Credential stuffing

Credential stuffing er registreret som MITRE ATT&CK T1110.004 og som OWASP Automated Threat OAT-008 og adskiller sig fra credential cracking (OAT-007). Råmaterialet er en combolist: millioner af par af e-mail/adgangskode eller brugernavn/adgangskode høstet fra tidligere databrud, infostealer-logs og phishingkits, renset for dubletter og handlet eller lækket. Værktøjer i form af konfigurerbare "checkere" afspiller hvert par mod målets login-endpoint eller det bagvedliggende API, fortolker svaret for at skelne succes fra fejl og gemmer de brugbare konti ("hits") til videresalg eller overtagelse. Succesraten pr. forsøg er lav, men ved millioner af forsøg giver selv en lille brøkdel tusindvis af konti.

Det tekniske arbejde ligger i at undgå at blive opdaget. Forespørgslerne spredes over store puljer af residential- og mobilproxyer, så ingen enkelt IP-adresse skiller sig ud; user agents og TLS-fingeraftryk roteres eller kopieres fra rigtige browsere; headless browsere kører JavaScript-udfordringer; og CAPTCHA'er sendes videre til menneskelige eller automatiserede løsningstjenester. Angriberne foretrækker ofte mobil- eller legacy-API'er, som typisk har svagere botbeskyttelse end webformularen. Derfor stopper rate limiting pr. IP-adresse sjældent en kompetent kampagne alene.

Forskellen til naboangrebene ligger i, hvordan gættet vælges. Klassisk brute force (T1110.001, password guessing) prøver mange adgangskoder mod én konto; password spraying (T1110.003) prøver få almindelige adgangskoder mod mange konti for at holde sig under lockout-grænsen; credential stuffing prøver én kendt adgangskode pr. konto, så kontospærring næsten ikke udløses. Sessionskapring springer autentificeringen helt over ved at stjæle et allerede udstedt sessionstoken, og det er også sådan, infostealer-baserede angreb omgår et skift af adgangskode.

Forsvaret er lagdelt. NIST SP 800-63B-4 §3.1.1.2 kræver, at nye adgangskoder sammenlignes med en blokliste, som kan indeholde lækkede adgangskoder; tjenester som Have I Been Pwned's Pwned Passwords udstiller det via et k-anonymitets-API, hvor kun de første fem hex-tegn af SHA-1-hashen forlader klienten. Ved login bygger detektion på signaler som en stigning i fejlede logins på tværs af mange forskellige konti, mange ukendte brugernavne, device fingerprinting og impossible travel, med step-up-udfordringer frem for hårde blokeringer. MFA fjerner det meste af værdien ved en genbrugt adgangskode, og phishing-resistente løsninger som passkeys (FIDO2/WebAuthn) fjerner den delte hemmelighed helt. Et vellykket angreb mod konti med personoplysninger kan stadig være et brud på persondatasikkerheden efter GDPR art. 33, selv om tjenesten aldrig selv blev "hacket".