Credential Stuffing: Gdy jeden wyciek staje się wieloma

Jeśli kiedykolwiek używałeś tego samego hasła do wielu kont — a robi tak większość ludzi — jesteś potencjalnym celem ataku credential stuffing. To jedna z najczęstszych i najskuteczniejszych metod stosowanych dziś przez cyberprzestępców, która wykorzystuje bardzo ludzką skłonność: wybieranie wygody kosztem bezpieczeństwa.

Czym jest credential stuffing

Credential stuffing to rodzaj zautomatyzowanego cyberataku, w którym hakerzy pobierają obszerne listy ujawnionych nazw użytkownika i haseł (zwykle uzyskanych z wcześniejszych wycieków danych) i systematycznie testują je na dziesiątkach lub setkach różnych stron internetowych. Logika jest prosta: jeśli ktoś używał tego samego adresu e-mail i hasła zarówno na forum gamingowym, jak i w bankowości internetowej, włamania na jedno konto otwiera drzwi do drugiego.

W przeciwieństwie do ataków brute-force, które wypróbowują losowe hasła lub opierają się na słownikach, credential stuffing wykorzystuje prawdziwe dane uwierzytelniające, które już gdzieś zadziałały. Sprawia to, że metoda jest znacznie wydajniejsza i trudniejsza do wykrycia.

Jak to działa

Proces zazwyczaj przebiega według przewidywalnego schematu:

  1. Pozyskanie danych — Atakujący kupują lub pobierają bazy danych z wyciekłymi danymi uwierzytelniającymi z rynków dark webu. Niektóre listy zawierają setki milionów par nazw użytkownika i haseł.
  2. Automatyzacja — Używając specjalistycznych narzędzi (nazywanych czasem „checkerami kont" lub frameworkami do credential stuffing), atakujący ładują skradzione dane i kierują je na docelową stronę logowania.
  3. Rozproszony atak — Aby uniknąć uruchomienia limitowania liczby żądań lub blokowania adresów IP, atakujący kierują ruch przez botnety lub dużą liczbę rezydencjalnych serwerów proxy, sprawiając wrażenie, że próby logowania pochodzą od tysięcy różnych użytkowników z całego świata.
  4. Zbieranie prawidłowych kont — Oprogramowanie oznacza udane logowania, dając atakującym dostęp do zweryfikowanych kont. Są one następnie wykorzystywane bezpośrednio, sprzedawane dalej lub używane do kolejnych nadużyć.

Wskaźniki skuteczności są ogólnie niskie — zazwyczaj między 0,1% a 2% — ale gdy testuje się miliony danych uwierzytelniających, nawet 0,5% przekłada się na tysiące przejętych kont.

Dlaczego ma to znaczenie dla użytkowników VPN

Użytkownicy VPN nie są odporni na credential stuffing — w rzeczywistości warto znać pewien szczególny aspekt tego zagrożenia. Niektórzy dostawcy VPN sami stali się celem takich ataków. W przeszłości ataki credential stuffing wymierzone w usługi VPN skutkowały uzyskaniem przez atakujących dostępu do kont użytkowników, a w niektórych przypadkach — do połączonych urządzeń lub prywatnych konfiguracji.

Poza tym używanie VPN nie chroni cię, jeśli twoje dane uwierzytelniające zostały już skompromitowane. VPN ukrywa twój adres IP i szyfruje ruch, ale nie może powstrzymać atakującego przed zalogowaniem się na twoje konto Netflix, e-mail czy bankowe przy użyciu hasła, które ponownie wykorzystałeś z przejętego serwisu.

VPN może jednak pomóc w pośrednim ograniczeniu twojej ekspozycji. Maskując twój prawdziwy adres IP, utrudnia śledzącym i brokerom danych budowanie profili łączących twoje różne konta internetowe — co może ograniczyć zasięg szkód w przypadku wycieku danych.

Przykłady z życia wzięte

  • W 2020 roku ataki credential stuffing uderzyły jednocześnie w wielu dostawców VPN i serwisy streamingowe — atakujący testowali dane uwierzytelniające skradzione z niezwiązanych serwisów gamingowych i sklepów internetowych.
  • Disney+ doświadczył fali przejęć kont wkrótce po uruchomieniu — nie w wyniku wycieku z systemów Disney'a, lecz dlatego, że użytkownicy ponownie wykorzystali hasła z innych skompromitowanych usług.
  • Instytucje finansowe regularnie odnotowują miliony prób credential stuffing dziennie, z których większość jest odpierana przez limitowanie liczby żądań i uwierzytelnianie wieloskładnikowe.

Jak się chronić

Obrona jest prosta, nawet jeśli zmiana nawyków już taka nie jest:

  • Używaj unikalnego hasła do każdego konta. Menedżer haseł sprawia, że jest to praktyczne.
  • Włącz uwierzytelnianie dwuskładnikowe (2FA) wszędzie tam, gdzie to możliwe. Nawet jeśli atakujący zna twoje hasło, nie będzie miał dostępu do twojego drugiego składnika.
  • Sprawdzaj bazy wycieków, takie jak HaveIBeenPwned, aby sprawdzić, czy twoje dane uwierzytelniające zostały ujawnione.
  • Monitoruj logowania do kont pod kątem nieznanych lokalizacji lub urządzeń.

Credential stuffing działa, ponieważ ludzie ponownie używają haseł. Przestań to robić, a atak w dużej mierze przestanie być dla ciebie skuteczny.