Atakujący może zalogować się skradzionymi poświadczeniami, przejąć uwierzytelnioną sesję, nadużyć odtwarzanie konta, przekonać obsługę wsparcia do zresetowania dostępu lub zmienić dane uwierzytelniające i kontaktowe po uzyskaniu początkowego przyczółka.
ATO może dotyczyć kont osobistych, pracowniczych, administratorskich, serwisowych i dostawców. Konsekwencje zależą od uprawnień i relacji konta: atakujący może kraść dane lub środki, podszywać się pod właściciela, zatwierdzać transakcje, zmieniać ustawienia bezpieczeństwa, oszukiwać kontakty lub używać jednego zaufanego konta do dotarcia do innych systemów. Reakcja musi objąć zarówno odzyskanie dostępu, jak i działania wykonane przez konto.
Najważniejsze punkty
Sygnały ostrzegawczeNierozpoznane logowania, zmiany profilu lub odtwarzania, nowe uwierzytelniacze, nieoczekiwane wiadomości lub transakcje, dostęp z nietypowej infrastruktury i niewyjaśniona utrata dostępu.
PrewencjaTam, gdzie praktyczne, stosuj uwierzytelnianie odporne na phishing, chroń procesy odtwarzania i helpdesku, ograniczaj uprawnienia, zarządzaj sesjami i powiadamiaj użytkowników o wrażliwych zmianach.
ReakcjaUnieważnij sesje i tokeny, zresetuj lub wymień dotknięte uwierzytelniacze, usuń nieautoryzowane zmiany, przejrzyj aktywność, zachowaj dowody i sprawdź powiązane konta oraz aplikacje.
Istotne ograniczenieUdane logowanie nie jest dowodem, że działa legalny właściciel. Część przejęć ponownie używa prawidłowej sesji lub ścieżki odtwarzania i dlatego nie generuje zdarzenia błędnego hasła ani MFA.