Eksperci ostrzegają przed ukrytymi kontami administratora w infrastrukturze przedsiębiorstw

black backlit keyboard — Paul Zoetemeijer / Unsplash

Specjaliści ds. bezpieczeństwa zwracają uwagę na rosnące zagrożenie związane z istnieniem niezarządzanych kont administratora, określanych mianem duchowych administratorów, w systemach informatycznych dużych organizacji. Konta te posiadają pełne uprawnienia do zarządzania danymi i kontrolowania dostępu, lecz nie mają przypisanego konkretnego właściciela ani odpowiedniego nadzoru, co czyni je niewidocznymi dla standardowych procedur audytowych.

Zjawisko to często zaczyna się od utworzenia kont usługowych przeznaczonych do automatyzacji zadań, takich jak tworzenie kopii zapasowych w nocy lub generowanie raportów cyklicznych. Problem pojawia się, gdy pierwotni administratorowie opuszczają firmę lub projekty, dla których stworzono te konta, zostają zakończone, a uprawnienia nie są cofane. Pozostawione w systemach zarządzania zadaniami, kodzie źródłowym lub wewnętrznych kanałach komunikacji dane uwierzytelniające stają się łatwym celem dla atakujących, którzy mogą przejąć kontrolę nad katalogiem Active Directory i kluczową infrastrukturą bez wywoływania alertów bezpieczeństwa.

Przyczyny powstawania takich luk leżą często w pośpiesznych procesach operacyjnych, gdzie przyznawanie wysokich uprawnień zwykłym kontom ma na celu szybkie rozwiązanie problemów technicznych. Sytuację pogarsza migracja systemów lokalnych do usług chmurowych, takich jak poczta elektroniczna w chmurze czy Azure Active Directory, gdzie prawa globalnego administratora mogą pozostać aktywne w środowiskach testowych po zakończeniu prac. Brak odpowiedniego czyszczenia uprawnień prowadzi do krytycznych podatności w całej strukturze organizacyjnej.

Raport dochodzeniowy dotyczący naruszeń danych z roku 2026 wskazuje, że około 37 procent badanych organizacji wyłączyło wieloskładnikowe uwierzytelnianie na kontach administratora w infrastrukturze jako usłudze. Dodatkowo analizy przypadków ataków ujawniają, że hakerzy skutecznie przejmowali niezarządzane konta usługowe, które korzystały z łatwych do odgadnięcia haseł początkowych i nie podlegały rotacji ani monitorowaniu wzorców użytkowania.

Eksperci rekomendują przeprowadzenie kompleksowego audytu wszystkich kont usługowych w celu weryfikacji ich rzeczywistego wykorzystania, ze szczególnym uwzględnieniem kont, na które nie logowano się przez ponad dziewięćdziesiąt dni. Zaleca się również wprowadzenie procedury stopniowego odbierania uprawnień, polegającej na zmianie hasła na złożone i tymczasowym zawieszeniu konta na okres od dwóch do trzech miesięcy przed jego trwałym usunięciem. Każde konto systemowe musi mieć wyraźnie określonego właściciela, a tożsamości niebędące ludźmi powinny być zarządzane z taką samą rygorystycznością jak konta pracowników.