Według raportu Cisco Talos opublikowanego 22 kwietnia słabości MFA występowały w 35% interwencji jego zespołu IR w I kwartale 2026 r. Raport opisuje też, jak omijano tę ochronę: przez rejestrowanie nowych urządzeń na przejętych kontach i alternatywne ścieżki dostępu do Exchange. Dla zarządu to powód, by raport z wdrożenia MFA obok odsetka objętych kont pokazywał wyjątki i rejestrację urządzeń.

Wyobraź sobie biurowiec, w którym recepcja skrupulatnie sprawdza przepustki. Raport dla zarządu podaje, ilu pracowników ma przepustkę, i ta liczba wygląda dobrze. Tyle że osoba, która raz weszła do budynku na cudzą przepustkę, może przy bocznym okienku wyrobić sobie własną, a drzwi od strony rampy w ogóle nie mają czytnika. Recepcja działa, przepustki są wydane, a po korytarzach i tak chodzi ktoś obcy. Ta analogia dobrze oddaje dwa sposoby obchodzenia MFA, które Cisco Talos opisał w raporcie za I kwartał 2026 r. Pierwszy to rejestrowanie nowych urządzeń na kontach już przejętych. Drugi to alternatywne ścieżki dostępu do Exchange, czyli wejście do poczty drzwiami, przy których nikt nie stoi. W obu przypadkach zdanie „mamy wdrożone MFA” może pozostać prawdziwe i jednocześnie niewiele mówić o tym, czy konto jest chronione.

Przejęte konto z nowym urządzeniem omija deklarowaną ochronę

Jak podaje Cisco Talos, słabości MFA występowały w 35% interwencji jego zespołu IR w I kwartale 2026 r. Ta liczba ma jawnie określoną próbę: dotyczy spraw, które trafiły do tego zespołu. Nie mówi, jaki odsetek wszystkich organizacji ma podobne luki. Pokazuje natomiast, że wśród obsłużonych spraw słabe MFA nie było rzadkością, bo pojawiło się w ponad co trzeciej interwencji.

Pierwszy mechanizm z raportu to rejestrowanie nowych urządzeń na przejętych kontach. Logika jest prosta. MFA sprawdza, czy osoba logująca się dysponuje drugim składnikiem, zwykle urządzeniem przypisanym do konta. Jeżeli napastnik, który przejął konto, zdoła dopisać do niego własne urządzenie, kolejne logowania mogą przechodzić kontrolę zgodnie z regułami. System nie zgłasza obejścia, bo z jego perspektywy ktoś przedstawił drugi składnik.

Drugi mechanizm to alternatywne ścieżki dostępu do Exchange, które Talos opisuje jako sposób obchodzenia ochrony. Szczegóły konfiguracji w każdej firmie będą inne, ale wniosek pozostaje wspólny: MFA chroni tę drogę logowania, na której je włączono. Jeżeli do poczty prowadzi więcej niż jedna droga, ochrona jest tak mocna, jak najsłabsza z nich.

Odsetek kont z włączonym MFA pokazuje, gdzie stoi recepcja. Wyjątki i rejestracja urządzeń pokazują, którędy da się ją ominąć.

Odsetek objętych kont nie odpowiada na pytania o urządzenia i Exchange

Jeżeli raport z wdrożenia MFA w twojej firmie kończy się na odsetku objętych kont, zostawia bez odpowiedzi dwa pytania wynikające wprost z opisu Talos.

Pierwsze dotyczy rejestracji urządzeń. Kto może dodać nowe urządzenie do konta i kto się o tym dowiaduje? Jeżeli dodanie urządzenia nie wymaga dodatkowego potwierdzenia, a nikt nie przegląda takich zdarzeń, przejęte konto może dostać nowe urządzenie bez niczyjej reakcji. Procedura mówi wtedy „MFA wymagane”, a praktyka pozwala spełnić ten wymóg urządzeniem napastnika.

Drugie pytanie dotyczy Exchange. Które ścieżki dostępu do poczty wymagają MFA, a które nie? Odpowiedź wymaga listy połączeń sprawdzonej przez administratora. Sama deklaracja polityki jej nie zastąpi, bo polityka opisuje zamierzony stan, a napastnik korzysta ze stanu faktycznego.

Do tego dochodzą wyjątki: konta, usługi lub grupy wyłączone z MFA z powodów technicznych albo biznesowych. Jeżeli takie wyjątki istnieją, raport, który ich nie wymienia, przedstawia ochronę szerszą od rzeczywistej. Wyjątek bez daty wygaśnięcia i bez właściciela trudno odróżnić od stałej luki. Jeśli nikt nie wie, kto o nim zdecydował, nikt też nie zdecyduje o jego zamknięciu.

Rejestracja nowego urządzenia MFA na koncie to zdarzenie bezpieczeństwa i powinna mieć osobę, która je przegląda.

Za wyjątki, rejestrację i logi musi odpowiadać konkretna osoba

Z perspektywy zarządu konfiguracja MFA przekłada się na trzy zakresy odpowiedzialności. Pierwszy to wyjątki, z których każdy powinien mieć właściciela, uzasadnienie i termin przeglądu. Drugi to rejestracja urządzeń, przy której ktoś decyduje, w jaki sposób nowe urządzenie trafia na konto, i ktoś sprawdza, czy takie zdarzenia odpowiadają oczekiwaniom. Trzeci to logi, bo bez zapisów o rejestracji urządzeń i o logowaniach do Exchange trudno po fakcie ustalić, którą drogą wszedł napastnik.

Przegląd zacznijmy od usług dostępnych zdalnie i od kont uprzywilejowanych, bo tam przejęte konto otwiera najwięcej. Mechanizmy opisane przez Talos dotyczą konfiguracji firmowego dostępu, więc pytania o rejestrację urządzeń i o ścieżki do Exchange można zadać w każdej organizacji, która z takich rozwiązań korzysta.

Raport Talos nie zawiera danych dla Polski. Nie wiadomo więc, jak wynik 35% wyglądałby w próbie polskich firm, i nie ma podstaw, by go na nie przenosić. Do własnej oceny lepiej wykorzystać opis mechanizmów niż samą liczbę.

Rozmowę z właścicielem usług IT oprzyjmy na trzech konkretnych listach. Lista wyjątków, zestawienie nowych rejestracji urządzeń i spis ścieżek do poczty pozwalają sprawdzić, czy raport z wdrożenia MFA opisuje stan faktyczny. Jeżeli którejś z tych list nie da się przygotować, to też jest wynik przeglądu, który zarząd powinien znać.

Co z tym zrobić w poniedziałek

  1. Poproś o listę wyjątków od MFA. Dla usług zdalnych i kont uprzywilejowanych zapisz, kogo lub czego dotyczy wyjątek, kto go zatwierdził, z jakiego powodu i do kiedy obowiązuje. Wyjątek bez właściciela albo bez terminu oznacz do decyzji.
  2. Sprawdź rejestracje nowych urządzeń MFA. Poproś administratora o zestawienie urządzeń dodanych w ostatnim miesiącu do kont uprzywilejowanych i ustal, kto przegląda takie zdarzenia w logach. Jeżeli nikt, wyznacz osobę i termin pierwszego przeglądu.
  3. Spisz ścieżki dostępu do Exchange. Razem z administratorem poczty wypisz drogi, którymi użytkownicy łączą się z Exchange, i przy każdej zaznacz, czy wymaga MFA. Ścieżki bez MFA dopisz do listy wyjątków albo do planu ich zamknięcia.

Wynik 35% z interwencji Talos w I kwartale 2026 r. nie mierzy polskiego rynku, ale opisane mechanizmy są na tyle konkretne, że da się je sprawdzić we własnej firmie. Raport z wdrożenia MFA nabiera wartości dopiero wtedy, gdy obok odsetka objętych kont pokazuje wyjątki, nowe rejestracje urządzeń i ścieżki dostępu do poczty. Zarząd, który dostaje sam odsetek, wie wszystko o recepcji i nic o bocznych drzwiach.

Źródła

Redakcja cyberinsight.pl.