2026-07-19 · PRZEWODNIK · Zespół Offensive Technology

Co atakujący naprawdę widzą na temat Twojej firmy?

Twoja zewnętrzna powierzchnia ataku to wszystko, co dotyczy Twojej firmy i jest dostępne z publicznego internetu: każda domena, serwer, strona logowania, rekord pocztowy i wycieknięte hasło, które atakujący może znaleźć bez wchodzenia do Twojego biura czy dotykania Twoich laptopów. To mapa, którą atakujący tworzy przed podjęciem jakichkolwiek innych działań, a oto nieprzyjemna prawda: zazwyczaj tworzy ją lepiej niż sama firma, ponieważ ma motywację, podczas gdy firma jest zajęta.

Na co dzień zajmujemy się tworzeniem takiej mapy od strony atakującego. Oto, co zazwyczaj się na niej znajduje, napisane prostym językiem dla założyciela lub CTO, który nigdy wcześniej nie kupował testów bezpieczeństwa.

Subdomeny, o których istnieniu zapomniałeś

Twoja główna strona to www.yourcompany.com. Jednak z biegiem lat firma utworzyła również staging.yourcompany.com, old-demo.yourcompany.com, mikrostronę na potrzeby kampanii z 2022 roku oraz panel, który skonfigurował jakiś podwykonawca. Wszystko to można wykryć publicznie. Logi Certificate Transparency, czyli publiczny rejestr każdego wydanego certyfikatu TLS, pozwalają każdemu wyświetlić subdomeny, dla których wygenerowano certyfikaty, przy użyciu darmowych narzędzi takich jak crt.sh. Nie ma tu żadnego hakowania, to zwykłe wyszukiwanie.

Dlaczego to ma znaczenie: zapomniane subdomeny korzystają z zapomnianego oprogramowania. Serwer testowy z niezałatanym frameworkiem sprzed roku lub instancja demonstracyjna z domyślnym hasłem to realna droga do wnętrza sieci. Co gorsza, jeśli subdomena nadal wskazuje na usługę chmurową, za którą przestałeś płacić, atakujący może czasem przejąć tę usługę i serwować własne treści z Twojej domeny. W branży nazywa się to subdomain takeover i zdarza się firmom każdej wielkości.

Usługi, które nigdy nie powinny być publicznie dostępne

Istnieją wyszukiwarki urządzeń podłączonych do internetu. Shodan, najbardziej znana z nich, stale indeksuje to, co nasłuchuje w publicznym internecie: bazy danych, panele administracyjne, pulpity zdalne, kamerki internetowe, drukarki. Jeśli Twój zespół chociaż na tydzień wystawił bazę danych do debugowania, serwer budowania aplikacji lub wewnętrzny panel, każdy użytkownik wyszukiwarki może to znaleźć.

Najczęstsze grzechy, które widujemy: porty baz danych otwarte na cały świat, pulpit zdalny lub SSH na maszynach, o których nikt nie pamięta, interfejsy administracyjne routerów i firewalli oraz narzędzia CI/CD czy do monitoringu ze słabymi lub domyślnymi danymi logowania. Żadna z tych decyzji nie była podjęta celowo. To pozostałości, a pozostałościami żywią się atakujący.

Twoje hasła pochodzące z wycieków u innych

Gdy usługa zewnętrzna padnie ofiarą wycieku, znajdujące się w niej adresy e-mail i hasła trafiają do publicznych i półpublicznych baz. Atakujący zbierają je i sprawdzają wszędzie indziej, licząc na to, że ludzie ponownie używają tych samych haseł. I ten zakład się opłaca.

Część swoich zagrożeń możesz zobaczyć już teraz: Have I Been Pwned, darmowy publiczny serwis, pozwala sprawdzić, w których wyciekach znajdują się adresy z Twojej domeny. Jeśli pracownik użył służbowego adresu e-mail i powtórzonego hasła do rejestracji w narzędziu, które później zaliczyło wyciek, ta kombinacja może dziś otworzyć dostęp do Twoich rzeczywistych systemów. To żaden egzotyczny scenariusz. Ponowne użycie poświadczeń z dawnych wycieków to jeden z najczęstszych sposobów rozpoczynania prawdziwych włamań i nie wymaga żadnych umiejętności technicznych.

Ustawienia poczty i DNS, które pozwalają podszywać się pod Ciebie

Poczta e-mail ma trzy rekordy ochronne, SPF, DKIM i DMARC, które informują świat, które serwery mogą wysyłać wiadomości w imieniu Twojej domeny oraz co zrobić z pocztą, która nie przejdzie weryfikacji. Są to publiczne rekordy DNS, więc atakujący sprawdza je w kilka sekund. Jeśli brakuje DMARC lub jest skonfigurowany tak, by nic nie robić, wiadomość idealnie podrabiająca Twoją domenę może trafić do skrzynek odbiorczych.

Atak, na który to pozwala, jest przygnębiająco prosty: wiadomość e-mail od kogoś, kto wygląda na Twojego prezesa lub pochodzi z Twojego adresu rozliczeniowego, wysłana do klienta lub Twojej księgowości z prośbą o zmianę danych do płatności. Żaden system nie zostaje zhakowany. Twoja tożsamość została po prostu pożyczona, ponieważ rekord DNS nigdy nie został skonfigurowany.

Co to oznacza w praktyce

Zwróć uwagę, co łączy wszystkie cztery kategorie. Żadna z nich nie wymaga niczego łamać. To obserwacje poczynione na podstawie publicznych danych o rzeczach, które Twoja firma umieściła w internecie i przestała monitorować. Dlatego pytanie „co atakujący mogą o nas wiedzieć” jest lepszym pierwszym pytaniem o bezpieczeństwo niż „czy można nas zhakować”. To drugie ma charakter czysto spekulacyjny. Na pierwsze istnieje konkretna, dająca się zweryfikować odpowiedź.

Jeśli chcesz zacząć samodzielnie, możesz: wypisać swoje subdomeny za pomocą Certificate Transparency, sprawdzić swoje domeny w Shodan, zweryfikować swoją domenę w Have I Been Pwned oraz odczytać własne rekordy SPF i DMARC. Czegoś się dowiesz, a każdy z tych kroków jest całkowicie darmowy.

Gdzie wkraczamy my

Trudność nie polega na wykonaniu tych wyszukiwań. Polega na wiedzy, które z dwustu wyników mają znaczenie, który z nich stanowi rzeczywiste wejście, a które to tylko szum. To kwestia właściwej oceny sytuacji, a ocenę kupujesz, gdy zatrudniasz ludzi, którzy na co dzień zajmują się atakowaniem systemów.

Nasza weryfikacja za $100 to właśnie to zadanie wykonane prawidłowo: skrupulatna analiza Twojej zewnętrznej powierzchni ataku w zakresie, którego własność potwierdziłeś i autoryzowałeś na piśmie, przeanalizowana przez doświadczonego specjalistę, dostarczona w formie priorytetyzowanego raportu i 30-minutowego omówienia, podczas którego żywy człowiek odpowie na Twoje pytania. Nie rozwiąże to wszystkich problemów z bezpieczeństwem. Zakończy jednak zgadywanie, co widzi atakujący, a to właściwe miejsce na start.

Zewnętrzna powierzchnia ataku: szybkie odpowiedzi

Czym jest zewnętrzna powierzchnia ataku?

Wszystko, co dotyczy Twojej firmy i jest dostępne z publicznego internetu: każda domena, serwer, strona logowania, rekord pocztowy i wycieknięte hasło, które atakujący może znaleźć bez wchodzenia do Twojego biura czy dotykania Twoich laptopów. To mapa, którą atakujący tworzy w pierwszej kolejności.

Jak atakujący znajdują subdomeny, o których zapomniałem?

Głównie poprzez rejestry Certificate Transparency, czyli publiczny rejestr każdego wydanego certyfikatu TLS. Darmowe narzędzia, takie jak crt.sh, pozwalają każdemu wyświetlić subdomeny, dla których wnioskowano o certyfikaty. To wyszukiwanie, nie hakowanie.

Czy mogę za darmo sprawdzić moją własną zewnętrzną powierzchnię ataku?

Częściowo. Możesz wypisać subdomeny poprzez Certificate Transparency, sprawdzić swoje domeny w Shodan, zweryfikować swoją domenę w Have I Been Pwned i odczytać własne rekordy SPF i DMARC. Trudna część to nie samo wyszukiwanie, ale wiedza, które z wyników rzeczywiście mają znaczenie.

Czym jest subdomain takeover?

Gdy subdomena nadal wskazuje na usługę chmurową, za którą przestałeś płacić, atakujący może czasem przejąć tę usługę i serwować własne treści z Twojej domeny. Wynika to bezpośrednio z zapomnianego rekordu DNS i przytrafia się firmom każdej wielkości.

Powiązane artykuły

• Jak bardzo 1000 najważniejszych domen jest narażonych na email spoofing? Nasze własne badanie dotyczące tego, kto naprawdę egzekwuje DMARC.
• Ile kosztują testy penetracyjne?
• Weryfikacja, skan czy pełny pentest?