Phishing AiTM: Dlaczego kradzież kodu 2FA i sesji MFA omija tradycyjne zabezpieczenia

Przez lata wdrożenie wieloskładnikowego uwierzytelniania (MFA) uchodziło za ostateczną barierę chroniącą organizacje przed przejęciem kont pracowniczych. Dla dyrektorów bezpieczeństwa informacji (CISO), zespołów IT oraz Zarządów wymuszenie jednorazowego kodu SMS lub powiadomienia push w aplikacji mobilnej było gwarancją neutralizacji niemal wszystkich masowych kampanii phishingowych. Ta pewność traci jednak rację bytu w obliczu gwałtownego wzrostu liczby zaawansowanych ataków typu AiTM (Adversary-in-the-Middle).

Współcześnie pracownik może wzorowo wprowadzić swój login, silne hasło oraz poprawnie zatwierdzić drugi składnik na telefonie, a mimo to bezwiednie oddać cyberprzestępcom pełny dostęp do firmowej skrzynki pocztowej, systemów ERP czy zasobów chmurowych. Atakujący nie tracą już czasu na łamanie skomplikowanych haseł: omijają sam mechanizm autoryzacji. Zrozumienie tego wektora technicznego jest krytyczne dla rewizji strategii obronnej, zwłaszcza w obliczu wymagań dyrektywy NIS 2, nowelizacji ustawy o KSC oraz wytycznych CERT Polska i NASK.

Jak zestaw phishingowy AiTM przechwytuje token sesji mimo aktywnego 2FA?#

Podsumowanie: Zestaw narzędziowy AiTM funkcjonuje jako złośliwe odwrotne proxy (reverse proxy), które w czasie rzeczywistym przekazuje zapytania między ofiarą a autentyczną usługą docelową. W momencie gdy użytkownik zatwierdza kod 2FA, legalny serwer generuje ciasteczko sesyjne, które przestępca natychmiast przechwytuje w locie, uzyskując bezpośredni dostęp do konta.

W przeciwieństwie do klasycznych witryn phishingowych, które jedynie statycznie imitują wygląd formularza logowania w celu zarejestrowania wpisanych znaków, architektura AiTM działa w sposób całkowicie dynamiczny:

• Przekaźnik lustrzany w czasie rzeczywistym: Cyberprzestępca uruchamia serwer proxy pod mylącą domeną. Gdy pracownik klika link w fałszywej wiadomości, serwer atakującego łączy się w tle z prawdziwym portalem uwierzytelniania danej usługi chmurowej i wyświetla go użytkownikowi w niezmienionej postaci.
• Przechwycenie pierwszego składnika: Ofiara wpisuje swój firmowy login oraz hasło. Fałszywy serwer proxy natychmiast przesyła te dane do oficjalnej platformy, która w odpowiedzi generuje standardowe żądanie uwierzytelnienia drugim składnikiem.
• Autoryzacja MFA przez pracownika: Użytkownik otrzymuje na telefonie znany monit autoryzacyjny lub jednorazowy kod z aplikacji i akceptuje go, będąc przekonanym o bezpieczeństwie całej operacji. Z perspektywy pracownika proces wygląda identycznie jak codzienne logowanie.
• Kradzież ciasteczka sesyjnego: Po pomyślnej weryfikacji MFA prawdziwy serwer usługi wystawia plik cookie sesji (session cookie), który podtrzymuje zalogowanie bez konieczności ponownego wprowadzania poświadczeń. To właśnie ten kluczowy token zostaje skradziony przez proxy AiTM, po czym pracownik zostaje przekierowany na neutralną stronę.

Dysponując aktywnym ciasteczkiem sesyjnym, intruz wstrzykuje je do własnej przeglądarki. W ten sposób omija hasło, aplikację uwierzytelniającą oraz ewentualne procedury resetu poświadczeń, wchodząc do środowiska korporacyjnego bez wywoływania standardowych alertów bezpieczeństwa.

Dlaczego standardowe metody 2FA okazują się bezradne wobec kradzieży sesji?#

Podsumowanie: Tradycyjne rozwiązania MFA, takie jak kody SMS, aplikacje generujące kody TOTP oraz zwykłe powiadomienia push, nie wiążą kryptograficznie procesu logowania z domeną docelową. Potwierdzają one tożsamość użytkownika w danym momencie, lecz nie weryfikują autentyczności adresu URL otwieranego w przeglądarce.

Jednorazowe kody przepisywane z ekranu smartfona oraz kody SMS mają wspólną, fundamentalną lukę: ich działanie opiera się na udziale człowieka. Dopóki pracownik widzi ciąg cyfr i przepisuje go w pole formularza, dopóty może zostać zmanipulowany socjotechnicznie, by wprowadzić go na serwerze pośredniczącym.

Ograniczenia powiadomień push oraz kodów TOTP

Nawet mechanizmy dopasowywania liczb (number matching) w powiadomieniach push nie stanowią pełnej ochrony przed AiTM. Odwrotne proxy wyświetla na sfałszowanej stronie dokładnie tę samą liczbę, którą wygenerował legalny serwer tożsamości, a pracownik bez wahania wybiera wskazaną cyfrę na swoim smartfonie.

Konieczność wdrożenia standardu FIDO2 i kluczy Passkeys

Aby trwale wyeliminować podatność na ten typ ataków, sektor cyberbezpieczeństwa przechodzi na metody uwierzytelniania w pełni odporne na phishing (phishing-resistant MFA), bazujące na standardach FIDO2 oraz WebAuthn:

• Kryptograficzne powiązanie z domeną: Podczas autoryzacji FIDO2 (za pomocą fizycznego klucza sprzętowego lub klucza Passkey) przeglądarka komunikuje się bezpośrednio z bezpiecznym modułem kryptograficznym, przekazując dokładny adres URL witryny.
• Automatyczna blokada na fałszywej domenie: Jeśli logowanie następuje na spreparowanej domenie podstawionej przez atakującego, klucz kryptograficzny odmawia podpisania żądania ze względu na niezgodność pochodzenia (origin mismatch). Proxy AiTM nie otrzymuje odpowiedzi, a token sesyjny w ogóle nie powstaje.

Jak w praktyce zabezpieczyć organizację przed atakami AiTM?#

Migracja całej infrastruktury na fizyczne klucze sprzętowe FIDO2 w dużych przedsiębiorstwach wymaga czasu, budżetu oraz koordynacji technicznej. Równolegle z tym procesem CISO i działy IT powinny wdrożyć wielowarstwowe środki mitygujące ryzyko.

Zaostrzenie polityk dostępu warunkowego (Conditional Access)

Skróć czas przydatności skradzionych ciasteczek sesyjnych i zablokuj ich nieuprawnione użycie poprzez rygorystyczne reguły:

• Wymóg urządzeń zgodnych ze standardem (Compliant Devices): Zablokuj możliwość otwierania sesji webowych z urządzeń, które nie są zarządzane przez firmowy system MDM i nie spełniają weryfikacji stanu bezpieczeństwa.
• Weryfikacja anomalii geolokalizacyjnych: Konfiguruj alerty dla niemożliwych podróży (impossible travel), np. logowanie zatwierdzone w Warszawie, po którym następuje aktywność API z innego kontynentu w odstępie kilkunastu sekund.
• Skrócenie czasu życia tokenów: Zredukuj domyślny czas trwania sesji dla krytycznych aplikacji biznesowych, wymuszając regularne odświeżanie tożsamości.

Kształtowanie czujności pracowników weryfikacja adresu URL

Jedynym elementem, którego cyberprzestępca nie jest w stanie w pełni zamaskować w ataku AiTM, jest docelowy adres URL w pasku przeglądarki. Musi on różnić się choćby jednym znakiem lub domeną najwyższego poziomu od autentycznego adresu systemów firmy.

Aby nawyk analizy adresu URL wszedł na stałe do codziennych zachowań każdego pracownika, niezbędny jest systematyczny trening w warunkach kontrolowanych. Dzięki Super Phisher, naszemu zaawansowanemu symulatorowi kampanii phishingowych wdrażanemu wspólnie z ekspertami Brain Security, Państwa zespół zmierzy się z nowoczesnymi scenariuszami ataków, ucząc się bezbłędnej identyfikacji anomalii domenowych przed podaniem jakichkolwiek poświadczeń.

INTERFEJS I DOŚWIADCZENIE BRAIN SECURITY · Super Phisher

Nowoczesna cyberodporność: synergia technologii i czynnika ludzkiego#

Phishing omijający uwierzytelnianie dwuskładnikowe udowadnia, jak dynamicznie ewoluuje arsenał grup przestępczych. Poleganie wyłącznie na tradycyjnych narzędziach bez ciągłego podnoszenia kompetencji kadr rodzi złudne poczucie bezpieczeństwa, co stanowi bezpośrednie zagrożenie dla ciągłości działania biznesu.

Skuteczna strategia obronna wymaga równoczesnego wdrażania standardów FIDO2, precyzyjnej konfiguracji polityk dostępu oraz realistycznego treningu pracowników w obszarze nowej generacji inżynierii społecznej. Chcą Państwo zweryfikować odporność organizacji na zaawansowany phishing i opracować program ćwiczeń dopasowany do wymogów Państwa sektora? Prosimy o kontakt i umówienie spotkania, aby porozmawiać z naszym zespołem i poznać praktyczne metody budowania cyberodporności.

Przeczytaj również: powiązane artykuły i rozwiązania Brain Security#

Powiązane artykuły na ten temat

• Socjotechnika w sieciach zawodowych: Kiedy fałszywa rekrutacja kryje atak na sieć (Phishing & Social Engineering) : Dowiedz się, jak cyberprzestępcy wykorzystują portale zawodowe i fałszywe oferty pracy, aby ominąć zabezpieczenia IT i przejąć dane dostępowe w firmie.
• Wskaznik zgloszen phishingu: dlaczego CISO musi porzucic wskaznik klikalnosci (Phishing & Social Engineering) : Dowiedz sie, dlaczego wskaznik zgloszen phishingu przewyzsza wskaznik klikalnosci, redukujac ryzyko i chroniac organizacje w kilka minut.
• Baiting i zainfekowane pendrive USB: Dlaczego ciekawosc pozostaje groznym wektorem ataku (Phishing & Social Engineering) : Dowiedz sie, jak atak USB baiting omija zabezpieczenia IT i jakie nawyki bezpieczenstwa fizycznego wdrozyc, aby chronic infrastrukture firmy.
• Cyberbezpieczeństwo HR i rekrutacji: Jak wykryć zainfekowane CV i fałszywych kandydatów AI (Industries & Roles) : Dowiedz się, jak chronić zespół HR przed złośliwymi plikami CV, fałszywymi portfolio i kandydatami deepfake wideo podczas rozmów rekrutacyjnych.

Poznaj rozwiązania Brain Security na naszej stronie

• Powiązane rozwiązanie : Super Phisher : Realistyczne symulacje phishingu (Super Phisher): bezpieczny trening rozpoznawania socjotechniki i zgłaszania incydentów.
• Sprawdź przypadki użycia według celów i branż
• Porównaj nasze formaty budowania świadomości cyber i AI
• Zobacz pełny interaktywny katalog Brain Security
• Porozmawiaj o swoich potrzebach z naszym zespołem (demo i wdrożenie)