Mi az a „Credential Stuffing” és hogyan védd magad ellene? (1. rész)

A koronavírus alatt rengetegen váltottak olyan alkalmazásokra, melyek lehetővé teszik a videókonferenciát bárkivel. Ehhez természetesen egy fiókot kell létrehozni az adott gyártónál (Zoom, Google Hangouts, stb), ahol személyes adatok is megadásra kerülnek, mint az e-mail cím, jelszó, esetleg egyéb adatok. A vírus idején több, mint 500 millió ilyen felhasználói fiók várt eladásra a sötét weben. Ezeket a fiókokat hackerek szerezték meg, amikor a gyártók adatbázisait feltörték. Hogyan védekezzünk?
Először is tudni kell, hogy az online szolgáltatások elleni támadások gyakoriak, és a bűnözők mindig próbálkoznak megszerezni felhasználóneveket és jelszavakat. Az ilyen adatokból összeálló adatbázisokat kompletten el lehet lopni, az adatokat pedig eladni a sötét weben, más bűnözők pedig sokszor Bitcoin-al fizetnek ezért. Az ilyen adatok ellopása azért veszélyes, mert sok ember egyfajta jelszót vagy annak nem túl változatos permutációit használják a legtöbb oldalon a felhasználói fiókok létrehozására. Ha tehát egy valahol ellopják a jelszót, akkor lehet, hogy máshova is be tudnak vele lépni egy kis próbálkozás után. Tulajdonképpen ez a „Credential Stuffing”, avagy „azonosítós hackelés”. A hacker-ek megfogják ezeket a hatalmas adatbázisokat és elkezdenek megpróbálni bejelentkezni különböző oldalakra. Nem mindegyik fog sikerülni, de van néhány, ami bejöhet, mert a felhasználó ugyanazt az email címet és jelszót használta több oldalon is.
Ha például bejutnak Facebook vagy Gmail fiókunkba, akkor nagy lehet a baj, ha nem vesszük észre időben. Gyors hozzáférés a Drive-hoz és személyes adatokhoz, mint például más jelszavak, bankszámlák, pénzügyi információk, stb. 2018-ban az Akamai tartalomszolgáltató cég például 30 milliárd ilyen támadást jegyzett csak a saját weboldalán. Láthatjuk tehát, hogy a hacker-ek nem unatkoznak, és a koronavírus miatt igen sok lehetőségük volt lopkodni az adatokat, hiszen sokkal többen ültek otthon videókonferenciák előtt.
Sokan vannak úgy, hogy ez velük úgy sem történik meg a nagy számok törvénye alapján. Nos, csak a Zoom fiókokból 500 millió volt fent a sötét weben eladásra várva, szóval itt nem csak néhány fiókról van szó. Igaz, hogy a legnagyobb cégek feltérképezik az ilyen dolgokat, és ha találnak egyezést saját adabázisaikkal, akkor az érintett felhasználókat értesítik, hogy fiókjuk veszélyben lehet és változtassanak jelszót. Ez azonban nem minden cég esetében bevett szokás. Hogyan lehet tehát a leghatékonyabban védekezni a Credential Stuffing ellen? A kövi részben kiderül!