Zneužívá znovupoužití přihlašovacích údajů: útočník primárně nehádá nové heslo, ale testuje, zda pár již získaný z úniku, phishingové kampaně, sběru malwarem nebo jiného zdroje zůstává platný jinde.
Kampaně mohou testovat velké kolekce přes distribuovanou infrastrukturu a napodobovat normální klienty. Úspěšný pokus může připomínat vlastní přihlášení legitimního držitele, protože služba obdrží platné heslo. Výsledky zahrnují převzetí účtu, podvod, přístup k datům nebo opěrný bod pro útoky na připojené služby.
Klíčové body
SignályHledejte znovupoužité identifikátory napříč pokusy, neobvyklé vzory účtů a zdrojů, smíšená selhání a platná přihlášení, charakteristiky automatizace a citlivé akce po autentizaci.
PrevenceSnižujte znovupoužití hesel jasnými pokyny a podporou správce hesel, screenujte nová hesla vůči blocklistům kompromitovaných hodnot, používejte vícefaktorovou autentizaci (MFA) odolnou vůči phishingu a aplikujte vrstvené kontroly rizika a rychlosti.
ReakceOdvolejte dotčené relace, resetujte exponovaná hesla, vyměňte či přezkoumejte ostatní autentizátory, odstraňte neautorizované změny, prověřte připojené účty, vhodně informujte dotčené uživatele a vyšetřete původní expozici, kde je známa.
Důležité omezeníExponovaný pár nedokazuje, že zůstává platný či byl testován, a úspěšné přihlášení samo o sobě nedokazuje credential stuffing. Útočníci mohou také používat ukradené relace, cesty obnovy nebo čerstvě vylákané přihlašovací údaje, které produkují podobnou aktivitu účtu.