Według relacji TechTarget Japan z 29 października 2026 r. w badaniu Act 71,5% ankietowanych firm zetknęło się z nieautoryzowanym dostępem, przejęciem konta lub podejrzeniem takiego zdarzenia. Wśród firm zgłaszających incydent lub podejrzenie 89,8% stosowało uwierzytelnianie wieloskładnikowe (MFA). Jednocześnie część dotkniętych kont miała wyłączone MFA albo problemy z jego konfiguracją.
Act przeprowadził badanie we wrześniu 2026 r. wśród 1 002 osób zajmujących się obsługą Microsoft 365 w prywatnych firmach zatrudniających od 100 do 999 pracowników. Pytanie o incydenty obejmowało okres od września 2025 do września 2026 r.
Na tej stronie
- Wyniki badania na poziomie firm i kont
- Regularne przeglądy ustawień i uprawnień
- Jak sesja może zostać przejęta po uwierzytelnieniu MFA
- Działania po przejęciu konta
Wyniki badania na poziomie firm i kont
Odsetek 89,8% dotyczy firm, natomiast kolejne wyniki odnoszą się do kont, których dotyczył incydent lub jego podejrzenie. To różne jednostki pomiaru.
| Miara | Wynik opisany w badaniu | Zakres |
| Firmy, które zgłosiły nieautoryzowany dostęp, przejęcie konta lub podejrzenie takiego zdarzenia | 71,5% | Badane firmy, okres od września 2025 do września 2026 r. |
| Firmy z incydentem lub podejrzeniem, które stosowały MFA | 89,8% | Firmy |
| Konta z czasowo wyłączonym MFA lub wyłączone z jego zakresu | 43,0% | Dotknięte lub podejrzane konta |
| Konta z problemem dotyczącym metody uwierzytelniania lub ustawień | 21,4% | Dotknięte lub podejrzane konta |
| Dwie raportowane kategorie problemów z MFA łącznie | 64,4% | Dotknięte lub podejrzane konta |
Dwie kategorie dotyczące kont sumują się do 64,4%. Wyniki opisują współwystępowanie incydentów i deklarowanego stanu MFA, a nie przyczynę konkretnych włamań.
Regularne przeglądy ustawień i uprawnień
Według badania 82,6% respondentów korzystało z zaleceń bezpieczeństwa podczas sprawdzania ustawień, a 67,1% było pewnych ich poprawności. Regularne przeglądy deklarowało jednak 32,7%.
Przegląd dostępu warunkowego deklarowało 40,4% badanych, a ochrony kont administratorów 32,2%. Rzadziej kontrolowano uprawnienia aplikacji OAuth, czyli dostęp przyznany aplikacjom zewnętrznym: robiło to 11,0%. Dzienniki audytu lub ustawienia alertów sprawdzało 10,1%.
Integracje narzędzi AI, takich jak Microsoft 365 Copilot, zgłosiło 90,1% badanych firm. Regularny przegląd powiązanych uprawnień prowadziło 29,4%, a regularną inwentaryzację uprzywilejowanych ról, czyli kont z rozszerzonymi uprawnieniami, 38,6%.
Najczęściej wskazywanymi przeszkodami w przeglądaniu zabezpieczeń były niejasne ekrany lub opcje ustawień (32,5%) oraz ryzyko zakłócenia bieżącej pracy lub działania integracji (31,8%). Koszt licencji wyższego poziomu, takich jak Microsoft 365 E5, wymieniło 10,8%.
Jak sesja może zostać przejęta po uwierzytelnieniu MFA
Microsoft opisuje phishing typu adversary-in-the-middle (AiTM), w którym atakujący pośredniczy w prawdziwym procesie logowania i przekazuje użytkownikowi wyzwanie MFA. Gdy użytkownik się uwierzytelni, atakujący może przechwycić cookie sesji, a następnie użyć go do uzyskania dostępu do już uwierzytelnionej sesji bez ponawiania pierwotnego wyzwania.
W odrębnej kampanii Microsoft opisał też wykorzystanie przejętej sesji i słabych zabezpieczeń aktualizacji metod MFA do dodania przez atakującego własnej metody jednorazowego kodu OTP wysyłanego na telefon. Są to mechanizmy opisane przez Microsoft, a nie ustalenia dotyczące incydentów zgłoszonych w badaniu Act.
Anglojęzyczny materiał Elliota Munro przedstawia demonstrację phishingu AiTM i przechwytywania cookie sesji.
Działania po przejęciu konta
W opisie kampanii AiTM Microsoft zalecał zresetowanie danych uwierzytelniających, unieważnienie sesji oraz cofnięcie nieautoryzowanych zmian metod MFA. Sam reset hasła nie obejmuje tych pozostałych działań. Microsoft opisał te kroki w analizie kampanii.
W zaleceniach opublikowanych 18 listopada 2024 r. Microsoft wskazywał metody odporne na phishing, takie jak klucze dostępu (passkeys), uwierzytelnianie certyfikatem i Windows Hello for Business. Wymieniał też klucze bezpieczeństwa FIDO2 oraz dostęp warunkowy jako elementy dodatkowej ochrony. Są to środki ograniczające ryzyko przejęcia tożsamości, niezależne od wyników badania Act. Microsoft omawia te metody w wytycznych dotyczących phishingu AiTM.
