Útočník se může přihlásit ukradenými přihlašovacími údaji, unést autentizovanou relaci, zneužít obnovení účtu, přesvědčit podporu k resetu přístupu nebo změnit autentizační a kontaktní údaje po získání počátečního opěrného bodu.
ATO může postihnout osobní, zaměstnanecké, administrátorské, servisní a dodavatelské účty. Důsledky závisí na oprávněních a vztazích účtu: útočník může ukrást data či finance, zosobnit držitele, schválit transakce, změnit bezpečnostní nastavení, podvést kontakty nebo použít jeden důvěryhodný účet k dosažení jiných systémů. Reakce musí řešit jak obnovení přístupu, tak jakékoli akce provedené přes účet.
Klíčové body
Varovné signályNeznámá přihlášení, změny profilu či obnovy, nové autentizátory, neočekávané zprávy či transakce, přístup z neobvyklé infrastruktury a nevysvětlená ztráta přístupu.
PrevenceKde je to praktické, používejte autentizaci odolnou vůči phishingu, chraňte procesy obnovy a helpdesku, omezte oprávnění, spravujte relace a oznamujte uživatelům citlivé změny.
ReakceOdvolejte relace a tokeny, resetujte či vyměňte dotčené autentizátory, odstraňte neautorizované změny, přezkoumejte aktivitu, zachovejte důkazy a zkontrolujte propojené účty a aplikace.
Důležité omezeníÚspěšné přihlášení není důkazem, že jedná legitimní držitel. Některá převzetí znovu používají platnou relaci či cestu obnovy a proto neprodukují žádnou událost selhaného hesla či MFA.