Phishing zmienia oblicze - cyberprzestępcy coraz częściej kradną dane logowania zamiast pieniędzy

Przeczytaj także: Padłeś ofiarą phishingu? Nie panikuj - działaj zgodnie z tymi zasadami

Cisco Talos opublikowało raport za drugi kwartał 2025 roku. Wynika z niego, że phishing wciąż jest najczęściej wykorzystywaną metodą ataku, choć jego udział spadł z 50 do ok. 33 procent. Eksperci tłumaczą to osłabieniem głośnej kampanii phishingu głosowego (vishingu), która dominowała w pierwszych miesiącach roku. Nadal jednak trzy czwarte kampanii phishingowych bazowało na przejętych, zaufanych kontach e-mail, co pozwalało przestępcom łatwo obchodzić zabezpieczenia.

Co ważne, w tym kwartale phishing nie służył już głównie wyłudzaniu pieniędzy, ale zdobywaniu kolejnych danych logowania. Ofiary trafiały na spreparowane strony logowania, gdzie przestępcy przechwytywali zarówno dane dostępowe, jak i tokeny MFA. Następnie, za pomocą spersonalizowanych kampanii spear phishingowych, sięgali po dane kolejnych użytkowników np. w ramach tej samej organizacji. Brak żądań płatności sprawiał, że maile wydawały się mniej podejrzane, a tym samym bardziej skuteczne.

Zwykle takie działania kojarzą się z atakami typu Business Email Compromise (BEC). Tymczasem obserwacje Cisco Talos pokazują, że cyberprzestępcy coraz częściej traktują zdobyte dane logowania jak towar handlowy, równie cenny jak dane firmowe czy możliwość wymuszeń finansowych.

Ransomware nie odpuszcza

W drugim kwartale 2025 roku, podobnie jak w poprzednim roku, aż połowa analizowanych incydentów miała związek właśnie z tą formą ataku. Na cyberprzestępczej scenie pojawiły się nowe grupy ransomware, takie jak Qilin i Medusa, a nadal aktywni byli też hakerzy z Chaos. Eksperci Cisco Talos ostrzegają, że szczególnie Qilin może wkrótce znacząco zwiększyć swoją aktywność, bo korzysta z metod, których dotąd nikt nie stosował.

Na przykład: grupa ta wykorzystuje infrastrukturę command-and-control Backblaze i narzędzie CyberDuck do wykradania danych – technikę wcześniej niespotykaną w podobnych atakach. Od lutego 2025 roku liczba włamań powiązanych z Qilin podwoiła się, gdy północnokoreańska grupa Moonstone Sleet zaczęła rozprzestrzeniać ich ransomware. Eksperci podejrzewają też, że do Qilin dołączyły odłamy RansomHub, jednego z operatorów ransomware-as-a-service, którego strona wycieków zniknęła z sieci w kwietniu.

Stare narzędzia, nowe zagrożenia

Cisco Talos odkryło, że w jednej trzeciej ataków ransomware cyberprzestępcy sięgają po archaiczną wersję języka skryptowego PowerShell 1.0. To wydanie pozbawione jest kluczowych zabezpieczeń obecnych w nowszych wersjach, takich jak logowanie uruchamianych skryptów, rejestrowanie sesji czy interfejs AMSI, który pozwala antywirusom skanować kod jeszcze przed jego wykonaniem.

Dla atakujących to otwarta furtka. W jednym z incydentów przypisywanych grupie Medusa przestarzały PowerShell umożliwił dodanie katalogu głównego systemu (C:\Windows) do listy wykluczeń antywirusa, co dramatycznie obniżyło poziom ochrony. Dlatego eksperci Cisco Talos apelują: każda organizacja powinna wymusić stosowanie PowerShell w wersji 5.0 lub wyższej na wszystkich systemach.

Edukacja pod największym ostrzałem

W ujęciu globalnym najbardziej dotkniętym sektorem w tym kwartale była edukacja – to wyraźna zmiana względem poprzedniego kwartału, w którym Cisco Talos nie odnotowało ataków na organizacje edukacyjne. Inne sektory często będące celem hakerów w II kw. 2025 r. to produkcja, budownictwo i administracja publiczna.

MFA: włącz i monitoruj

Ponad 40 procent incydentów z drugiego kwartału wiązało się z problemami z uwierzytelnianiem wieloskładnikowym (MFA) - było ono źle skonfigurowane, wyłączone lub obchodzone. Cisco Talos zaleca nie tylko włączanie MFA, ale także jego stałe monitorowanie. Dzięki temu organizacje mogą szybciej wykrywać nadużycia, takie jak używanie kodów obejściowych, dodawanie nowych urządzeń i kont do omijania MFA czy wyłączanie tego mechanizmu w przypadku wybranych kont.