Exploatează reutilizarea credențialelor: atacatorul nu ghicește în primul rând o parolă nouă, ci testează dacă o pereche deja obținută dintr-o încălcare, campanie de phishing, colectare de malware sau altă sursă este încă validă în altă parte.
Campaniile pot testa colecții mari prin infrastructură distribuită și imită clienți normali. O încercare reușită poate semăna cu autentificarea proprie a titularului legitim, pentru că serviciul primește o parolă validă. Rezultatele includ preluarea de cont, fraudă, acces la date sau un punct de sprijin pentru atacuri asupra serviciilor conectate.
Puncte esențiale
SemnaleCăutați identificatori reutilizați în încercări, tipare neobișnuite de conturi și surse, eșecuri amestecate cu autentificări valide, caracteristici de automatizare și acțiuni sensibile după autentificare.
PrevențieReduceți reutilizarea parolelor prin îndrumare clară și suport pentru manageri de parole, verificați parolele noi față de liste blocate de valori compromise, folosiți autentificare multifactor (MFA) rezistentă la phishing și aplicați controale stratificate de risc și rată.
RăspunsRevocați sesiunile afectate, resetați parolele expuse, înlocuiți sau revizuiți ceilalți autentificatori, eliminați modificările neautorizate, examinați conturile conectate, notificați utilizatorii afectați în mod adecvat și investigați expunerea originală acolo unde este cunoscută.
Limitare importantăO pereche expusă nu dovedește că rămâne validă sau că a fost testată, iar o autentificare reușită nu dovedește de la sine credential stuffing. Atacatorii pot folosi și sesiuni furate, căi de recuperare sau credențiale nou furate prin phishing, care produc activitate de cont similară.