Credential stuffing

Čo to znamená

Credential stuffing je útok, pri ktorom útočník skúša na inom webe prihlasovacie mená a heslá ukradnuté pri úniku dát. Spolieha sa na to, že ľudia používajú rovnaké heslo na viacerých miestach, takže heslo z uniknutého fóra často otvorí aj e-mail či firemný systém.

Na rozdiel od brute-force útoku sa heslá nehádajú, ale skúšajú sa hotové dvojice meno a heslo z rozsiahlych zoznamov. Útok prebieha automaticky, často cez botnet s tisíckami IP adries, aby ho jednoduché obmedzenia počtu pokusov nezachytili.

Úspešnosť je nízka, ale pri miliónoch pokusov stačí malé percento. Pre firmu je nebezpečný najmä prístup do e-mailu, internetbankingu, účtovného softvéru alebo e-shopu, kde útočník môže meniť bankové údaje na faktúrach alebo zneužiť uložené platobné karty.

Ako to funguje v praxi

Najlepšou obranou je jedinečné heslo pre každú službu, čo prakticky umožní len správca hesiel. Firemná politika hesiel by mala zakazovať opakované používanie a zamestnancov viesť k tomu, aby pracovné heslo nikdy nepoužili v súkromných službách.

Dvojfaktorová autentifikácia zastaví útok, aj keď heslo sedí, pretože útočník nemá druhý faktor. Ešte odolnejšie sú passkeys, ktoré heslo úplne nahrádzajú a nedajú sa použiť na cudzej stránke.

Prevádzkovateľ webu sa bráni sledovaním neobvyklých pokusov o prihlásenie, overením cez CAPTCHA pri podozrivých vzoroch a kontrolou hesiel voči známym uniknutým zoznamom. Pri podozrení na prevzatý účet má zablokovať reláciu a vyzvať používateľa na zmenu hesla.

Na čo si dať pozor

Ak útočník získa prístup k účtu so zákazníckymi údajmi, môže ísť o porušenie ochrany osobných údajov s povinnosťou nahlásiť ho úradu do 72 hodín. Firma by mala mať vopred jasné, kto incident posúdi a ako sa bude komunikovať so zákazníkmi.

Častou chybou je spoliehať sa na zložitosť hesla. Aj veľmi dlhé heslo nepomôže, keď ho už útočník má z iného úniku. Rozhoduje jedinečnosť a druhý faktor, nie povinná zmena hesla každých 90 dní, ktorá ľudí skôr vedie k predvídateľným variantom.