Подстановка учётных данных

Что это значит

Подстановка учётных данных - это атака, при которой злоумышленник пробует на другом сайте логины и пароли, украденные при утечке данных. Расчёт на то, что люди используют один пароль в разных местах, поэтому пароль с утёкшего форума часто открывает и почту или корпоративную систему.

В отличие от атаки перебором пароли не угадываются, а проверяются готовые пары логин и пароль из больших списков. Атака идёт автоматически, часто через ботнет с тысячами IP-адресов, чтобы простые ограничения числа попыток её не поймали.

Успешность низкая, но при миллионах попыток хватает малого процента. Для фирмы особенно опасен доступ к почте, интернет-банку, бухгалтерской программе или интернет-магазину, где злоумышленник может менять банковские реквизиты в счетах или злоупотребить сохранёнными картами.

Как это работает на практике

Лучшая защита - уникальный пароль для каждого сервиса, что на практике возможно только с менеджером паролей. Корпоративная парольная политика должна запрещать повторное использование и приучать сотрудников никогда не использовать рабочий пароль в личных сервисах.

Двухфакторная аутентификация останавливает атаку, даже если пароль подошёл, потому что у злоумышленника нет второго фактора. Ещё устойчивее ключи доступа, которые полностью заменяют пароль и не работают на чужом сайте.

Владелец сайта защищается, отслеживая необычные попытки входа, требуя CAPTCHA при подозрительных шаблонах и проверяя пароли по известным спискам утечек. При подозрении на захват аккаунта нужно завершить сессию и попросить пользователя сменить пароль.

На что обратить внимание

Если злоумышленник получил доступ к аккаунту с данными клиентов, это может быть нарушением защиты персональных данных с обязанностью сообщить в надзорный орган в течение 72 часов. Фирме стоит заранее определить, кто оценивает инцидент и как общаться с клиентами.

Частая ошибка - полагаться на сложность пароля. Даже очень длинный пароль не поможет, если он уже есть у злоумышленника из другой утечки. Решают уникальность и второй фактор, а не обязательная смена пароля каждые 90 дней, которая скорее ведёт к предсказуемым вариантам.