Какво е credential stuffing и как откраднати пароли се използват за превземане на профили?

Какво е credential stuffing, как престъпниците използват изтекли пароли за достъп до социални мрежи, електронна поща и онлайн магазини и как да се защитим? Една парола, компрометирана при пробив в даден сайт, може да изложи на риск и други наши акаунти, ако използваме същите данни за вход. Именно тази слабост експлоатират автоматизираните атаки, известни като credential stuffing.

Какво е credential stuffing?

Credential stuffing е вид кибератака, при която престъпниците използват вече известни комбинации от потребителски имена и пароли, за да опитват автоматизирано влизане в различни интернет услуги.

Изразът произлиза от английските credentials – данни за удостоверяване, и stuffing – буквално „натъпкване“ или масово подаване.

Най-точното описание на български е автоматизирано изпробване на откраднати данни за вход в други онлайн услуги.

Според международната организация OWASP този метод използва комбинации от потребителски имена и пароли, получени при предишни пробиви или други злоупотреби.

Основната слабост е повторното използване на една и съща парола.

Например човек може да използва идентични данни за вход в онлайн магазин, социална мрежа и електронната си поща.

Ако паролата бъде разкрита при пробив в магазина, престъпниците могат да се опитат да я използват и в останалите услуги.

При успешна атака те може да получат достъп до профил, без да са прониквали в неговия собствен сайт и без да са заразявали устройството на потребителя.

Как работи credential stuffing атаката?

Представете си, че сте регистрирани в няколко сайта с един и същ имейл адрес и парола.

Един от сайтовете претърпява пробив в сигурността.

В резултат определени данни за вход могат да попаднат в ръцете на престъпници.

Ако извършителите разполагат с използваеми комбинации от имейл адреси и пароли, могат да се опитат да ги изпробват и срещу други услуги.

Този процес често се автоматизира.

Вместо човек да въвежда ръчно всяка комбинация, се използва софтуер, който извършва множество опити за вход.

Ако една комбинация работи в друга услуга, нападателят може да получи достъп до съответния профил.

Важното е, че атаката невинаги включва отгатване на паролата.

Престъпниците използват вече известна информация и проверяват къде тя все още е валидна.

Защо използването на една и съща парола е опасно?

Много хора използват една парола за няколко профила, защото им е трудно да запомнят различни комбинации.

Други създават вариации на една основна парола, като променят годината, добавят цифра или заменят отделен символ.

Този подход изглежда удобен, но създава обща уязвимост.

Например ако използвате една и съща парола за електронна поща и социална мрежа, компрометирането на първата може да изложи на риск и втората.

Особено опасно е, когато същата парола се използва за основния имейл адрес.

Чрез него често се възстановява достъпът до други услуги.

Затова сигурността на един профил може да зависи не само от защитата на съответната платформа, но и от вашите навици за използване на пароли.

Каква е разликата между credential stuffing, brute force и password spraying?

Тези три метода са свързани с опити за неразрешен достъп, но използват различна логика.

Credential stuffing – престъпниците изпробват вече известни комбинации от потребителски имена и пароли, придобити от други източници.

Brute force – атакуващият изпробва множество възможни пароли, опитвайки се да открие правилната комбинация.

Password spraying – използват се една или няколко широко разпространени пароли срещу много различни акаунти.

Например credential stuffing може да използва парола, която вече е била компрометирана при пробив в друг сайт.

При brute force нападателят се опитва да отгатне неизвестната парола чрез последователни проверки.

При password spraying се проверява дали множество потребители използват обща или предвидима парола.

Разликите са важни, защото защитата срещу всеки метод включва както общи, така и специфични мерки.

Откъде престъпниците получават паролите?

Списъците с компрометирани данни могат да произхождат от различни източници.

Пробиви в бази данни

Ако дадена интернет услуга бъде компрометирана, може да бъде засегната информация за нейните потребители.

Това не означава, че всеки пробив разкрива пароли в използваем вид. Добре защитените услуги съхраняват паролите чрез подходящи криптографски механизми.

Но при определени обстоятелства нападателите могат да се сдобият с използваеми данни за достъп.

Фишинг атаки

Потребителят може да бъде подведен да въведе паролата си във фалшива страница.

Така информацията достига директно до измамника.

Механизмът е разгледан подробно в материала „Какво е фишинг (phishing) и как да се предпазим?“.

Злонамерен софтуер

Някои разновидности на малуер могат да извличат запазени данни за вход или друга чувствителна информация от устройството.

При подобни ситуации са застрашени не само отделни профили, но и множество акаунти, използвани на същия компютър.

Прочетете повече за малуера (malware) и начините за защита на телефона и компютъра.

Стари изтекли бази данни

Данни, компрометирани преди години, могат да продължат да представляват риск, ако съответните пароли не са сменени.

Това е една от причините уникалните пароли да бъдат толкова важни.

Защо престъпниците използват автоматизация?

При credential stuffing атаките могат да се изпробват голям брой комбинации срещу множество онлайн услуги.

Ръчната проверка би изисквала значително време.

Автоматизацията позволява на престъпниците да проверяват дали вече компрометирани данни работят в други системи.

Някои атаки използват разпределени източници на трафик, което може да затрудни разпознаването им само по един интернет адрес.

Затова защитата на онлайн услугите не може да се основава единствено на блокиране на голям брой неуспешни опити от един IP адрес.

Необходими са допълнителни механизми за откриване на необичайно поведение и защита на удостоверяването.

Какво може да се случи при успешно превземане на профил?

Последствията зависят от типа акаунт.

Социални мрежи

Нападателят може да получи достъп до публикации, лични съобщения и настройки на профила.

Възможно е да се опита да изпраща измамни предложения на контактите или да промени данните за възстановяване.

Електронна поща

Компрометираният имейл е особено опасен, защото може да служи за възстановяване на други акаунти.

Нападателят може да се опита да прочете поверителна кореспонденция или да използва акаунта за последващи измами.

Онлайн магазини

В зависимост от услугата престъпниците могат да получат достъп до лични данни, история на поръчките, адреси за доставка или определени платежни функции.

Не всяко превземане на профил автоматично позволява извършването на плащания, но рискът изисква своевременна реакция.

Бизнес профили

При административни акаунти последствията могат да бъдат по-сериозни.

Компрометирани права за управление могат да засегнат фирмени страници, рекламни кампании, служебни данни и комуникация с клиенти.

За различните форми на злоупотреба с акаунти вижте и „Кражба на дигитална самоличност – как да защитим личните си данни и онлайн профили?“.

Защо credential stuffing е опасен за инфлуенсърите?

Инфлуенсърите често използват голям брой интернет услуги.

Сред тях могат да бъдат социални мрежи, рекламни платформи, инструменти за обработка на съдържание, услуги за електронна поща, онлайн магазини и сайтове за партньорства.

Ако една и съща парола се използва за няколко от тези услуги, компрометирането на един акаунт може да създаде риск и за останалите.

Особено чувствителни са профилите с административен достъп до страници и рекламни акаунти.

При неразрешен достъп могат да бъдат засегнати професионални контакти, рекламни бюджети и доверие на аудиторията.

Това означава, че паролите не трябва да се възприемат като дребен технически детайл.

Те са част от защитата на професионалната дигитална идентичност.

Как да разберем дали паролата ни е изтекла?

Съществуват специализирани услуги, които позволяват да се провери дали определен имейл адрес присъства в известни документирани пробиви на данни.

Една от тях е Have I Been Pwned.

Тя предоставя информация за публично известни компрометирани набори от данни.

Важно е обаче да се разберат ограниченията на подобна проверка.

Ако имейл адресът не е намерен, това не означава, че никога не е бил засегнат от пробив.

Ако е открит, това не доказва автоматично, че в момента някой има достъп до профила.

Проверете какви данни са били засегнати и какви действия се препоръчват.

Никога не въвеждайте действащите си пароли в произволни сайтове, които обещават да проверят тяхната сигурност.

Използвайте само надеждни, официално документирани механизми.

Какви са признаците, че някой се опитва да влезе в профила ни?

Сред предупредителните сигнали могат да бъдат:

• Известия за неуспешни опити за вход, които не сте извършвали.
• Предупреждения за влизане от непознато устройство.
• Неочаквани искания за потвърждение на самоличността.
• Получаване на кодове за вход, които не сте поискали.
• Необичайни промени в настройките на акаунта.
• Нови активни сесии или свързани приложения.
• Съобщения от приятели за публикации или кореспонденция, които не сте създавали.

Тези признаци могат да бъдат свързани с различни видове атаки, не само с credential stuffing.

Особено важно е да не потвърждавате непознати искания за вход само защото многократно се появяват на телефона ви.

Как да се защитим от credential stuffing?

Използвайте различна парола за всеки акаунт

Това е основната защита срещу повторното използване на компрометирани данни.

Ако една парола бъде открадната, тя не трябва да предоставя достъп до други услуги.

Използвайте мениджър на пароли

Мениджърът може да генерира и съхранява уникални, дълги пароли.

Така не е необходимо да помните десетки различни комбинации.

Важно е основният акаунт на мениджъра също да бъде надеждно защитен.

Активирайте многофакторно удостоверяване

Многофакторното удостоверяване добавя допълнителна проверка при влизане.

Това може значително да намали риска при открадната парола.

Но не всички методи са еднакво устойчиви на измами.

Използвайте passkeys, когато са налични

Passkeys използват криптографски механизми, които могат да осигурят удостоверяване без традиционна парола.

При правилно внедряване те са устойчиви на редица фишинг атаки и премахват проблема с повторното използване на една и съща парола за различни услуги.

Защитете основния имейл

Използвайте уникална парола и надежден метод за удостоверяване.

Проверявайте настройките за възстановяване и свързаните устройства.

Реагирайте на предупрежденията за компрометирани пароли

Ако браузърът, мениджърът на пароли или съответната услуга ви уведомят за компрометирана парола, проверете предупреждението през официалния интерфейс.

Сменете засегнатата парола и всички други акаунти, в които тя е използвана.

Защо само сложната парола не е достатъчна?

Често се смята, че парола с главни букви, цифри и специални символи непременно гарантира добра защита.

Но при credential stuffing нападателят може вече да разполага с правилната парола.

Тогава не е важно колко трудно би било тя да бъде отгатната.

Например дълга и сложна парола може да бъде компрометирана при пробив и впоследствие използвана срещу други услуги.

Затова уникалността на паролата е също толкова важна, колкото нейната устойчивост срещу отгатване.

Дължината и случайността помагат срещу опити за отгатване.

Уникалността ограничава риска една компрометирана парола да засегне множество акаунти.

Допълнителните методи за удостоверяване осигуряват още един защитен слой.

Какво да направим, ако паролата ни вече е компрометирана?

Първо отворете действителната услуга по независим начин.

Не използвайте линкове от непроверени съобщения.

Сменете засегнатата парола.

Ако сте я използвали в други сайтове, сменете я и там.

Проверете активните сесии, непознатите устройства и разрешенията на свързаните приложения.

Ако е засегната електронната поща, проверете и настройките за автоматично препращане.

Ако профилът съдържа платежни данни, прегледайте историята на операциите.

Ако има признаци за неразрешен достъп, използвайте официалните механизми за възстановяване на акаунта.

При финансови злоупотреби уведомете незабавно съответната банка или платежна институция.

Как бизнесът може да се защити?

За собствениците на онлайн магазини и платформи credential stuffing представлява двоен риск.

От една страна, могат да бъдат компрометирани клиентски профили.

От друга, голям брой автоматизирани опити за вход могат да натоварят системите и да създадат допълнителни разходи.

OWASP препоръчва многослойна защита, включваща подходящи механизми за удостоверяване, откриване на автоматизирани атаки, ограничения на подозрителните опити и наблюдение на необичайно поведение.

Сред възможните мерки са многофакторното удостоверяване, passkeys, проверка за вече компрометирани пароли, адаптивни ограничения и защита от автоматизирани злоупотреби.

CAPTCHA може да бъде част от защитата, но не е универсално решение.

Важен е балансът между сигурността и удобството на легитимните потребители.

Ако системата постоянно блокира реални клиенти, защитата може да създаде допълнителни проблеми.

Затова мерките трябва да бъдат подбрани според риска и характеристиките на съответната услуга.

Каква е връзката между credential stuffing, фишинг и кражба на самоличност?

Трите понятия описват различни елементи на възможна престъпна схема.

Фишингът може да бъде начин за първоначално получаване на потребителски данни.

Credential stuffing може да бъде последващ опит тези данни да се използват за достъп до други услуги.

Кражбата на дигитална самоличност може да бъде резултатът, ако престъпникът получи контрол върху профил и започне да го използва от чуждо име.

Но тези събития не винаги се случват заедно.

Credential stuffing може да бъде извършен с данни от стар пробив, без ново фишинг съобщение.

А не всеки успешен неразрешен вход непременно води до имитация на самоличност.

Разбирането на разликите помага да бъдат избрани подходящи мерки за защита.

Къде да подадем сигнал при превзет акаунт?

Ако установите неразрешен достъп до онлайн профил, първо използвайте официалните механизми на съответната платформа.

При компрометиран служебен акаунт уведомете администратора или отговорното лице по информационна сигурност.

При финансови загуби уведомете банката или доставчика на платежни услуги.

При данни за престъпление можете да подадете сигнал до полицията или чрез официалния портал за киберпрестъпност на ГДБОП.

Запазете известията за вход, информацията за непознатите устройства, съобщенията и другите налични доказателства.

Най-важният урок: една парола не трябва да отключва целия ни дигитален живот

Credential stuffing използва слабост, която на пръв поглед изглежда незначителна – удобството да използваме една и съща парола на много места.

Но когато тези акаунти са свързани с електронна поща, социални мрежи, професионална дейност и финансови услуги, последствията могат да бъдат значителни.

Затова защитата започва с прост принцип: всяка важна услуга трябва да има собствен, уникален начин за удостоверяване.

Мениджърите на пароли, многофакторното удостоверяване и passkeys могат да направят този подход значително по-лесен за прилагане.

Най-силната защита не е една изключително сложна парола за всичко. Тя е система, при която компрометирането на един акаунт не позволява автоматично достъп до останалите.