Heslo nestačí: Identity jsou hlavním vstupem do firemních systémů

Zabezpečení sítí i jednotlivých zařízení je ve firmách na vcelku solidní úrovni. I proto útočníci volí čím dál častěji jiné taktiky útoku, při kterých je tradiční způsoby zabezpečení trápit nemusí. Stačí jim zcizit identitu uživatele, tedy zjednodušeně řečeno ukrást jeho přihlašovací údaje.

Statistiky mluví jasně. Z reportu Identity Defined Security Alliance vyplývá, že se 94 % organizací setkalo s incidentem, který souvisel s digitálními identitami. Tyto typy útoků tak dnes podle bezpečnostních analytiků tvoří drtivou většinu pokusů, ale především i úspěšných průniků do firemních struktur. A hlavně už dávno nejde jen o prosté krádeže uživatelských jmen a hesel. Způsoby kompromitace identit jsou čím dál sofistikovanější a firmy se tomuto trendu musí přizpůsobit, pokud možno okamžitě.

Krádeže identity na vzestupu

Jen v první polovině roku 2025 vzrostl počet útoků zaměřených na identitu o 32 %. Tento nárůst může odrážet rostoucí využívání umělé inteligence útočníky k vytváření velmi přesvědčivých návnad v rámci sociálního inženýrství, což představuje nové výzvy pro detekci a reakci v širokém měřítku.

Je načase změnit chování a rozšířit perimetr

Bezpečnostní strategie firem donedávna vycházela z předpokladu, že uvnitř firemní infrastruktury je prostředí bezpečné, důvěryhodné. Jenže dnes už to jedno jasně definované „uvnitř“ neexistuje. Firmy spravují rozsáhlou síť propojených služeb a uživatelů a uživatelské identity jsou k nim tím zásadním klíčem.

Právě proto útočníky tak lákají. Změnu v chování firem i útočníků přitom přinesly trendy posledních let. K těm patří práce na dálku, možnost využívání vlastních zařízení (bring-your-own-device – BYOD) nebo přesouvání aplikací do cloudu a čím dál častější využívání SaaS nástrojů.

Tradiční bezpečnostní perimetr se tak rozplynul, přičemž identita zůstala stabilním vstupním bodem, který je navíc čím dál častěji využíván v širokém spektru řešení a aplikací. Identita přitom dnes určuje, kdo se dostane k datům, aplikacím a systémům. A proto je pro útočníky tak lákavá.

Získat heslo je účinnější

Útočníci se na identity zaměřují i proto, že je to pro ně často nejjednodušší cesta. Získat cizí přihlašovací údaje bývá v praxi snazší a účinnější než hledat zranitelnosti systémů nebo zkoušet hrubé útoky. Když útočník prolomí tradiční bezpečnostní bariéry, může sice svou aktivitu skrýt, ale vyžaduje to další intenzivní snahu a investice, k odhalení útoku může navíc dojít kdykoli. Po přihlášení legitimními přihlašovacími údaji se z útočníka stává důvěryhodný uživatel, který se skrývat nemusí.

I proto se útočníci v mnoha případech soustředí na uživatele, kteří mají ve firemních strukturách vyšší privilegia a práva: administrátory systémů, aplikací a služeb, ale třeba také uživatele oprávněné pracovat s fakturačními nástroji, bankovnictvím a podobně. Takové útoky mohou přinášet „vetřelcům“ okamžité výsledky, nejsou ale nutností.

I ovládnutí účtů běžných uživatelů může přinést své ovoce, například z hlediska dalšího vytěžování dat a rozšíření příležitostí k phishingu nebo sociálnímu inženýrství. Útočník se jednoduše vydává za legitimního uživatele, může za něj například posílat e-maily a získat tak od jiných uživatelů další citlivá data.

A nejnověji pak útočníci nemusí cílit jen na identity samotných uživatelů – mohou se zaměřit na různé strojové identity a čím dál populárnější agenty. Příležitostí mají spoustu: firmy pracují s API klíči, servisními účty, tokeny a různými automatizovanými procesy. Dnešní doba nahrává tomu, že strojových identit může být ve firmách i násobně více než těch lidských. Společnost CyberArk ve svém reportu 2025 Identity Security Landscape uvádí, že strojové identity převyšují ty lidské v poměru přes osmdesát ku jedné. A tyto identity mohou být velmi slabým místem – mívají široká oprávnění, dlouhou životnost a často minimální dohled.

AI agenti, 1. díl: Pomůžou v diagnostice i administrativě, mají ale svá rizika

Zobrazit

Útočit je vlastně snadné

K získání přístupových údajů využívají útočníci množství metod, z nichž ty nejjednodušší jsou dnes velmi široce dostupné. Na dark webu se dá koupit nejen obrovské množství uživatelských jmen a hesel, ale rovnou také pořídit útok jako službu. A je jedno, jestli jde přímo o útok, kdy se snaží útočníci do firmy proniknout metodami jako password spraying nebo credentials stuffing, což jsou útoky hrubou silou, nebo jestli si pořídí rovnou sofistikované phishingové řešení jako službu.

Jak útočníci pracují

Password spraying

Útok hrubou silou, kdy útočník zkouší použít některé z běžných hesel (například „Heslo1234“) na rozsáhlý seznam uživatelských jmen. Útok nezaplavuje jeden účet tisíci pokusy o uhádnutí hesla (to jde snadno odhalit), ale zaměřuje se na mnoho účtů a u každého provede jen několik pokusů.

Credentials stuffing

Automatizovaný kyberútok, kdy útočníci využívají seznamy ukradených uživatelských jmen a hesel z jiných úniků dat k získání neoprávněného přístupu k dalším účtům. Využívá se zde skutečnosti, že mnoho uživatelů používá stejné přihlašovací údaje na více platformách.

Session hijacking

Útočník odcizí nebo odhadne platný token relace (obvykle uložený jako soubor cookie), aby se vydával za oprávněného uživatele. Jelikož server tento token používá k rozpoznání uživatele po jeho přihlášení, může útočník obejít tradiční bezpečnostní opatření, jako jsou hesla a vícefaktorová autentizace (MFA).

Pomáhá jim samozřejmě i různorodý malware. Ten se dnes už neomezuje jen na prosté odcizení přihlašovacích údajů. Moderní řešení dovedou získávat přihlašovací údaje z prohlížečů a databází pro správu hesel, konkrétní konfigurace VPN a další informace, které usnadňují přístup do interních systémů.

Dvoufaktorové ověření je dobré, ale stačit nebude

Jedním z účinných způsobů ochrany proti krádeži identit jsou moderní metody vícefaktorového ověření. Více než 97 % útoků na identity jsou totiž stále vcelku jednoduché útoky typu password spray či další útoky hrubou silou a vůči těm je vícefaktorová autentizace (multi-factor authentication – MFA) skutečně dobrou obranou.

Útočníci to ovšem vědí. Takže tam, kde neuspějí s jednoduchými metodami, začínají pracovat s pokročilejšími způsoby pokusů o průnik. Jde například o krádeže tokenů nebo přímé útoky na metody vícefaktorového ověření, infrastrukturu a další. 

Podle analýz Cisco Talos se stále častěji objevují útoky zaměřené přímo na MFA. Patří mezi ně phishing, který zachytí jednorázové kódy, session hijacking, kdy útočník převezme aktivní relaci, nebo krádež přístupových tokenů. Významnou roli hraje i takzvaný MFA fatigue, kdy útočník zahlcuje uživatele žádostmi o potvrzení a spoléhá na chybu člověka. Ostatně právě samotní uživatelé z metod vícefaktorového ověření nebývají příliš nadšení. Představují pro ně komplikaci, krok navíc, který je zdržuje. A tím ztrácí určitou ostražitost.

Výsledkem je, že MFA zůstává nutným standardem, ale nemůže být jedinou linií obrany.

S ochranou pomůže metoda nulové důvěry

Musíte tak hledat nové způsoby obrany. Ty naštěstí existují, ale opět jde často o kombinaci více sofistikovaných opatření než o jeden univerzální recept. Jedním z jasných trendů je přihlašování bez hesel. Ta jsou slabým článkem, lidé je opakují, zapisují si je, jsou ochotni je sdílet nebo volí hesla příliš jednoduchá. 

Když heslo neexistuje, nemá v tomto ohledu útočník co ukrást. Využít jde v tomto případě jiné metody ověření, jako například biometrii, hardwarové klíče, kryptografické tokeny v zařízení a další. Passwordless metody navíc většinou zvyšují uživatelský komfort, což zároveň zvyšuje ochotu zaměstnanců dodržovat bezpečnostní opatření. Opět ale nejde o univerzální řešení. Firmy stále musí mít na paměti správu zařízení, ochranu tokenů a celkový kontext přístupu. Musí přijmout takzvanou strategii nulové důvěry (Zero Trust).

Nulová důvěra a maximální bezpečnost. Jak funguje Zero Trust Network Access?

Zobrazit

Ta říká, že v principu nemá firma automaticky důvěřovat nikdy nikomu. Automaticky důvěryhodný není žádný uživatel, ani ten uvnitř firmy. Každý přístup je potřeba ověřit, a to nejen běžnými metodami, ale i vzhledem ke kontextu přístupu. Nestačí tedy jen zadat správné uživatelské jméno a heslo, ověřit se pomocí MFA nebo otisku prstu. 

V rámci této strategie je potřeba sledovat chování uživatele, zařízení, lokalitu, čas i typ aktivity. A pokud něco neodpovídá běžnému vzoru, systém zareaguje. Omezí přístup, vyžádá si další ověření nebo relaci jednoduše ukončí. Způsob přihlášení uživatele se tak může výrazně měnit v závislosti na situaci: když se přihlašuje ze známého, aktualizovaného zařízení v obvyklý čas a ze známé sítě (domácí wi-fi, osobního hotspotu), může být přihlášení jednodušší, jakmile ale dojde k nějaké neobvyklosti (přihlášení v nezvyklý čas, z veřejné wi-fi, z jiné země a podobně), systém může i v několika úrovních „přitvrdit“. Systémy se dají na tyto situace nastavit a vyladit tak, aby uživatele neobtěžovaly, ale poskytly silné zabezpečení.

Po firmách ale tyto moderní metody zabezpečení uživatelských identit proti krádeži vyžadují jejich důslednou implementaci. To je skutečně to jediné, co firmy ochrání.

Co si z článku odnést?

• Útoky na uživatelské identity se staly běžnou praxí.
• Identity jsou pro útočníky velmi atraktivní, stávají se díky nim legitimními uživateli a mají tak široké možnosti k další činnosti.
• Password spraying, credentials stuffing a session hijacking jsou velmi snadné a přitom efektivní typy útoků na identity.
• Základní obranou je vícefaktorové ověřování, ale to do budoucna nestačí.
• Čím dál větší roli v zabezpečení musí hrát takzvaná strategie nulové důvěry.
• Zabezpečení může fungovat jen při důsledné implementaci bezpečnostních řešení a opatření.

Kateřina Dobrá
Marketingový specialista pro B2B

Káťa se věnuje tvorbě článků, O2 CyberCastu a newsletterů na téma kyberbezpečnosti a moderních technologií. Srozumitelně překládá složitá témata do lidské řeči, propojuje technický svět s praxí a ráda jde pod povrch věcí. Zaměřuje se na bezpečnost dat, nové technologické trendy a jejich reálný dopad na firmy i jednotlivce.