Kradzież tożsamości nie-ludzkich stała się najczęstszą ścieżką dostępu cyberprzestępców do infrastruktury przedsiębiorstw, wyprzedzając tradycyjny phishing niemal dwukrotnie. Z badania firmy SpyCloud wynika, że choć 95% organizacji deklaruje posiadanie widoczności maszynowych punktów dostępu, to zaledwie 36% z nich faktycznie je monitoruje. Zignorowanie tego obszaru przekłada się na średni koszt wycieku danych rzędu 4,67 mln USD przy czasie neutralizacji incydentu wynoszącym 246 dni.
Mechanizm przejęcia kontroli i ewolucja wektorów ataku
Tradycyjne mechanizmy obronne zorientowane na kontrole haseł i kont pracowników przestały chronić środowiska firmowe przed nieuprawnionym dostępem. Napastnicy przenieśli punkt ciężkości z łamania poświadczeń ludzkich na przejmowanie aktywnych tokenów sesyjnych, kluczy API oraz kont serwisowych zasilających agenty sztucznej inteligencji. Taka zmiana pozwala na całkowite obejście autoryzacji wieloskładnikowej.
Współczesne architektury chmurowe i systemy automatyzacji opierają się na maszynowych punktach dostępu. W przedsiębiorstwach tożsamości nie-ludzkie (NHI, ang. Non-Human Identities) przewyższają liczbę pracowników osobowych średnio w stosunku 45:1, a w środowiskach natywnie chmurowych proporcja ta sięga 144:1. Skrajne audyty w sektorze finansowym wykazały obecność 4,2 mln tożsamości maszynowych wobec 50 tys. kont pracowniczych. Tylko w ciągu jednego roku do publicznych repozytoriów kodu trafiło 28,65 mln skradzionych poświadczeń, z czego 1,27 mln stanowiły klucze dedykowane narzędziom AI (wzrost o 81% rok do roku).
Napastnicy wykorzystują ramki phishingowe typu Adversary-in-the-Middle (AiTM), takie jak zestaw Tycoon 2FA, do przechwytywania aktywnych ciasteczek sesyjnych. Dane wskazują, że 80% udanych atakami ominięć autoryzacji wieloskładnikowej (MFA) wynika bezpośrednio z kradzieży tokenów sesyjnych, co pozwala na przejęcie konta bez konieczności ponownego logowania.
| Typ tożsamości nie-ludzkiej | Opis i funkcja w infrastrukturze | Przykłady ryzyka i specyfika ataku |
|---|---|---|
| Konta serwisowe (Service Accounts) | Dostęp systemowy do baz danych i procesów w tle. | Brak nadanego właściciela i brak rotacji poświadczeń. |
| Klucze API i Tokeny OAuth | Przepustki do integracji zewnętrznych i SaaS. | Wyciek w repozytoriach kodu (secrets sprawl). |
| Agenci AI i Mikrousługi | Autonomiczne środowiska wykonawcze kodu. | Dynamiczna eskalacja uprawnień w czasie rzeczywistym. |
W bazie danych przejętych przez SpyCloud znajduje się 65,7 mld rekordów tożsamości. W samym 2025 roku zidentyfikowano 8,6 mld skradzionych ciasteczek sesyjnych, 18,1 mln ujawnionych kluczy API oraz 6,2 mln poświadczeń do narzędzi AI.
Skala zjawiska i strukturalna luka w zarządzaniu maszynerią IT
Powszechny brak formalnego nadzoru nad uprawnieniami aplikacji oraz procesów automatyzacji tworzy w organizacjach systemową lukę bezpieczeństwa. Mimo masowej integracji narzędzi sztucznej inteligencji z wewnętrznymi bazami danych, procedury zarządcze nie nadążają za tempem wdrażania nowych rozwiązań. Większość przedsiębiorstw opiera ochronę na fałszywym przekonaniu o posiadaniu pełnej kontroli.
Badanie przeprowadzone na grupie 750 liderów bezpieczeństwa IT w Ameryce Północnej i Europie wykazało, że 68% firm doświadczyło incydentu bezpieczeństwa opartego na tożsamości, ze średnią 8 ataków na dotkniętą organizację. Kompromitacja tożsamości maszynowych (NHI) stanowiła główny wektor inicjalny ataków w 31% przypadków, przewyższając phishing osobowy (17%). Nieuprawnione użycie NHI było najczęściej zgłaszanym incydentem (42%), a 50% firm wskazało nadmiernie uprawnione lub ujawnione konta maszynowe jako stałą ścieżkę naruszeń.
Luka zarządcza ujawnia się w dysproporcji między wdrożeniem technologii a kontrolą:
- 91% organizacji wykorzystuje narzędzia lub agenty AI z dostępem do wewnętrznych systemów i danych.
- 56% firm posiada formalne zasady nadzoru nad uprawnieniami maszynowymi i AI.
- 41% opiera się na nieformalnych procedurach lub częściowym prawie własności.
- 51% przedsiębiorstw na świecie nie ma przypisanego imiennego właściciela do tożsamości AI.
Istnieje znaczący rozstrzał percepcji bezpieczeństwa w zależności od zajmowanego stanowiska i geografii. Kadra zarządzająca (C-suite) wykazuje 66% pewności co do widoczności NHI, podczas gdy operatorzy i analitycy pierwszej linii potwierdzają ten poziom jedynie w 50%. W Wielkiej Brytanii odnotowano najpotężniejszą iluzję kontroli: 53,3% wyższego kierownictwa było przekonanych o pełnej widoczności, podczas gdy rynek ten zanotował najwyższy wskaźnik incydentów na świecie (76,7%).
Analiza sektorowa wykazuje istotne różnice w specyfice incydentów:
- Sektor Administracji Publicznej (Government): najwyższa częstotliwość ataków (92,3% firm dotkniętych) oraz najwyższa średnia liczba incydentów (10 ataków rocznie).
- Sektor Produkcyjny (Manufacturing): niższa częstotliwość incydentów (58%), ale drastyczniejsze skutki biznesowe – 56,9% poszkodowanych firm poniosło utratę zaufania klientów i partnerów.
Dodatkowo 1 na 20 tożsamości maszynowych posiada pełne uprawnienia administracyjne (Full Admin), a 47% poświadczeń NHI nie było modyfikowanych ani rotowanych od ponad roku.
Koszty finansowe, ryzyko łańcucha dostaw i martwe punkty monitoringu
Przejęcie poświadczeń maszynowych prowadzi do długotrwałego utajnienia obecności napastnika w sieci i generuje wysokie koszty finansowe. Równocześnie niekontrolowana ekspozycja zasobów poprzez dostawców zewnętrznych zwielokrotnia ryzyko operacyjne. Większość firm nie dysponuje spójnym procesem weryfikacji usuwania zagrożeń u partnerów biznesowych, co otwiera drogę do kolejnych naruszeń.
Średni koszt wycieku danych spowodowanego przejęciem poświadczeń wynosi 4,67 mln USD, a średni czas wykrycia i neutralizacji zagrożenia (MTTI/MTTC) osiąga 246 dni. Dla porównania, oprogramowanie zbierające dane z zainfekowanych maszyn (infostealers) przekazuje skradzione poświadczenia do sprzedaży na czarnym rynku w czasie poniżej 48 godzin.
Wektor dostawców zewnętrznych (Supply Chain) stanowi narastające zagrożenie. Zidentyfikowane przyczyny incydentów w łańcuchu dostaw obejmują:
- 23%: zainfekowane złośliwym oprogramowaniem urządzenia firm trzecich i partnerów.
- 22%: ujawnione klucze API lub niezabezpieczony dostęp na poziomie aplikacji u dostawców.
Mimo że 32% firm planuje zwiększyć nakłady na zarządzanie ryzykiem dostawców w ciągu najbliższych 12–18 miesięcy, aż 40% organizacji nie posiada stałego procesu potwierdzania, czy dostawca faktycznie usunął wyciek poświadczeń.
Różnice w egzekwowaniu walidacji dostawców są wyraźne na poszczególnych rynkach i w sektorach. Niemcy stanowią wzorzec dojrzałości operacyjnej, gdzie 76% firm aktywnie weryfikuje usunięcie zagrożenia u partnerów. W ujęciu branżowym sektor Telekomunikacyjny waliduje dostawców w 68% przypadków, podczas gdy branża Technologiczna / Software osiąga najgorszy wynik – jedynie 38%.
Zapewnienie aktywnej widoczności skradzionych ciasteczek sesyjnych bezpośrednio przekłada się na poziom bezpieczeństwa: firmy monitorujące ciasteczka sesyjne notują wskaźnik incydentów na poziomie 37%, wobec 50% u firm bez takiego monitoringu. W przypadku urządzeń prywatnych z dostępem firmowym (BYOD) monitoring obniża wskaźnik ataków z 52% do 40%.
Porównanie podejść: dojrzałość operacyjna i automatyzacja
Budowa cyfrowej odporności wymaga odejścia od reaktywnych metod obsługi incydentów na rzecz ciągłego monitorowania ekspozycji i automatyzacji działań naprawczych. Analiza dojrzałości operacyjnej wskazuje jednoznaczną zależność między stopniem automatyzacji procesów a spadkiem częstotliwości udanych ataków. Prawidłowe wdrożenie architektur tożsamości wymaga zastosowania otwartych standardów kryptograficznych i wycofania uprawnień stałych.
Model dojrzałości ochrony tożsamości (Identity Threat Protection Maturity Model) dzieli organizacje na cztery poziomy:
- Poziom Reaktywny (Reactive) – 9% organizacji: Ograniczona widoczność, brak automatyzacji, ręczna remediacja.
- Poziom Budujący (Building) – 37% organizacji: Wdrażanie podstawowych procesów, wysoki wskaźnik wykrywanych incydentów przed wprowadzeniem automatyzacji.
- Poziom Operacyjny (Operational) – 45% organizacji: Powtarzalne procedury, rosnące wykorzystanie automatyzacji (automatyczna remediacja na poziomie 24%).
- Poziom Zoptymalizowany (Optimized) – 9% organizacji: Ciągły monitoring ekspozycji i w pełni zautomatyzowana remediacja na poziomie 81%.
Utrzymywanie ręcznych procedur naprawczych podnosi koszty odpowiedzi na incydenty (39% w organizacjach ręcznych wobec 32% w zautomatyzowanych) oraz zwiększa ryzyko utraty zaufania klientów (47% wobec 36%).
Zgodnie z wytycznymi NIST / NCCoE oraz Cloud Security Alliance (CSA), nowoczesna architektura tożsamości nie-ludzkich musi opierać się na następujących standardach:
- SPIFFE / SPIRE: Kryptograficzne tożsamości obciążeń roboczych (workload identity), zastępujące statyczne klucze API krótkotrwałymi certyfikatami SVID.
- Zero Standing Privilege (ZSP) oraz Just-in-Time (JIT): Eliminacja stałych uprawnień administracyjnych na rzecz dostępu przyznawanego dynamicznie i wygasającego po wykonaniu zadania.
- Model Context Protocol (MCP) i OAuth 2.1: Protokół bezpiecznej komunikacji agentów AI z zewnętrznymi narzędziami i zasobami przy użyciu rozszerzeń OAuth 2.1.
- SCIM i NGAC: Automatyzacja cyklu życia tożsamości (SCIM) oraz polityki dostępu oparte na grafie atrybutów (NGAC).
Wnioski praktyczne i rekomendacje
- Skonfiguruj centralny rejestr tożsamości nie-ludzkich (NHI Registry), katalogujący konta serwisowe, klucze API, tokeny OAuth oraz agenty AI z obowiązkowym przypisaniem imiennego właściciela biznesowego, zakresem uprawnień i harmonogramem ważności.
- Zmierz rzeczywisty poziom widoczności aktywów maszynowych oraz czas rotacji poświadczeń po wykryciu incydentu, celując w skrócenie okna ekspozycji poniżej 24 godzin i eliminację poświadczeń nieużywanych powyżej 90 dni.
- Zweryfikuj procesy audytu dostawców zewnętrznych i wprowadź obowiązek automatycznej walidacji usunięcia wycieków poświadczeń u partnerów handlowych przed przywróceniem dostępu do interfejsów API.
- Wdróż zasady braku stałych uprawnień (Zero Standing Privilege) oraz zautomatyzowaną unieważnialność tokenów sesyjnych, wykorzystując standardy SPIFFE/SPIRE i OAuth 2.1 w zintegrowanych potokach CI/CD oraz środowiskach produkcyjnych AI.
Źródła
- ACCELERATING THE ADOPTION OF SOFTWARE AND AI AGENT IDENTITY AND AUTHORIZATION | NCCoE – NIST
- Compromised Credential Statistics 2026: Stealers and ATO – Stingrai
- NHIs Now the Number One Corporate Entry Point for Hackers – Infosecurity Magazine
- SpyCloud 2026 Identity Threat Report Finds Non-Human Identities
- SpyCloud 2026 Identity Threat Report: Benchmarks & Trends
- SpyCloud’s 2026 Report Highlights Alarming Surge in Non-Human Identity Theft – Reddit
- The Identity Security Challenges Most Organizations Aren’t Prepared For – SpyCloud
- The Non-Human Identity Governance Vacuum – Cloud Security Alliance
Dodaj komentarz