Punjenje vjerodajnica vrsta je cyber napada koja uključuje 'trpanje' ukradenih vjerodajnica na više web stranica.
Alati poput botova omogućili su hakerima da automatiziraju punjenje, omogućujući im da u kratkom razdoblju testiraju milijune vjerodajnica za prijavu na desetke web lokacija. Evo što trebate znati o ovom napadu i jednostavnim načinima na koje se možete zaštititi.
Što je punjenje vjerodajnicama?
Punjenje vjerodajnica uključuje strpanje velike kolekcije ukradenih lozinki i korisničkih imena na više web stranica. Ovise o kršenju čudovišta i curenju podataka o njima na mračnoj mreži. Cilj je upotrijebiti milijune kombinacija prijava i korisničkih imena iz prethodnih curenja za infiltriranje na druge web stranice.
Jeste li znali da ponovna upotreba # lozinke i nedostatak #multifactorauthentication utrti put za #credentialstuffing napadi. Zapravo, FBI kaže da je 41% svih napada financijskog sektora između 2017. i 2020. bilo zbog punjenja vjerodajnica. https://t.co/h99KM6RPL7pic.twitter.com/4IEEEwbZ2n
- Simon Heslop (@ supersi101) 9. prosinca 2020
Oslanjaju se na jednu ljudsku pogrešku da bi njihovi napadi bili uspješni - koristeći isto korisničko ime i / ili lozinku na više web lokacija. Prema istraživanju, nevjerojatnih 85 posto svih korisnika reciklira svoje lozinke na različitim računima.
I takva vrsta razmišljanja omogućuje cyber kriminalcima da koriste vjerodajnice za prijavu s jednog web mjesta kako bi ušli u druge usluge.
Stopa uspjeha je prilično niska, od 0,1 do oko 2 posto. To znači da se za svaki milijun testiranih vjerodajnica za prijavu može koristiti samo oko 1.000 vjerodajnica za ulazak na druge web stranice. Ali ono što njihov trud čini vrijednim je zlatni rudnik podataka koji mogu prikupiti sa svakog računa u koji se infiltriraju.
Recimo da uspiju provaliti oko tisuću računa i oni imaju bankovne podatke ili podatke o kreditnoj kartici. Oni mogu sifonirati sredstva ili ih koristiti za počinjenje drugih oblika prijevare. Ostale osobne informacije (PII) poput brojeva socijalnog osiguranja ili poreznih podataka mogu se koristiti za počinjenje kaznenih djela poput krađe identiteta.
Kibernetski kriminalci unovčavaju sve što pronađu na svakom računu, što čini napad vrijednim truda unatoč vrlo niskoj stopi podudaranja prijave.
Kako se vrši nadjev?
Naravno, hakeri ručno ne unose ukradene vjerodajnice za prijavu jednu po jednu u različite web mjesta jer im je potreban milijun (ili čak milijarde) ukradenih vjerodajnica za prijavu vrijedi.
Umjesto toga, ispucane vjerodajnice zbog kršenja podataka učitavaju se u botnete koji pokreću automatizirane pokušaje prijave. Zatim koriste daljnje alate kako bi izbjegli otkrivanje.
Povezano: Što je botnet i je li vaše računalo dio toga?
Botneti su glavni izvor zlonamjernog softvera, ransomwarea, neželjene pošte i još mnogo toga. Ali što je botnet? Kako nastaju? Tko ih kontrolira? I kako ih možemo zaustaviti?
Jedan botnet može izvršiti tisuće pokušaja prijave na sat. Na primjer, napad na punjenje vjerodajnica 2016. koristio je botnet koji je poslao preko 270 000 zahtjeva za prijavu na više web lokacija po satu.
Kako punjeni napadi mogu izbjeći otkrivanje?
Iako mnoge web stranice koriste sigurnosne mjere za otkrivanje višestrukih nevaljalih prijava, hakeri su pronašli načine da ih zaobiđu.
Proxy popis koristi se za odbijanje zahtjeva i maskiranje izvora ili, jednostavno rečeno, čini da se zahtjevi za prijavu čine kao da dolaze s različitih lokacija. Također koriste druge alate kako bi se činilo kao da pokušaji višestruke prijave dolaze iz različitih preglednika.
To je učinjeno jer višestruki pokušaji prijave iz samo jedne vrste preglednika (na primjer tisuću na sat) izgledaju sumnjivo i imaju veće šanse da se označe kao lažni.
Sve ove tehnike oponašaju legitimne aktivnosti prijave tisućama korisnika na različitim lokacijama. To čini vektor napada jednostavnim, a teško otkrivenim.
Koja je razlika između punjenja vjerodajnica i napada Brute Forcea?
Punjenje vjerodajnica je podvrsta napada grubom silom koja je puno snažnija jer je usmjerenija.
Napad grubom silom u osnovi uključuje pogađanje lozinki koristeći različite kombinacije slučajnih znakova. Koriste automatizirani softver za izradu više nagađanja testiranjem nekoliko mogućih kombinacija dok se lozinka ne otkrije. Radi se bez konteksta.
#credentialstuffing# cybersecurityminiseries#ntellchs#infographic#techpic.twitter.com/IPuiyja79v
- Ntellchs (@ntellchs) 7. prosinca 2020
Punjenje vjerodajnica, s druge strane, koristi podatke za prijavu i lozinke iz prethodnih povreda podataka. Koriste par lozinka-korisničko ime zbog curenja s jedne web stranice, a zatim ga testiraju na drugim uslugama.
Iako vas upotreba jakih lozinki može zaštititi od napada grubom silom, to je beskorisno ako istu lozinku upotrebljavate na drugim web mjestima, kada se pokrene napad.
Koja je razlika između punjenja vjerodajnica i dampinga vjerodajnica?
Iako se može činiti istim, damping vjerodajnica drugačija je vrsta napada koji cilja jednu ulaznu točku ili stroj kako bi se infiltrirao u mrežu.
Dok punjenje vjerodajnica koristi više vjerodajnica za prijavu iz prethodnih kršenja kako bi ušlo u druge web mjesta, bacanje vjerodajnica uključuje ulazak u jedan stroj i izvlačenje višestrukih podataka za prijavu vjerodajnice.
To se postiže pristupom predmemoriranim vjerodajnicama u mnogim računalnim registrima ili izvlačenjem vjerodajnica iz baze podataka sigurnosnog računa (SAM). Potonji sadrži sve račune stvorene s lozinkama spremljenim kao hashi.
Cilj napada dampinga vjerodajnica je uporište u mrežu ili prijam na druga računala u sustavu. Nakon izvlačenja vjerodajnica za prijavu s jednog računala, haker može ponovno ući u uređaj ili dobiti pristup cijeloj mreži kako bi nanio veću štetu.
Za razliku od punjenja, napad dampinga vjerodajnica koristi jednu ulaznu točku, jedan stroj s nekrpanim ranjivostima za infiltriranje u mrežu.
POVEZANO: Što je damping vjerodajnica? Zaštitite se pomoću ova 4 savjeta
Kako se zaštititi od napada punjenja?
Za većinu korisnika najbolji i najjednostavniji način da se zaštite je upotreba jedinstvenih lozinki za svako web mjesto ili račun. Učinite to barem za one koji imaju vaše osjetljive podatke poput podataka o bankarstvu ili kreditnoj kartici.
Omogućavanje dvofaktorske autentifikacije (2FA) ili višefaktorske autentifikacije (MFA) pomaže hakerima otežati preuzimanje računa. Oni se oslanjaju na sekundarni način provjere valjanosti, tj. Slanje koda na vaš telefonski broj, kao i traženje vašeg korisničkog imena i lozinke.
Ako vam je pamćenje više lozinki i korisničkih imena zbunjujuće, možete koristiti pouzdani upravitelj lozinki. Ako niste sigurni u njihovu sigurnost, pogledajte sigurne metode koje koriste upravitelji lozinki.
Ili isprobajte upravitelj lozinki otvorenog koda.
Zaštitite svoje lozinke
Vaša lozinka je poput ključa vaše kuće. Mora biti jedinstven, snažan i što je najvažnije, trebate ga stalno držati na sigurnom mjestu.
Oni također moraju biti nezaboravni i sigurni. Možete istražiti različite alate za lozinku koji vam mogu pomoći da napravite jedinstvene, ali nezaboravne alate koji su hakeri teško dostupni.
Stvorite jaku lozinku koje ćete se kasnije sjećati. Koristite ove aplikacije da biste danas nadogradili svoju sigurnost novim snažnim zaporkama.
- Sigurnost
- Sigurnost na mreži
Loraine već 15 godina piše za časopise, novine i web stranice. Magistrirala je primijenjenu medijsku tehnologiju i potaknula velik interes za digitalne medije, studije društvenih medija i cyber sigurnost.
Pretplatite se na naše obavijesti
Pridružite se našem biltenu za tehničke savjete, recenzije, besplatne e-knjige i ekskluzivne ponude!
Još jedan korak…!
Molimo potvrdite svoju e-adresu u e-pošti koju smo vam upravo poslali.