Credential stuffing – jak zapobiec temu atakowi? | Biznes Netia
Menu główne

Credential stuffing – czym może grozić i jak zapobiec temu atakowi?

22 grudnia 2022, Autor: Mariusz Nowak, Product Manager, ICT - Netia S.A.
Specjaliści ds. cyberbezpieczeństwa i firmowi administratorzy nieraz powtarzają ostrzeżenie o konieczności stosowania unikalnych haseł w każdym miejscu, w którym zakładamy konta. Credential stuffing to rodzaj ataku, który może zweryfikować, czy pracownicy firmy stosują się do tych zaleceń. W tym artykule przybliżamy, co to jest credential stuffing, czym różni się od innych ataków i jak mu zapobiec.
 
 
 
   

Credential stuffing – co to za atak?

 

Credential stuffing to rodzaj ataku, który polega na wykorzystaniu skradzionych w Internecie danych logowania przypisanych zazwyczaj do konkretnych użytkowników. Oszuści, często za pośrednictwem dark webu, kupują miliony par danych uwierzytelniających, składających się z nazwy użytkownika czy adresu e-mail oraz przypisanych do nich haseł i PIN-ów. Tego rodzaju dane znajdują się zazwyczaj w rękach oszustów w związku z wyciekiem informacji z popularnych portali.

 

Atak typu credential stuffing jest zautomatyzowaną próbą logowania (za pomocą skradzionych danych) do wielu różnych portali, platform społecznościowych i streamingowych. Hakerzy powszechnie wykorzystują do tego celu sieci zainfekowanych komputerów zombie, działających w ramach tak zwanego botnetu. W ramach takiej sieci mogą uczestniczyć tysiące maszyn sterowanych za pośrednictwem sieci IRC. Te same komputery są też często wykorzystywane do ataków typu DDoS, które podobnie jak credential stuffing, wykorzystują dużą skalę działania w celu osiągnięcia korzyści.

 

Hakerzy są świadomi, jak wiele osób zaniedbuje kwestie bezpieczeństwa. Badania i raporty zajmujące się poznaniem poziomu świadomości bezpieczeństwa użytkowników sieci alarmują, że nawet 1/3 ankietowanych używa identycznego hasła w przynajmniej kilku różnych kontach. Osoba przeprowadzająca atak ma tego świadomość i liczy na to, że jeśli udało się wykraść jedno z haseł, to takie samo hasło zostało powtórzone na przykład w banku lub na platformach zakupowych typu Allegro czy Amazon, gdzie użytkownik mógł podać dane swojej karty kredytowej i zostawić inne cenne informacje. Włamanie na konto w portalu społecznościowym pozwoli z kolei zyskać tożsamość, potrzebną do innych metod oszustw – w tym spoofingu, polegającego na podszywaniu się pod inną osobę (i np. wyłudzaniu pożyczek od znajomych).

 

Do przeprowadzania ataków credential stuffing wykorzystuje się często popularne rozwiązania do zarządzania siecią, jak na przykład cURL lub Selenium. Oszuści stworzyli też własne, dedykowane tej metodzie atakowania, narzędzia. Należą do nich znane w świecie cyberbezpieczeństwa BlackBullet i Sentry MBA oraz kilka innych rozwiązań zidentyfikowanych i niezidentyfikowanych przez służby.

 

Credential stuffing vs. password spraying – czym się różnią?

 

Zarówno credential stuufing, jak i password spraying należą do grupy tak zwanych ataków słownikowych (z ang. dictionary attacks). Różnica między nimi jest jednak wyraźna. O ile credential stuffing wykorzystuje rzeczywiste dane logowania, które trafiły do oszustów w wyniku realnego naruszenia prywatności, to password spraying opiera się na ogólnodostępnych listach najpowszechniejszych haseł. Bazy tego typu są nierzadko kompilowane z list haseł, które wyciekły po atakach i naruszeniach.

 

Potem wystarczy już tylko znaleźć bazy aktywnych adresów e-mail, które większość portali używa jako nazwy użytkowników podczas logowania. Skuteczność takich ataków jest mniejsza, jednak często wystarczająca do pozyskania kilku cennych kont. W ten sposób użytkownik może stracić dostęp do swoich pieniędzy, zasobów, a nawet tożsamości. Kluczową różnicą pomiędzy password sprayingiem a credential stuffingiem jest więc sam fakt powiązania konkretnej nazwy użytkownika z konkretnym hasłem.

 

Podobną, choć wciąż różną od wymienionych powyżej, jest metoda tak zwanych ataków siłowych (z ang. brute force attacks) polegająca na siłowej próbie sforsowania haseł bez znajomości kontekstu. Stworzony algorytm w tym samym czasie tworzy setki tysięcy losowych haseł. Jest to metoda znacznie mniej skuteczna od powszechnie stosowanego credential stuffingu. Sam credential stuffing jest w wielu kręgach traktowany jako rodzaj ataku siłowego, jednak zdania, co do tego są podzielone.

 

Co zrobić, jeśli doszło do credential stuffingu?

 

Większość portali i serwisów jest przygotowanych na możliwość ataku. Zazwyczaj, gdy logujemy się do swojego konta z innego komputera, nowego smartphona czy innej niż zazwyczaj przeglądarki internetowej, strona wysyła do nas wiadomość e-mail z powiadomieniem o próbie logowania. Najważniejsze, by nie ignorować takich wiadomości, gdy logowanie faktycznie nie zostało wykonane przez użytkownika. Nie oczekujmy, że to e-mail przesłany przez pomyłkę.

 

W takiej sytuacji należy jak najszybciej zmienić hasło do tego konta oraz innych (a przede wszystkim te same hasła wykorzystywane w różnych miejscach), a następnie zgłosić sprawę administratorowi portalu.

 

Jak zapobiec credential stuffingowi?

 

Najlepszą metodą zapobiegania atakom na dane logowania jest ciągłe zwiększanie świadomości bezpieczeństwa w firmie. Niezmiennie zachęcamy do korzystania ze szkoleń security awareness, poruszających najważniejsze kwestie związane z cyberbezpieczeństwem (szkolenia są dostępne m.in. zarządzany UTM Netii – usługę zapewniającą ochronę od A do Z w modelu usługowym z dostępem do szyfrowanych sieci prywatnych VPN, oprogramowaniem antywirusowym, zaporą sieciową i wieloma innymi modułami, chroniącymi sieć np. przed dla klientów Netii korzystających z pomocy naszego zespołu SOC). Konieczne jest także ustanawianie unikalnych haseł w każdym koncie, z którego korzystamy (w domu i w firmie – bez wyjątków). W przypadku wielu haseł warto posiłkować się sprawdzonym key managerem.

 

Ponadto, jeśli tylko jest to możliwe, powinno się skorzystać z uwierzytelniania dwuskładnikowego, które zmniejsza ryzyko powodzenia ataku.

 

W celu uzyskania kompleksowej ochrony przed atakami polecamy zarządzany UTM Netii – usługę zapewniającą ochronę od A do Z w modelu usługowym z dostępem do szyfrowanych sieci prywatnych VPN, oprogramowaniem antywirusowym, zaporą sieciową i wieloma innymi modułami, chroniącymi sieć np. przed sniffingiem. Ponadto kluczowa jest także ochrona poczty elektronicznej, stanowiącej częsty cel ataków. W kontekście ataków typu DDoS przydać może się także skuteczna ochrona w formie Netia DDoS Protection.

 

Co ciekawe, tworzenie „silnych haseł” składających się z wielu liter i cyfr, a także znaków specjalnych, nie podnosi stopnia ochrony przed credential stuffingiem. Jeśli identyczne hasło zostanie użyte więcej niż jeden raz, a następnie wycieknie, na nic zda się choćby najsilniejsza kombinacja.

 

Masz pytania dotyczące metod ochrony firmowej sieci i zasobów? Skontaktuj się z nami, a nasi specjaliści omówią z Tobą wszystkie najważniejsze kwestie i zaproponują gotowe rozwiązania.

 

Formularz kontaktowy

Zostaw swoje dane kontaktowe, a nasz przedstawiciel handlowy
wkrótce skontaktuje się z Tobą

Formularz kontaktowy

Zostaw swoje dane kontaktowe, a nasz przedstawiciel handlowy
wkrótce skontaktuje się z Tobą

Inne formy kontaktu

  • alt1

    Infolinia dla nowych klientów
    (Codziennie 8:00 - 18:00)
    +48 22 35 81 550

  • alt2

    Obsługa klienta i wsparcie techniczne
    (Dostępne 24/7)
    801 801 999
    biznes@netia.pl

  • alt3

    Adres korespondencyjny Netia S.A.
    skr. pocztowa nr 597
    40-950 Katowice S105

Polecane treści:

Wybierz swój język ×