Зловмисники використовують прогалини MFA для доступу до VPN і RDP

Зловмисники продовжують використовувати облікові дані, щоб отримувати доступ до VPN, віддаленого робочого столу RDP та систем Windows, де багатофакторна автентифікація (MFA) не є обов’язковою. У BleepingComputer зазначили, що захист лише хмарних застосунків не усуває ризику для інших шляхів входу до корпоративної мережі.

Атака через SonicWall VPN

За описом у спонсорованому матеріалі Specops Software, 4 серпня 2026 року афілійований з програмою-вимагачем Akira зловмисник розпочав підбір паролів до SonicWall SSL VPN. Приблизно за сім хвилин одна зі спроб була успішною: облікові дані виявилися дійсними, а для VPN-акаунта не була налаштована MFA.

Приблизно через дві години після входу зловмисник використав RDP для доступу до контролера домену та почав збирати дані Active Directory. Розгортання програми-вимагача зрештою не вдалося, однак до того часу атакувальник уже викрав облікові дані та дані з файлових ресурсів.

Паролі залишаються шляхом початкового доступу

У статті наведені дані Mandiant: скомпрометовані легітимні облікові дані були початковим способом доступу у 21% розслідуваних у 2025 році інцидентів із програмами-вимагачами, де вдалося встановити точку проникнення. Найчастіше для цього використовували RDP або VPN. RDP також застосовували для подальшого переміщення мережею приблизно у 85% таких інцидентів.

Автори матеріалу наголошують, що MFA для Microsoft 365, провайдерів ідентифікації та SaaS-сервісів не поширюється автоматично на всі системи, що використовують той самий обліковий запис. Окремого перегляду потребують входи до Windows, RDP, VPN і застарілих сервісів на базі Active Directory, де пароль може залишатися єдиною умовою доступу.

Specops Software рекомендує проводити аудит паролів у Active Directory, виявляти повторно використані, слабкі або скомпрометовані паролі та застосовувати додаткові фактори автентифікації для Windows, RDP і VPN.