Tailgating i piggybacking: wejście bez karty

Intruz wybiera pretekst, który tłumaczy jego obecność. CISA wymienia nowego pracownika, osobę odpowiedzialną za naprawę i badacza¹. Może też działać etapami: jeśli jedna osoba nie udzieli dość informacji, kontaktuje się z drugą w tej samej organizacji i powołuje się na to, co powiedziała pierwsza, by wypaść bardziej wiarygodnie¹. Recepcja, ochroniarz lub przechodzący kolega mogą więc, nieświadomie, poręczyć za kolejną osobę.

Cel bywa różny. Może chodzić o podłożenie sprzętu: MITRE wymienia narzędzia takie jak Bash Bunny czy Raspberry Pi oraz tanie laptopy, podłączone do sieci lokalnej organizacji przez grupę DarkVishnya². Może chodzić o zostawienie nośnika wymiennego, co opisano szerzej niżej³.

W tego rodzaju scenariuszu nie ma podejrzanego ekranu: liczy się sama scena. Poniższa ilustracja jest zmyślona i nie odtwarza żadnego prawdziwego przypadku.

Ilustracja (scena fikcyjna, żaden prawdziwy przypadek)
[Nieznana, uprzejma osoba z pełnymi rękami podchodzi za Panem/Panią
 do drzwi z kontrolą karty i prosi o przepuszczenie.]
[Wyjaśnia, że jest oczekiwana albo że zapomniała karty.]

Pracownik zauważa najpierw zwykłą uprzejmość. Przydatne sygnały są gdzie indziej: osoba nie potrafi udowodnić, kim jest, nie ma wewnętrznego kontaktu, którego mogłaby wskazać, albo nalega. CISA zaleca ostrożność wobec niezamówionych wizyt, telefonów lub e-maili od osób, które interesują się pracownikami lub informacjami wewnętrznymi, oraz weryfikowanie tożsamości osoby powołującej się na jakąś organizację bezpośrednio w tej organizacji¹. W praktyce nie polega się na danych kontaktowych, które osoba podaje sama.

Pierwszy odruch to uprzejma odmowa, a potem odesłanie osoby do recepcji. NCSC zaleca sprawdzanie ważnych próśb otrzymanych e-mailem drugim kanałem komunikacji, w tym potwierdzeniem osobistym⁵. Przeniesiona do drzwi, ta zasada oznacza, że osobę, która mówi, że jest oczekiwana, może zapowiedzieć jej wewnętrzny kontakt.

Następnie trzeba zgłosić zdarzenie. NCSC opisuje kulturę, w której użytkownicy zgłaszają próby ataku, także te, którym ulegli, co informuje organizację o trwających atakach⁵. CISA prosi o powiadomienie właściwych osób w organizacji, w tym administratorów sieci, jeśli ktoś sądzi, że ujawnił wrażliwe informacje, aby mogły obserwować każdą nietypową aktywność¹.

Kontrola dostępu opiera się na kilku warstwach: śluza, karta, recepcja. Każdą można obejść, jeśli osoba uprawniona otworzy przejście. Cytowane tu źródła nie opisują tych mechanizmów szczegółowo. Podają natomiast zabezpieczenia, które mają znaczenie, gdy intruz jest już w budynku.

MITRE zaleca reguły kontroli dostępu do sieci, takie jak certyfikaty urządzeń i standard 802.1x, oraz ograniczenie DHCP do zarejestrowanych urządzeń, aby nieznane urządzenie nie mogło komunikować się z zaufanymi systemami². Zaleca też blokowanie nieznanych urządzeń i akcesoriów przez konfigurację stanowisk i agenta monitorującego².

Co do nośników wymiennych, MITRE wyjaśnia, że telefon podłączony przez USB, także przez niektóre kable ładujące, może zainfekować komputer, zwłaszcza gdy włączona jest funkcja Autorun³. Radzi ograniczyć użycie urządzeń USB i nośników wymiennych w sieci³.

Scattered Spider, wspólny komunikat z 16 listopada 2023 r., zaktualizowany 29 lipca 2025 r.

Komunikat opublikowali FBI, CISA i kilka agencji partnerskich, w tym brytyjskie NCSC⁴. Opisuje on grupę przestępczą, która atakuje duże firmy i ich zleconych dostawców wsparcia IT⁴. Przypadek nie dotyczy włamania fizycznego: to oszustwo przez telefon i SMS. Pokazuje jednak ten sam mechanizm co tailgating, czyli podszywanie się pod zaufaną tożsamość. Grupa podawała się za personel IT lub wsparcia, by zdobyć dane logowania albo skłonić do uruchomienia narzędzi zdalnego dostępu⁴. Aktualizacja z lipca 2025 r. dodaje, że członkowie podszywali się też pod pracowników, aby uzyskać reset hasła⁴.

FIN7 i pendrive'y wysyłane pocztą

MITRE podaje, że aktorzy FIN7 wysyłali pocztą pendrive'y potencjalnym ofiarom. Zawierały one złośliwe oprogramowanie instalujące różne tylne furtki, czasem na potrzeby operacji ransomware³. Niektóre pendrive'y zachowywały się jak wirtualna klawiatura³. Źródło nie podaje daty tego przypadku. Pokazuje on, że fizyczne urządzenie może dotrzeć bez wejścia jakiegokolwiek intruza.