Co je credential stuffing: proč opakovaná hesla ohrožují účty

Co je credential stuffing? Je to útok, při kterém se uniklé dvojice e-mailu a hesla hromadně zkoušejí na jiných službách. Funguje proto, že mnoho lidí používá stejné heslo na více místech. Útočník nepotřebuje nic hackovat, jen používá to, co už uniklo.

Následující text vysvětluje mechanismus a obranu. Základní pojmy najdete ve slovníku, souvislosti v sekci Úniky dat a hacky.

Jak útok probíhá

Útočník získá seznam přihlašovacích údajů z nějakého úniku. Pomocí automatizovaných nástrojů je zkouší na populárních službách, jako jsou e-maily, sociální sítě, obchody nebo burzy. Pokusy probíhají rozloženě a z mnoha adres, aby se vyhnuly blokování.

Při každém úspěšném přihlášení získá útočník přístup k účtu. Může ho použít přímo nebo prodat. Úspěšnost jednoho pokusu je nízká, ale u velkých seznamů se to vyplatí. Takový útok zasáhne hlavně ty, kdo hesla opakují.

Proč je opakované heslo problém

Bezpečnost vašeho účtu je pak jen tak silná jako nejslabší služba, kde jste heslo použili. Pokud ho služba uložila nedostatečně nebo byla napadena, heslo se dostane ven a útočníci ho vyzkoušejí všude jinde.

Nejvíc riskujete u e-mailu. Přes něj lze resetovat hesla k ostatním službám. Proto by měl mít e-mail nejsilnější a jedinečné heslo a druhý faktor, ideálně bezpečnostní klíč.

Obrana pro uživatele

Nejúčinnější je používat jedinečné heslo pro každou službu. Pamatovat si desítky dlouhých hesel není reálné, proto je spravuje správce hesel, který je vygeneruje, uloží a automaticky vyplní. Vy si pamatujete jen hlavní heslo, které by mělo být dlouhé a jedinečné.

Druhý faktor je druhou vrstvou. I když útočník heslo zná, bez druhého faktoru se nepřihlásí. Pokud heslo uniklo, okamžitě ho změňte. Přehled možností najdete v sekci Autentikátory.

Obrana pro provozovatele služeb

Služby mohou útoky omezovat limity počtu pokusů, detekcí podezřelého chování, upozorněními na nová zařízení a kontrolou hesel vůči seznamům uniklých hesel. Doporučení pro správu hesel a ověřování identity popisují také směrnice NIST.

Podporou přístupových klíčů a druhého faktoru mohou služby závislost na heslech snížit. Pro uživatele je užitečné upřednostňovat služby, které tyto možnosti nabízejí, a využívat je.

Praktický plán přechodu

Pokud máte opakovaná hesla, nezačínejte se vším najednou. Nejprve změňte heslo k e-mailu a finančním službám. Pak pokračujte účty, které obsahují osobní údaje, a nakonec ostatními. U každého účtu vytvořte nové jedinečné heslo a zapněte druhý faktor.

Využijte upozornění správce hesel na opakovaná a uniklá hesla. Přechod trvá několik týdnů, ale výsledkem je výrazně menší plocha, kterou může credential stuffing zasáhnout.

Kdy se útok nejčastěji podaří

Credential stuffing je nejúčinnější tam, kde se kombinují opakovaná hesla, chybějící druhý faktor a služba bez omezení počtu pokusů. Pro uživatele platí, že i když nemůže ovlivnit obranu služby, může ovlivnit vlastní návyky, a tím i to, zda se stane snadným cílem.

Útočníci upřednostňují služby s hodnotnými účty: e-maily, burzy, platební služby nebo věrnostní programy. I zdánlivě nepodstatný účet může obsahovat údaje, které usnadní další útok. Nerozlišujte proto mezi důležitými a nedůležitými službami jen podle toho, jak vypadají.