Айтишники знают про passkeys, но каждое утро вбивают пароль

Yubico и Okta опросили 1890 специалистов по IT и защите данных из девяти стран, и 43% из них до сих пор входят в рабочие аккаунты по логину и паролю. При этом с passkeys хорошо знакомы 87% участников, а письмо человека от текста нейросети правильно отличили только 36%. Профессионалы знают, что пароль служит слабым звеном, и всё равно вбивают его каждый день.

Привычка закладывается на старте, и опрос показывает это в трёх пунктах:

• половина опрошенных получила логин и пароль при устройстве на нынешнюю работу;
• для 52% участников пароль выдал IT-отдел при первой настройке доступа;
• в личных аккаунтах специалисты ставят на первое место пароли, на второе коды из SMS.

Админ вручает новичку ноут, учётку и пароль одним комплектом, и отучить человека от этого дефолта потом сложно. SMS как второй фактор тоже не спасает, ведь если злоумышленник убедит оператора перенести номер жертвы на другую SIM-карту, коды подтверждения начнут прилетать ему. Российским пользователям тема знакома, потому что вход в банки и на популярные сервисы здесь привыкли подтверждать кодами из SMS, и SIM-своп бьёт по ним тоже.

Интересно, что большинство участников считают свои компании безопасными, хотя 43% из них сами входят в рабочие аккаунты по логину и паролю.

В Okta считают, что старые привычки входа оставляют компании уязвимыми, а авторы исследования объясняют самоуверенность оптимистическим искажением, когда специалист по ИБ переоценивает свою способность распознавать угрозы и верит, что знания защищают его от ошибок.

Оценки распространённости фишинга с использованием ИИ разошлись на три лагеря:

• 44% сообщили об успешной ИИ-фишинговой атаке на их организацию за последний год;
• примерно столько же заявили, что подобных случаев не было;
• остальные не смогли ответить.

Цифры отражают мнение сотрудников, а не данные мониторинга. Исследователи показали два письма от HR об обновлении корпоративного справочника, одно написал человек, второе сгенерировал ИИ, и требовалось угадать человеческое. Правильно ответили 36%, большинство остальных решило, что письмо человека тоже написала нейросеть, а часть респондентов не смогла определиться.

Стоит обратить внимание, что тест строился на рядовой рассылке про справочник, и даже её автора большинство не угадало.

Если подготовленный сотрудник не отличает человека от нейросети, рассчитывать на внимательность пользователя всё опаснее. Генеративные модели пишут убедительные тексты, имитируют деловой стиль и подстраиваются под организацию, а странные формулировки и опечатки, по которым раньше палили фишинг, из писем уходят.

С паролем защита держится на поведении человека, от которого требуется выполнить четыре подвига сразу:

• определить настоящий сайт;
• не перейти по поддельной ссылке;
• не ввести пароль на фишинговой странице;
• не использовать одинаковые данные на нескольких ресурсах.

Passkey устроен иначе, потому что криптографический ключ привязан к конкретному сайту и устройству. Браузер и система аутентификации проверяют домен, поэтому поддельный сайт не выпросит тот же секрет, что и настоящий. Сотрудник может купиться на убедительное письмо и открыть фейковую страницу, но получить рабочие учётные данные атакующему гораздо сложнее. Человек подтверждает вход отпечатком пальца, лицом или PIN-кодом, а криптографическая операция остаётся привязанной к настоящему домену, и слабое звено в виде человеческой внимательности частично заменяется автоматической проверкой.

Корпоративная инфраструктура меняется намного медленнее отдельных приложений. В компании крутятся десятки систем с разными механизмами авторизации, часть легаси рассчитана только на пароли, а IT-отдел должен думать о совместимости, восстановлении доступа и управлении аккаунтами. В российских компаниях, где по соседству уживаются самописные порталы, старый VPN и древние бухгалтерские системы, миграция упирается в те же грабли, и знание технологии не равно её применению.

Yubico и Okta предлагают начинать с оформления нового сотрудника и пересобрать вход в четыре шага:

• выдавать новичку устойчивый к фишингу способ входа вместо логина и пароля;
• закрепить его политиками доступа, чтобы система технически требовала защищённый вход;
• проверять состояние устройства перед выдачей доступа;
• продолжать проверки после начала сессии и при росте риска повторно запрашивать подтверждение личности.

Если нейросеть действует от имени сотрудника, одной авторизации пользователя мало, и перед чувствительной операцией система должна проверить разрешение, а человек подтвердить действие физическим ключом или биометрией. Агент ходит сразу в несколько сервисов без постоянного участия человека, и если его полномочия украдут или криво настроят, последствия окажутся серьёзнее утечки одного пароля.

Переход на защиту от фишинга начинается не с очередного тренинга по распознаванию писем, а с решения IT-отдела о том, какой способ входа человек получает в первый рабочий день. Если на ноутбуке уже настроен passkey или аппаратный ключ, сотруднику не приходится выбирать между удобством и защитой.

Эксперты CISOCLUB заявили, что главный вывод опроса лежит за пределами технологий, поскольку passkeys давно работают, а пароль остаётся способом входа по умолчанию. Компании тратят бюджеты на тренинги, пока система выдачи доступа воспроизводит слабое звено на каждом новом ноутбуке. Тест с письмами показал, что надеяться на бдительность людей в эпоху нейросетей рискованно, и защита должна срабатывать независимо от того, поверил сотрудник письму или нет. Российским компаниям разумно начать с инвентаризации систем, которые умеют только пароль, и перевести на passkeys или аппаратные ключи хотя бы админов. Тот, кто выдаёт новичку первый пароль, фактически выбирает уровень защиты компании на годы вперёд.

Ранее сообщалось, что пароль «123456» снова оказался одним из самых слабых вариантов защиты, а среди других популярных комбинаций остаются «123456789», «qwerty» и «password». Злоумышленникам не нужно долго подбирать такие пароли, поскольку наиболее очевидные комбинации уже включены в готовые наборы, рассказал RT кандидат технических наук, доцент кафедры КБ-14 «Цифровые технологии обработки данных» Института кибербезопасности и цифровых технологий РТУ МИРЭА Игорь Котилевец.