Nowy raport zespołu reagującego Cisco Talos za drugi kwartał 2026 roku nie pozostawia złudzeń – hakerzy coraz skuteczniej omijają zabezpieczenia, które jeszcze niedawno uchodziły za złoty standard. Aż 65 procent incydentów, do których wzywano ekspertów, wiązało się z obejściem uwierzytelniania wieloskładnikowego (MFA). To skok z 35 procent w poprzednim kwartale. Jednocześnie phishing pozostaje główną bramą do ataku – pojawił się w ponad połowie wszystkich zgłoszeń.
Dlaczego MFA już nie wystarcza? Hakerzy mają na to cztery sposoby
Eksperci Talos IR wskazują na konkretne metody, które pozwalają atakującym przejąć konto pomimo włączonego uwierzytelniania dwuskładnikowego. Najczęściej wykorzystywane to: proxy typu adversary-in-the-middle (AitM), które przechwytuje sesję w czasie rzeczywistym, kradzież tokenów sesyjnych, ataki typu MFA fatigue (zasypywanie ofiary powiadomieniami, aż ta w końcu zaakceptuje logowanie) oraz rejestracja własnych urządzeń przez przestępców. Żadna z tych metod nie wymaga znajomości twojego hasła – hakerzy przejmują sesję, zanim jeszcze klikniesz „potwierdź”.
QR code w PDF-ie – nowa fala ataków na polskie firmy?
Raport opisuje kampanię wymierzoną głównie w australijskie organizacje, ale mechanizm działa uniwersalnie i może być stosowany wszędzie. Od kwietnia 2026 roku grupa nazwana przez badaczy UAT-11764 rozsyła automatycznie generowane pliki PDF z kodem QR. Ofiara skanuje kod, trafia na stronę podszywającą się pod logowanie do Microsoft 365, a po podaniu danych – haker przejmuje konto. Następnie tworzy reguły skrzynki, by ukryć podejrzane maile, i wykorzystuje SharePoint do rozsyłania kolejnych fałszywych wiadomości do kontaktów ofiary.
Platforma ARToken – phishing jako usługa dla każdego
To może być największe zagrożenie dla zwykłych użytkowników. Badacze Talos natknęli się na platformę o nazwie ARToken – powiązaną z wcześniejszym systemem EvilTokens. Dashboard w React pozwala operatorom na dostęp do ponad 80 interfejsów programistycznych (API). Za ich pomocą można przeprowadzić phishing przez kod urządzenia, utrzymać dostęp przez odświeżalne tokeny, wykraść maile czy pliki z SharePoint.
Co najważniejsze – platforma wykorzystuje mechanizm autoryzacji OAuth, który omija MFA bez potrzeby kradzieży hasła. Wystarczy, że ofiara zaloguje się przez fałszywy formularz, a atakujący uzyskuje stały dostęp do jej konta. To nie jest teoria – Talos potwierdza realne przypadki użycia.
Jak się chronić, zanim haker zajrzy do twojej skrzynki?
Raport formułuje kilka konkretnych zaleceń, które możesz wdrożyć od ręki. Po pierwsze – w firmie i w domu blokuj lub oznaczaj podejrzane maile zawierające PDF-y z kodem QR. Po drugie – włącz uwierzytelnianie odporne na phishing (phishing-resistant MFA), np. oparte na kluczach sprzętowych FIDO2, a nie tylko SMS-ach czy aplikacjach z push notifications. Po trzecie – regularnie przeglądaj reguły skrzynki odbiorczej w poszukiwaniu automatycznie utworzonych filtrów (hakerzy często ukrywają w ten sposób swoje działania).
Pamiętaj też o monitorowaniu nietypowego logowania z niestandardowych lokalizacji lub urządzeń. Jeśli masz podejrzenia, że konto mogło zostać przejęte – natychmiast zmień hasło, usuń wszystkie sesje i skontaktuj się z zespołem IT lub wsparciem dostawcy usługi.
Co oznacza ten raport dla ciebie?
Dane za drugi kwartał 2026 roku potwierdzają trend, który od dawna niepokoi specjalistów: uwierzytelnianie dwuskładnikowe w podstawowej formie staje się niewystarczające. Hakerzy celują w mechanizmy, a nie w hasła. Jeśli używasz MFA opartego na push notification lub SMS – jesteś w grupie najczęściej atakowanej. Raport Cisco Talos to sygnał, że czas pomyśleć o silniejszym zabezpieczeniu, zanim zrobi to za ciebie ktoś inny.
