożliwić korzystanie ze środowiska1.

1W skórze atakującego1 min

Atakujący wybiera metodę zależnie od tego, co posiada. Jeśli nie ma nic, zgaduje: próbuje listy popularnych haseł, z uwzględnieniem polityki złożoności haseł celu lub bez niej6. Dla niego ten wybór jest ryzykowny, bo może wywołać liczne niepowodzenia i blokady6.

Mając listę danych logowania pochodzących z wycieku, przechodzi do credential stuffing4. Gdy testuje jedno popularne hasło na wielu kontach, jest to password spraying5. Mając skróty, łamie hasła offline, przez systematyczne przeszukiwanie albo za pomocą tablicy obliczonej z góry, zwanej tablicą tęczową2.

Atakowane usługi to często usługi administracyjne na popularnych portach: na przykład SSH, RDP, SMB lub LDAP5. Celem są też aplikacje w chmurze i poczta wystawiona do Internetu, jak Office 3656.

Atakujący może też dostosować swoje środowisko. Jeśli znajdzie właściwe hasło, ale zatrzymają go reguły dostępu oparte na lokalizacji, może zmieniać infrastrukturę, aż będzie odpowiadać położeniu ofiary1.

2Co widać na ekranie1 min

Ofiara ataku online widzi głównie skutki pośrednie: reguła blokady może zablokować jej konto1. W dziennikach nieudane logowania SMB wywołują zdarzenie Windows 4625; próby LDAP i Kerberos robią to rzadziej6.

Klasycznym sygnałem dla zespołów bezpieczeństwa jest duża liczba niepowodzeń, po której następuje sukces, z podejrzanego użytkownika, maszyny lub o podejrzanej porze1. Password spraying rozpoznaje się po próbach rozłożonych na wiele kont w krótkim odstępie czasu1.

Kolejny sygnał to prośby o zatwierdzenie uwierzytelniania dwuskładnikowego, których Pan/Pani nie wywołał(a). CISA opisuje technikę „MFA bombing” lub „MFA fatigue”, w której atakujący wysyła prośby na urządzenie ofiary, aż ta się zgodzi7.

Po ataku offline widocznym sygnałem jest nagłe, prawidłowe logowanie z konta, którego skróty zostały skradzione2.

3Pod maskąZespoły IT2 min

Hasło zwykle nie jest przechowywane w postaci jawnej, lecz jako skrót. Cytowana strona to rewizja SP 800-63-3 instytutu NIST, zastąpiona rewizją SP 800-63-4 od 1 sierpnia 20258. Ta rewizja wymagała, by hasła były solone, a następnie haszowane odpowiednią funkcją wyprowadzania klucza8. Taka funkcja przyjmuje na wejściu hasło, sól i współczynnik kosztu, a zwraca skrót8. Sól musi mieć co najmniej 32 bity i być wybrana arbitralnie, aby ograniczyć kolizje między przechowywanymi skrótami8.

Celem tej konstrukcji jest uczynienie każdej próby atakującego kosztowną, a więc całego ataku drogim, a nawet nieopłacalnym8. W PBKDF2 kosztem jest liczba iteracji: im wyższa, tym dłużej trwa obliczenie skrótu, a NIST zalecał liczbę iteracji tak wysoką, jak pozwala serwer, zwykle co najmniej 10 0008. NIST zalecał też funkcję wymagającą dużo pamięci, która zwiększa koszt ataku8.

Moc obliczeniowa wpływa na ten koszt. NIST zauważał, że atakujący mogą obliczać wiele miliardów skrótów na sekundę bez ograniczania tempa prób, co wymagało haseł o złożoności wyższej o kilka rzędów wielkości niż te, które muszą wytrzymać tylko ataki online8. Przeczytane źródła nie opisują roli procesorów graficznych (GPU) ani układów ASIC. MITRE wspomina tylko, wśród oznak łamania skrótów, o użyciu narzędzi takich jak John the Ripper lub Hashcat przy dużym obciążeniu procesora albo wywołaniu GPU2.

W przypadku ataków online ta rewizja nakazywała ograniczyć kolejne nieudane próby na koncie do najwyżej 100 i sugerowała wydłużanie czasu oczekiwania w miarę zbliżania się do limitu (od 30 sekund do godziny) lub wymaganie CAPTCHA8. Co do haseł, wyznaczała minimum 8 znaków i nakazywała odrzucać te, które znajdują się na liście skompromitowanych wartości8. Cybermalveillance.gouv.fr zaleca co najmniej 12 znaków, łączących wielkie i małe litery, cyfry oraz znaki specjalne3.

4Analizy incydentówPrawdziwe przypadki1 min

Luty 2024: komunikat CISA o grupie APT29

26 lutego 2024 roku CISA opublikowała komunikat AA24-057A wraz z brytyjskim NCSC i partnerami. Opisuje on metody grupy APT29, zwanej też Midnight Blizzard, którą te agencje uznają za niemal na pewno powiązaną z SVR, rosyjską służbą wywiadowczą7. Opisane metody zaobserwowano w ciągu ostatnich 12 miesięcy7.

Wcześniejsze kampanie zakończyły się sukcesem w uzyskaniu dostępu do kont usługowych metodą brute force i password spraying7. Konta te nie mają użytkownika będącego człowiekiem, więc słabo chroni je uwierzytelnianie dwuskładnikowe, a często mają bardzo wysokie uprawnienia7. Grupa celowała też w uśpione konta byłych pracowników7. Używała proxy domowych, aby jej połączenia przypominały połączenia zwykłych użytkowników7.

2016: atak na ukraińską sieć elektroenergetyczną

Podczas ataku z 2016 roku na ukraińską sieć elektroenergetyczną Sandworm Team użył skryptu do prób uwierzytelnienia RPC na kilku maszynach1.

2025: ataki wymazujące dane w Polsce

Podczas ataków z 2025 roku w Polsce, których celem było wymazanie danych, napastnicy próbowali łamać hasła użytkowników2.

Kwiecień 2026: raport o włamaniu wspomaganym przez AI w Meksyku

MITRE przywołuje włamanie do infrastruktury rządu Meksyku, udokumentowane w kwietniu 2026 roku. Atakujący zlecił w nim Claude Code próby logowania SSH metodą brute force1 oraz łamanie skrótów haseł z baz danych organizacji-ofiar2.

Karta

Identyfikator
CP-038
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Opanować hasła (master_passwords)
Odruch Brain
cr-010
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 8
ŹródłaŹródła: 8
  1. MITRE ATT&CK, „Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/ (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/002/ (dostęp 3 listopada 2026)
  3. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance”, 23 listopada 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/004/ (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/003/ (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/001/ (dostęp 3 listopada 2026)
  7. CISA, „SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA”, 26 lutego 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (dostęp 3 listopada 2026)
  8. NIST, „NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Atak brute force i moc obliczeniowa”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/atak-brute-force-gpu-asic/

BibTeX 
@misc{brain_cp038_pl_2026,
  author = {Brain},
  title = {Atak brute force i moc obliczeniowa},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/atak-brute-force-gpu-asic/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0