Wykorzystuje ponowne użycie poświadczeń: atakujący nie zgaduje przede wszystkim nowego hasła, lecz testuje, czy para już zdobyta z naruszenia, kampanii phishingowej, zbierania przez złośliwe oprogramowanie lub innego źródła nadal działa gdzie indziej.
Kampanie mogą testować duże zbiory przez rozproszoną infrastrukturę i imitować normalnych klientów. Udana próba może przypominać własne logowanie legalnego właściciela, bo usługa otrzymuje prawidłowe hasło. Skutki obejmują przejęcie konta, oszustwa, dostęp do danych lub przyczółek do ataków na połączone usługi.
Najważniejsze punkty
SygnałySzukaj ponownie używanych identyfikatorów między próbami, nietypowych wzorców kont i źródeł, mieszanych niepowodzeń i prawidłowych logowań, cech automatyzacji i wrażliwych działań po uwierzytelnieniu.
PrewencjaOgraniczaj ponowne użycie haseł przez jasne wytyczne i wsparcie menedżerów haseł, przesiewaj nowe hasła listami skompromitowanych wartości, stosuj uwierzytelnianie wieloskładnikowe (MFA) odporne na phishing i aplikuj warstwowe kontrole ryzyka i tempa.
ReakcjaUnieważnij dotknięte sesje, zresetuj eksponowane hasła, wymień lub przejrzyj inne uwierzytelniacze, usuń nieautoryzowane zmiany, zbadaj połączone konta, powiadom dotkniętych użytkowników odpowiednio i zbadaj pierwotną ekspozycję tam, gdzie znana.
Istotne ograniczenieUjawniona para nie dowodzi, że pozostaje ważna lub została przetestowana, a udane logowanie samo w sobie nie dowodzi credential stuffing. Atakujący mogą też używać skradzionych sesji, ścieżek odtwarzania lub świeżo przechwyconych poświadczeń, które produkują podobną aktywność konta.