Stolen credentials и phishing през 2026: защо валидният login е най-опасният пробив

Защо валидният login е толкова опасен

През 2026 голяма част от атаките не започват със „счупване“ на система, а с влизане през валиден акаунт. Когато нападателят използва откраднати идентификационни данни, поведението му на пръв поглед прилича на легитимен потребител: има потребителско име, парола, понякога MFA, понякога дори активна сесия. Това затруднява както превенцията, така и откриването.

Точно затова stolen credentials са толкова ефективни. Един успешен login може да отвори достъп до поща, файлове, чатове, облачни конзоли, VPN, вътрешни приложения и SaaS платформи. Оттам следват lateral movement, одобрения на приложения, промяна на правила за поща, източване на данни или подготовка за ransomware.

Ако искате по-широката рамка защо identity е новият attack surface, вижте и Identity is the new attack surface.

Как изглежда credential theft днес

Понятието „откраднати credentials“ вече не означава само открадната парола. На практика рискът включва:

• компрометирани пароли от third-party breach или password reuse;
• фишинг, при който потребителят сам подава данните си на измамна страница;
• откраднати session tokens и активни сесии;
• злоупотреба с OAuth consent и свързани приложения;
• access broker marketplaces, където валидни логини се препродават;
• злоупотреба с неправилно защитени VPN, SSO и SaaS акаунти.

За защитния екип това означава едно: не е достатъчно да следите само неуспешни logins. Трябва да наблюдавате контекста на достъпа, поведението след login и всички промени, които издават takeover.

Защо phishing и password reuse продължават да работят

Phishing остава ефективен, защото атакува хората в момент, в който са под натиск, бързат или очакват рутинно съобщение. Това не е само имейл проблем. Потребителите срещат фалшиви login страници, съобщения за спешна промяна на парола, „verify your account“ кампании и имитации на вътрешни инструменти.

Password reuse също продължава да е сериозен проблем. Един и същ или подобен credential bundle, използван в няколко услуги, дава на нападателя възможност да тества достъп в множество среди. Дори когато една система има MFA, слабите пароли и повторната употреба на идентичности могат да отворят вратата към други приложения, които са по-слабо защитени.

При SaaS и cloud среда това е особено рисково, защото един компрометиран акаунт често има достъп до много данни и интеграции, без да минава през класическа мрежова защита.

Къде са най-рисковите точки: Microsoft 365, Google Workspace, VPN и SaaS

В реални среди най-често засегнати са платформите, през които тече ежедневната работа:

• Microsoft 365 – поща, OneDrive, SharePoint, Teams и свързани enterprise apps;
• Google Workspace – Gmail, Drive, Calendar и трети приложения през Google identity;
• VPN – особено когато липсва device posture проверка или твърде широко право на достъп;
• SaaS платформи – CRM, HR системи, support портали, project management и финансови инструменти.

Компрометиран акаунт в една от тези системи може да доведе до достъп до чувствителни данни, вътрешна комуникация, invoice измами, промени в routing на имейли или злоупотреба с доверени интеграции.

Как access brokers превръщат компрометирания login в бизнес модел

Access brokers играят ролята на посредници между първоначалната кражба и последващата атака. Те събират, валидират и препродават достъп до реални акаунти. Това прави stolen credentials още по-опасни, защото компрометираните logins бързо се превръщат в „услуга“ за други групи.

За организацията това означава по-кратък прозорец за реакция. Ако validation и remediation закъснеят, валидният login може да бъде използван многократно: за разузнаване, изтичане на данни, поставяне на persistence или стартиране на следващ етап от атаката.

Сигнали, че един акаунт може да е компрометиран

Един логин сам по себе си не е доказателство за инцидент. Но в комбинация с други признаци той е силен сигнал за риск. Следете за:

• необичайни локации или невъзможно бързо преместване между географии;
• нова device reputation или непознат браузър/устройство;
• impossible travel, atypical sign-in time или аномална честота на login опити;
• неочаквано одобрение на OAuth приложения или consent към нови apps;
• mail forwarding правила, auto-delete правила или промени в inbox filtering;
• необичайни failed logins, последвани от успешен достъп;
• достъп до данни и услуги, които потребителят рядко използва;
• действия, които не съответстват на стандартния профил на работата му.

В Microsoft 365 и Google Workspace тези сигнали често са първата видима следа, че даден акаунт е под атака или вече е компрометиран.

Как да намалите риска: практичен защитен пакет

Няма една мярка, която да спре credential theft напълно. Работещият подход е комбинация от контроли:

• MFA навсякъде – с предпочитание към по-силни методи и избягване на слаби fallback варианти;
• Conditional access – оценка на контекст, устройство, локация и риск;
• SSO – за да намалите броя на отделните пароли и местата за злоупотреба;
• Password hygiene – уникални, дълги пароли и забрана на повторна употреба;
• Least privilege – да не може един компрометиран акаунт да стигне до твърде много ресурси;
• Security awareness – кратки, регулярни обучения с конкретни примери;
• Monitoring – sign-in logs, audit logs, alerts за abnormal behavior и risky users.

Особено важно е да не разчитате само на MFA. Ако session token бъде използван повторно или ако потребителят даде consent на подозрително приложение, защитата само с парола и еднократен код вече не е достатъчна.

Response при съмнение за account takeover

При подозрение за компрометиран акаунт действайте бързо и последователно:

1. Блокирайте или suspend-нете акаунта временно, ако рискът е висок.
2. Invalidate-нете активни сесии и токени според възможностите на платформата.
3. Сменете паролата и проверете recovery methods, forwarders и delegates.
4. Прегледайте recent sign-ins, OAuth consent, mailbox rules и admin actions.
5. Проверете дали от акаунта са достъпени файлове, поща, SaaS записи или VPN ресурси.
6. Уведомете засегнатите екипи и започнете containment по процес.
7. Запазете logs за анализ и за бъдещо обучение на detection правила.

Ако акаунтът има административни права, приемете, че рискът е по-широк от един потребител. В такива случаи проверката трябва да обхване и други системи, където този идентификатор има доверен достъп.

Как SMB екип може да работи ефективно без голям SOC

Малкият и среден бизнес не се нуждае от enterprise сложност, за да направи реален напредък. Практичен старт включва:

• централизиране на идентичностите в един IdP, когато е възможно;
• включване на MFA за всички критични системи;
• събиране и периодичен преглед на sign-in и audit logs;
• дефиниране на „high-risk accounts“ и по-строг контрол върху тях;
• регулярни access reviews за админ и SaaS роли;
• ясен playbook за подозрителен login и password reset инцидент;
• кратки security awareness кампании с фокус върху имейл и identity риск.

Дори без отделен security екип, един добре подреден процес за откриване и реакция може да свали значително времето до containment.

Заключение

През 2026 stolen credentials и phishing не са просто „потребителски проблем“. Те са директен път към cloud, SaaS, VPN и вътрешни ресурси, където валидният login изглежда като нормална работа. Точно затова защитата трябва да се мисли като identity problem, а не само като имейл или endpoint problem.

Ако искате да оцените риска за вашите акаунти, облачна среда и процеси за реакция, помислете за identity security assessment, cloud security review или кратка security awareness програма, съобразена с реалната ви среда. При съмнение за компрометирани идентичности е добре да проверите и incident response readiness, преди атаката да се превърне в по-широк инцидент.