Jedną z najczęściej powtarzanych zasad cyberbezpieczeństwa jest ta mówiąca o konieczności stosowania unikalnych haseł w każdym serwisie. Jest to szczególnie ważne w obliczu coraz częstszych ataków credential stuffing, które mogą skutkować włamaniami na konta na różnych portalach, platformach, a nawet na konta bankowe. Czym jest credential stuffing oraz w jaki sposób technika ta została wykorzystana w ostatnim incydencie w PayPal?
Czym są ataki credential stuffing?
Credential stuffing jest to rodzaj ataku, który polega na próbach przejęcia dostępu do konta przy wykorzystaniu wcześniej skradzionych haseł. Tego rodzaju dane często są dostępne w dark webie i pochodzą z wycieków danych z innych serwisów. Cyberprzestępcy do ataków tego typu wykorzystują sieci zainfekowanych maszyn, czyli botnet. Co za tym idzie, próby logowania za pomocą skradzionych danych przebiegają w sposób zautomatyzowany.
Badania serwisu ChronPESEL.pl i Krajowego Rejestru Długów są alarmujące – co trzeci Polak używa jednego hasła w kilku serwisach. Hakerzy mają świadomość tych zaniedbań i z tego powodu liczą, że wykradzione hasła będą pasowały również do innych platform, w tym do bankowości elektronicznej. Jednak atak credential stuffing nie musi wiązać się tylko z utratą środków finansowych. Włamania na platformy zakupowe mogą pomóc w uzyskiwaniu danych kart kredytowych, z kolei uzyskanie dostępu do kont na portalach społecznościowych może skutkować kradzieżą tożsamości.
PayPal ofiarą credential stuffing
W ostatnich latach zauważyć można zwiększone zainteresowanie hakerów atakami wykorzystującymi “wypychanie poświadczeń”. 18 stycznia br. firma PayPal poinformowała o incydencie polegającym na uzyskaniu przez osoby nieuprawnione dostępu do niemal 35 tysięcy kont użytkowników. Jak wyjaśnia serwis Bleeping Computer był to typowy atak credential stuffing. Cyberprzestępcy w wyniku incydentu uzyskali dostęp do imion, nazwisk, adresów czy numerów ubezpieczenia społecznego użytkowników. Hakerzy oprócz tego dostali się do informacji o transakcjach i fakturach połączonych z przejętymi kontami. Gigant poinformował, iż uzyskane dane nie zostały wykorzystane do złośliwych celów, a do naruszenia nie doszło w wyniku ataku na wewnętrzne systemy firmy.
Jak się chronić?
Wykrycie ataku na dane logowania jest stosunkowo proste. Jest tak, ponieważ większość serwisów internetowych informuje użytkowników e-mailowo w przypadku wykrycia nietypowych prób logowania. W przypadku otrzymania takiego ostrzeżenia w żadnym wypadku nie wolno go zignorować! Należy przede wszystkim zmienić hasło do atakowanego konta, a także do innych – gdy wiemy, że użyliśmy tego samego w wielu miejscach.
Do najlepszych metod zapobiegania atakom credential stuffing należą:
- Korzystanie z uwierzytelniania wieloskładnikowego. Działanie takie maksymalnie utrudnia przejmowanie dostępu do konta, ponieważ oprócz podania hasła wymaga dodatkowych działań.
- Tworzenie silnych i UNIKALNYCH haseł. Silne hasło nigdy nie zapewni wystarczającej ochrony, gdy będzie używane w kilku miejscach naraz.
- Warto również monitorować swoje poświadczenia pod kątem wycieku na portalu haveibeenpwned.com.
Redaktorka Net Complex Blog
