Čo je credential stuffing: prečo opakované heslá ohrozujú účty

Čo je credential stuffing? Je to útok, pri ktorom sa uniknuté dvojice e-mailu a hesla hromadne skúšajú na iných službách. Funguje preto, že veľa ľudí používa rovnaké heslo na viacerých miestach. Útočník nepotrebuje nič hackovať, iba používa to, čo už uniklo.

Nasledujúci text vysvetľuje mechanizmus a obranu. Základné pojmy nájdete v slovníku, súvislosti v sekcii Úniky dát a hacky.

Ako útok prebieha

Útočník získa zoznam prihlasovacích údajov z nejakého úniku. Pomocou automatizovaných nástrojov ich skúša na populárnych službách, ako sú e-maily, sociálne siete, obchody alebo burzy. Pokusy prebiehajú rozložene a cez veľa adries, aby sa vyhli blokovaniu.

Pri každom úspešnom prihlásení získa útočník prístup k účtu. Môže ho použiť priamo alebo predať. Úspešnosť jedného pokusu je nízka, no pri veľkých zoznamoch sa to oplatí. Takýto útok zasiahne najmä tých, ktorí opakujú heslá.

Prečo je opakované heslo problém

Bezpečnosť vášho účtu je potom taká silná, ako najslabšia služba, kde ste heslo použili. Ak ho služba uložila nedostatočne alebo bola napadnutá, heslo sa dostane von a útočníci ho vyskúšajú všade inde.

Najviac riskujete pri e-maile. Z neho sa dajú resetovať heslá k ostatným službám. Preto by mal mať e-mail najsilnejšie a jedinečné heslo a druhý faktor, ideálne bezpečnostný kľúč.

Obrana pre používateľov

Najúčinnejšie je používať jedinečné heslo pre každú službu. Pamätať si desiatky dlhých hesiel nie je reálne, preto ich spravuje správca hesiel, ktorý ich vygeneruje, uloží a automaticky vyplní. Vy si pamätáte iba hlavné heslo, ktoré by malo byť dlhé a jedinečné.

Druhý faktor je druhou vrstvou. Aj keď útočník heslo pozná, bez druhého faktora sa neprihlási. Pri uniknutom hesle ho okamžite zmeňte. Prehľad možností nájdete v sekcii Autentifikátory.

Obrana pre prevádzkovateľov služieb

Služby môžu útoky obmedzovať limitmi na počet pokusov, detekciou podozrivého správania, upozorneniami na nové zariadenia a kontrolou hesiel voči zoznamom uniknutých hesiel. Odporúčania pre správu hesiel a overovanie identity opisujú aj usmernenia NIST.

Podporou prístupových kľúčov a druhého faktora môžu služby závislosť na hesle znížiť. Pre používateľa je užitočné preferovať služby, ktoré tieto možnosti ponúkajú, a využívať ich.

Praktický plán prechodu

Ak máte opakované heslá, nezačínajte všetkým naraz. Najprv zmeňte heslo k e-mailu a finančným službám. Potom pokračujte účtami, ktoré obsahujú osobné údaje, a nakoniec ostatnými. Pri každom účte vytvorte nové jedinečné heslo a zapnite druhý faktor.

Využite upozornenia správcu hesiel na opakované a uniknuté heslá. Prechod trvá niekoľko týždňov, ale výsledkom je výrazne menšia plocha, ktorú môže credential stuffing zasiahnuť.

Kedy sa útok najčastejšie podarí

Credential stuffing je najúčinnejší tam, kde sa kombinujú opakované heslá, chýbajúci druhý faktor a služba bez obmedzenia počtu pokusov. Pre používateľa platí, že aj keď nemôže ovplyvniť obranu služby, môže ovplyvniť vlastné návyky a tým zmeniť, či sa stane ľahkým cieľom.

Útočníci uprednostňujú služby s hodnotnými účtami: e-maily, burzy, platobné služby alebo programy vernosti. Aj zdanlivo nepodstatný účet môže obsahovať údaje, ktoré uľahčia ďalší útok. Neprestávajte preto rozlišovať medzi dôležitými a nedôležitými službami len podľa ich vzhľadu.