اعتبارنامه‌های سرقت‌شده همچنان ابزار مؤثری برای مهاجمان هستند
وقتی مهاجم به اطلاعات ورود یک حساب کاربری معتبر دسترسی پیدا می‌کند، می‌تواند از سازوکارهای احراز هویتی که کارکنان و مدیران مجاز سازمان به کار می‌گیرند، برای دسترسی به منابع شبکه و ادامه فعالیت در محیط آن استفاده کند. هوش مصنوعی (AI) نیز با افزایش سرعت اجرای حملات و امکان گسترش آن‌ها در مقیاس وسیع، این تهدید را جدی‌تر کرده است.
حملات مبتنی بر هویت تفاوت چندانی نکرده‌اند. آن‌ها همچنان با دستیابی به اطلاعات حساب‌های کاربری، استفاده مجدد از اطلاعات ورود سرقت‌شده، افزایش سطح دسترسی (Privilege Escalation) و سوءاستفاده از دسترسی‌های مجاز، به فعالیت‌های مخرب خود در شبکه ادامه می‌دهند. آنچه این تهدید را جدی‌تر می‌کند، نقش هوش مصنوعی در کاهش هزینه و تسهیل اجرای این روش‌های شناخته‌شده در مقیاس گسترده است.
بررسی‌های شرکت مندیانت (Mandiant) درباره حملات باج‌افزاری نشان می‌دهد که دسترسی مهاجمان به اطلاعات ورود معتبر تا چه اندازه می‌تواند حائز اهمیت باشد. طبق یافته‌های این شرکت، در 21 درصد از رخدادهای بررسی‌شده در سال 2025 که منشأ نفوذ اولیه در آن‌ها مشخص شده بود، مهاجمان از اطلاعات ورود معتبرِ سرقت‌شده یا افشاشده برای دسترسی به شبکه استفاده کردند. این نفوذها اغلب از طریق پروتکل RDP یا VPN انجام شده بودند.
پروتکل RDP در مراحل بعدی حملات نیز نقش مهمی ایفا می‌کند. طبق بررسی‌های مندیانت، در حدود 85 درصد از رخدادهای باج‌افزاری بررسی‌شده، مهاجمان با استفاده از حساب‌های کاربری هک‌شده یا حساب‌هایی که خودشان ایجاد کرده بودند، از طریق RDP به سایر سامانه‌های شبکه دسترسی پیدا کردند. این روش که حرکت جانبی در شبکه (Lateral Movement) نام دارد، به مهاجمان اجازه می‌دهد پس از نفوذ اولیه، به سامانه‌های دیگر سازمان نیز دسترسی پیدا کنند.
شناسایی اطلاعات ورود سرقت‌شده در سازمان
احراز هویت قوی به محدودکردن اقداماتی کمک می‌کند که مهاجم می‌تواند با یک رمز عبور سرقت‌شده انجام دهد. بااین‌حال، شناسایی رمزهای عبور ضعیف یا افشاشده پیش از آنکه مورد سوءاستفاده قرار گیرند، همچنان ضروری است. استفاده از یک رمز عبور برای چند سامانه، انتخاب رمزهای ساده و استفاده از رمزهایی که پیش‌تر در پی افشای اطلاعات سازمان‌ها یا سرویس‌های دیگر فاش شده‌اند، احتمال دسترسی غیرمجاز به حساب‌های کاربری سازمان را افزایش می‌دهد.
ممیزی دوره‌ای رمزهای عبور (Password Auditing) یکی از روش‌های بررسی امنیت اکتیو دایرکتوری است. ابزار Specops Password Auditor امکان بررسی اکتیو دایرکتوری برای شناسایی ضعف‌های مرتبط با رمزهای عبور را فراهم می‌کند. این ابزار رایگان و فقط‌خواندنی (Read-only) است و اطلاعات مربوط به حساب‌های کاربری و سیاست‌های رمز عبور را بررسی کرده و نتایج را در قالب گزارشی تعاملی ارائه می‌دهد.
این بررسی به تیم‌های امنیتی کمک می‌کند ضعف‌های رمز عبور را در مبدأ شناسایی و تا حد امکان برطرف کنند تا افشای یک رمز عبور به‌تنهایی برای دسترسی به سامانه‌ها و منابع سازمان کافی نباشد.
چرا احراز هویت چندعاملی ابری لزوماً از تمام زیرساخت ویندوز محافظت نمی‌کند؟
مایکروسافت 365، ارائه‌دهندگان هویت (Identity Providers) و اپلیکیشن‌های SaaS از جمله گزینه‌های واضح برای افزودن فاکتورهای احراز هویت بیشتر هستند؛ زیرا از طریق اینترنت در دسترس قرار دارند و به‌طور مکرر هدف حملات قرار می‌گیرند. بااین‌حال، فعال‌سازی احراز هویت چندعاملی (MFA) در سرویس‌های ابری به این معنا نیست که تمام سامانه‌هایی که از همان هویت کاربری استفاده می‌کنند نیز به این سازوکار مجهز شده‌اند.
برای مثال، ممکن است کاربر هنگام ورود به یک اپلیکیشن SaaS از طریق سامانه هویت سازمانی، ملزم به انجام احراز هویت چندعاملی باشد؛ اما بتواند با استفاده از همان حساب کاربری و تنها با وارد کردن رمز عبور، به سامانه‌ای دیگر دسترسی پیدا کند.
در نتیجه، برخی مسیرهای دسترسی ایمن‌تر از بقیه هستند و همین شکاف، فرصت نفوذ را برای مهاجمان فراهم می‌کند. اتصال VPN نیز می‌تواند یکی از نقاط ضعف امنیتی باشد. حمله باج‌افزاری Akira در ماه آگوست نشان داد که اگر احراز هویت چندعاملی اجباری نباشد، مهاجمان می‌توانند با دستیابی به نام کاربری و رمز عبور معتبر یا حدس زدن آن‌ها از طریق حمله بروت‌فورس (Brute-Force)، از راه دور به شبکه سازمان دسترسی پیدا کنند.
بنابراین، تیم‌های امنیتی باید بررسی کنند که در کدام مسیرهای دسترسی، رمز عبور به‌تنهایی برای ورود کافی است. این بررسی باید شامل ورود به ویندوز، دسترسی از طریق RDP، اتصال VPN و سرویس‌های قدیمی مبتنی بر اکتیو دایرکتوری باشد.
استفاده از احراز هویت چندعاملی در تمام مسیرهای دسترسی
برای رفع این شکاف‌ها، باید احراز هویت قوی‌تر را در تمام مسیرهای دسترسی اعمال کرد و MFA را صرفاً به‌عنوان لایه‌ای محافظتی برای اپلیکیشن‌های ابری در نظر نگرفت.
این موضوع به‌ویژه درباره ورود به ویندوز، دسترسی از طریق RDP و اتصال VPN اهمیت دارد؛ زیرا مهاجمان ممکن است با استفاده از اطلاعات ورود سرقت‌شده اکتیو دایرکتوری، از طریق این مسیرها به شبکه سازمان دسترسی پیدا کنند. راهکارهایی مانند Specops Secure Access با فراهم‌کردن امکان اعمال احراز هویت چندعاملی (MFA) در این مسیرها، از نقاط دسترسی‌ای که معمولاً هدف حملات مبتنی بر اطلاعات ورود سرقت‌شده اکتیو دایرکتوری قرار می‌گیرند، محافظت بیشتری می‌کنند.
همچنین، این شرکت می‌گوید راهکار یادشده می‌تواند با استفاده از پروتکل اتصال OpenID (OIDC) و زبان نشانه‌گذاری تأیید امنیتی (SAML)، امکان ورود یکپارچه (SSO) به اپلیکیشن‌های SaaS را فراهم کند. این قابلیت به هماهنگی بیشتر فرآیند احراز هویت در سرویس‌های داخلی سازمان و محیط‌های ابری کمک می‌کند.
علاوه‌براین، احراز هویت منبعی مفید برای تأمین داده‌های موردنیاز در مانیتورینگ امنیتی است. راهکار Secure Access با یکپارچه‌سازی داده‌های احراز هویت با سامانه‌های مدیریت اطلاعات و رویدادهای امنیتی (SIEM)، مراکز عملیات امنیت (SOC) و پلتفرم‌های تحلیل داده، به شناسایی فعالیت‌های مشکوک و بررسی آن‌ها در چارچوب گسترده‌تر مانیتورینگ امنیتی سازمان کمک می‌کند.
بااین‌حال، امنیت تنها به احراز هویت کاربر محدود نمی‌شود؛ وضعیت امنیتی دستگاهی که از آن برای دسترسی به منابع سازمان استفاده می‌شود نیز باید بررسی شود.
کاهش ریسک ناشی از رمزهای عبور سرقت‌شده
در سال 2026، رمزهای عبور سرقت‌شده همچنان ابزارهایی قدرتمند برای مهاجمان هستند و می‌توانند برای دسترسی به شبکه‌ها و سامانه‌های سازمانی مورد استفاده قرار گیرند؛ به‌ویژه زمانی که اتصال VPN، نشست‌های RDP یا ورود به ویندوز تنها به رمز عبور متکی باشد و به احراز هویت اضافی نیاز نداشته باشد.. بنابراین، فعال‌سازی احراز هویت چندعاملی به‌تنهایی کافی نیست و باید این سازوکار در تمام مسیرهای دسترسی ضروری اعمال شود. محافظت از اپلیکیشن‌های ابری اهمیت دارد، اما مسیرهای دیگری در زیرساخت سازمان ممکن است همچنان تنها با رمز عبور در دسترس باشند و امکان سوءاستفاده مهاجمان از اطلاعات ورود سرقت‌شده را فراهم کنند.
هیچ راهکار امنیتی به‌تنهایی نمی‌تواند مانع همه حملات شود و احراز هویت چندعاملی نیز از این قاعده مستثنا نیست. بااین‌حال، سازمان‌ها می‌توانند با طرح یک پرسش ساده، کارایی اطلاعات احراز هویت سرقت‌شده را برای مهاجمان به‌طور چشمگیری کاهش دهند: رمز عبور هنوز در کدام بخش‌ها به‌تنهایی قابل استفاده است؟
افزودن یک لایه حفاظتی دیگر با استفاده از Secure Access به این نقاط دسترسی، باعث می‌شود مهاجمان نتوانند صرفاً با استفاده از یک اعتبارنامه سرقت‌شده، به‌سادگی به سایر بخش‌های شبکه دسترسی پیدا کنند.
