Brute force attack — jak działa i jak skutecznie chronić konta oraz serwery

Brute force attack to atak siłowy polegający na automatycznym testowaniu kolejnych kombinacji znaków aż do trafienia we właściwe hasło lub klucz. Choć brzmi prymitywnie, wciąż odpowiada za znaczącą część udanych włamań na serwery, panele CMS i konta pocztowe, ponieważ ludzie nadal wybierają hasła krótkie, słownikowe i powtarzane w wielu serwisach. Współczesne narzędzia potrafią wysyłać dziesiątki tysięcy prób na sekundę wobec źle skonfigurowanego formularza logowania, a przy dostępie do wykradzionej bazy skrótów — miliardy prób na sekundę na jednej karcie graficznej. Skala problemu rośnie razem z liczbą usług chmurowych, paneli administracyjnych i urządzeń IoT wystawionych bezpośrednio do internetu. Ten materiał wyjaśnia mechanikę ataku, pokazuje realne koszty jego zaniedbania oraz opisuje konkretne warstwy obrony, które można wdrożyć w kilkadziesiąt minut na typowym hostingu współdzielonym, serwerze wirtualnym i w firmowym środowisku biurowym. Każda z tych warstw działa niezależnie, więc awaria jednej nie otwiera napastnikowi drogi do systemu.

Jak przebiega brute force attack krok po kroku

Napastnik zaczyna od rozpoznania: skanuje porty, sprawdza nagłówki odpowiedzi i szuka adresów paneli administracyjnych. Gdy znajdzie formularz logowania bez limitu prób, uruchamia narzędzie pokroju Hydry, Medusy albo własny skrypt podstawiający listy loginów i haseł. Każda odpowiedź serwera — kod HTTP, długość treści, czas reakcji — podpowiada, czy próba była bliska celu.

Tempo zgadywania zależy od tego, gdzie ono zachodzi. Atak prowadzony przez sieć ograniczają opóźnienia łącza i przepustowość, więc rzadko przekracza kilkaset prób na sekundę z jednego adresu. Atak offline na wykradzioną bazę skrótów liczy wszystko lokalnie i jest szybszy o wiele rzędów wielkości, zwłaszcza gdy hasła zapisano słabym algorytmem.

Botnety zmieniają zasady gry. Rozproszenie ruchu na tysiące zainfekowanych routerów, kamer i rejestratorów sprawia, że blokowanie pojedynczego adresu IP przestaje wystarczać, a logi puchną od pozornie niepowiązanych, pojedynczych prób. Dlatego obrona musi opierać się na tożsamości konta i na globalnych licznikach, nie wyłącznie na źródle połączenia.

Atak słownikowy, credential stuffing i password spraying

Czysta siła bywa nieopłacalna, więc napastnicy zaczynają od słowników najpopularniejszych haseł i ich wariantów z podmianą liter na cyfry. Taka lista liczy kilkanaście milionów pozycji i wyczerpuje się w minuty, a skuteczność potrafi sięgać kilku procent kont w przeciętnej organizacji bez wymuszonej polityki haseł.

Credential stuffing wykorzystuje pary login–hasło z cudzych wycieków, licząc na recykling haseł między serwisami. Password spraying odwraca schemat: jedno popularne hasło testowane jest wobec setek kont, dzięki czemu żaden użytkownik nie przekracza progu blokady. Obie techniki omijają naiwne limity prób liczone wyłącznie na poziomie pojedynczego konta.

Panele i usługi najczęściej brane na cel

Logi hostingowe są monotonne: dominują WordPress, port SSH, poczta IMAP i konta FTP. Panel wordpress logowanie pod adresem /wp-login.php oraz plik xmlrpc.php skanowane są praktycznie nieprzerwanie, ponieważ ten system obsługuje ogromną część witryn w sieci, a jego domyślna konfiguracja nie ogranicza liczby nieudanych prób uwierzytelnienia.

Drugą grupą celów są serwery wirtualne. Instancja typu ovh vps za kilkanaście do kilkudziesięciu złotych miesięcznie dostaje publiczny adres IP i już w pierwszej godzinie po uruchomieniu zbiera próby logowania na port 22. Aktywne konto root z hasłem zamiast klucza to zaproszenie, którego boty nie przeoczą.

Trzeci obszar to konta usług biznesowych. Firmy sprawdzają najpierw, jaka jest google workspace cena za użytkownika miesięcznie, a dopiero potem konfigurację zabezpieczeń — tymczasem to drugie decyduje o odporności. Przejęta skrzynka służbowa daje dostęp do dokumentów, dysku współdzielonego i resetu haseł w kilkunastu powiązanych serwisach zewnętrznych.

Osobnym łupem są panele reklamowe i sklepowe. Kontrola nad kontem Google Merchant pozwala podmienić feed produktowy, przekierować ruch zakupowy i wypalić budżet kampanii w jedną noc. Sklep traci wtedy nie tylko pieniądze, lecz także zaufanie klientów, którzy zobaczyli fałszywe ceny, opisy i dane kontaktowe sprzedawcy.

• Port 22 (SSH) — logowanie hasłem, konto root, brak limitu prób
• /wp-login.php i xmlrpc.php — panele CMS bez ograniczeń i bez captcha
• Porty 143/993 i 25 — poczta firmowa oraz stare protokoły bez wsparcia dla MFA
• Panel bazy danych phpMyAdmin wystawiony pod przewidywalnym adresem
• Panele urządzeń sieciowych i kamer z fabrycznymi danymi dostępowymi

Ile trwa złamanie hasła — liczby zamiast intuicji

Odporność hasła opisuje entropia, czyli logarytm liczby możliwych kombinacji. Każdy dodany znak mnoży przestrzeń poszukiwań przez rozmiar zestawu znaków, więc długość daje znacznie więcej niż egzotyczne symbole. Hasło ośmioznakowe z pełnym zestawem znaków ma słabszą ochronę niż czternastoznakowa fraza złożona wyłącznie z małych liter.

Poniższe szacunki zakładają atak offline z wydajnością rzędu dziesiątek miliardów prób na sekundę wobec skrótu obliczanego szybkim algorytmem. Przy nowoczesnych funkcjach spowalniających, takich jak bcrypt czy Argon2 z odpowiednim kosztem, te same czasy wydłużają się o kilka rzędów wielkości i atak przestaje się opłacać.

Wniosek jest jednoznaczny: przejście z ośmiu znaków na dwanaście przesuwa koszt ataku z poziomu dostępnego dla amatora na poziom nieopłacalny nawet dla zorganizowanej grupy. Menedżer haseł generujący losowe ciągi po dwadzieścia znaków rozwiązuje problem raz, bez negocjacji z pamięcią użytkownika.

Ergonomia stanowiska a jakość haseł

Długie hasła i frazy wpisuje się częściej tam, gdzie pisanie jest wygodne. Dobra klawiatura mechaniczna z wyraźnym punktem zadziałania zmniejsza liczbę literówek przy dwudziestoznakowej frazie, a przy okazji ogranicza frustrację, która popycha ludzi do skracania haseł i zapisywania ich na kartce pod biurkiem.

Podobnie działa reszta stanowiska. Klawiatura gamingowa mechaniczna z programowalnymi makrami kusi, by zapisać w nich dane logowania — to praktyka, której należy unikać, bo makra przechowywane są jawnie. Kompaktowa klawiatura mechaniczna 60 procent wymusza kombinacje klawiszy dla cyfr, co u części osób realnie skraca wybierane hasła.

Warto też pamiętać o ekspozycji fizycznej. Duży monitor do komputera ustawiony tyłem do przejścia w open space to podręcznik podglądania haseł, a tablet graficzny wacom podłączony do stacji ze wspólnym kontem gościnnym potrafi zostawić w systemie sterowniki działające z nadmiernymi uprawnieniami administratora.

Warstwy obrony, które realnie zatrzymują atak siłowy

Pierwszą warstwą jest uwierzytelnianie wieloskładnikowe. Kod TOTP z aplikacji, a najlepiej klucz sprzętowy w standardzie FIDO2 za sto kilkadziesiąt do trzystu złotych, sprawia, że samo odgadnięcie hasła nie wystarcza. Klucz sprzętowy dodatkowo blokuje phishing, bo weryfikuje domenę, do której się loguje użytkownik.

Druga warstwa to ograniczanie tempa. Fail2ban czytający logi i blokujący adresy po pięciu nieudanych próbach, opóźnienia rosnące wykładniczo oraz captcha po trzeciej pomyłce redukują skuteczność botów niemal do zera. Limity powinny działać zarówno na konto, jak i na adres źródłowy oraz na całą usługę.

Trzecia warstwa dotyczy dostępu do serwera. Wyłączenie logowania hasłem na SSH, przejście na klucze ED25519, zmiana domyślnego portu i dopuszczenie połączeń tylko z listy adresów lub przez sieć VPN eliminują cały klasyczny wektor. Konto root powinno pozostać nieaktywne dla logowania zdalnego.

Czwarta warstwa to monitoring. Alerty o serii nieudanych logowań, o udanym logowaniu z nietypowego kraju oraz o utworzeniu nowego konta administratora skracają czas reakcji z tygodni do minut. Brute force attack trwający tygodniami w tle to najczęściej efekt braku jakiegokolwiek powiadomienia, nie braku narzędzi.

Koszty ataku: bezpieczeństwo, widoczność i reputacja

Przejęta witryna rzadko zostaje po prostu skasowana. Napastnik wstrzykuje ukryte podstrony, przekierowania mobilne i linki wychodzące do obcych serwisów, co bezpośrednio uderza w pozycjonowanie strony. Wyszukiwarka indeksuje spam, obniża ocenę zaufania do domeny, a spadki ruchu bywają odczuwalne jeszcze wiele miesięcy po usunięciu kodu.

Gdy zostanie wykryte złośliwe oprogramowanie, przeglądarki wyświetlają czerwony ekran ostrzegawczy, a pozycjonowanie strony w google zaczyna się od żmudnego procesu: usunięcia infekcji, przeglądu wszystkich kont, prośby o ponowne sprawdzenie i odbudowy zaufania. Koszt tej operacji zwykle wielokrotnie przewyższa wydatek na zabezpieczenia prewencyjne.

Dlatego bezpieczeństwo należy traktować jako element wyceny, a nie dodatek. Solidne projektowanie stron internetowych obejmuje politykę haseł, wymuszone MFA dla redaktorów, kopie zapasowe odtwarzane testowo raz na kwartał i plan reakcji na incydent. Te pozycje kosztują niewiele przy budowie, a ratują budżet po pierwszym poważnym incydencie.

Jak rozpoznać, że witryna jest celem brute force attack?

Najpewniejszym sygnałem są logi serwera: setki lub tysiące wpisów z kodem odpowiedzi 401 albo 403 na jednym adresie logowania, często w regularnych odstępach i z powtarzalnym nagłówkiem klienta. Charakterystyczne jest też nagłe obciążenie procesora bez wzrostu ruchu organicznego oraz wolniejsze ładowanie panelu administracyjnego przy normalnie działającej stronie publicznej. Warto sprawdzić rozkład geograficzny prób — rozrzucenie na dziesiątki krajów wskazuje na botnet. W panelu poczty niepokoić powinny nieudane logowania na konta, które od dawna nie są używane, a w systemie operacyjnym gwałtowny przyrost pliku z logami uwierzytelnienia. Ustaw alert progowy, żeby nie polegać na ręcznym przeglądaniu.

Czy dwuskładnikowe uwierzytelnianie wystarczy, aby zatrzymać atak siłowy?

Drugi składnik zatrzymuje niemal całość zautomatyzowanego zgadywania haseł, ponieważ napastnik z poprawnym hasłem nadal nie ma jednorazowego kodu ani klucza sprzętowego. Nie jest to jednak ochrona absolutna. Kody SMS bywają przechwytywane przez przejęcie karty, a ataki zmęczeniowe polegają na zasypywaniu użytkownika powiadomieniami push, aż ktoś zaakceptuje jedno przez pomyłkę. Zdarza się też, że stare protokoły pocztowe omijają wymóg drugiego składnika i pozostają otwartą furtką. Najbezpieczniejszym wariantem są klucze sprzętowe FIDO2, odporne na phishing dzięki weryfikacji domeny. Traktuj MFA jako jedną z warstw, obok limitów prób, monitoringu i silnych, unikalnych haseł.

Co zrobić natychmiast po udanym włamaniu na konto administratora?

Zacznij od odcięcia dostępu: unieważnij wszystkie aktywne sesje i tokeny, zmień hasła kont uprzywilejowanych z czystego urządzenia i wygeneruj nowe klucze SSH oraz klucze API. Następnie przejrzyj listę użytkowników pod kątem świeżo dodanych administratorów, zaplanowanych zadań, reguł przekierowania poczty i podmienionych plików konfiguracyjnych. Zabezpiecz logi, zanim zostaną nadpisane, bo to jedyny materiał do ustalenia wektora wejścia. Przywróć witrynę z kopii sprzed incydentu, a dopiero potem nakładaj aktualizacje. Na koniec zgłoś stronę do ponownego sprawdzenia w narzędziach dla webmasterów, włącz MFA dla wszystkich kont i opisz przebieg zdarzenia, żeby wyciągnąć wnioski organizacyjne.