Credential Stuffing dan Password Spraying

Pengisian kredensial adalah serangan otomatis yang mengambil pasangan nama pengguna/kata sandi yang dicuri dari satu kebocoran data lalu mencobanya pada layanan lain. Serangan ini memanfaatkan penggunaan ulang kata sandi—jika seseorang menggunakan kata sandi yang sama di mana-mana, satu kebocoran dapat membahayakan semua akunnya.

Miliaran kredensial tersedia untuk dibeli di pasar dan forum web gelap. Alat seperti Sentry MBA, SNIPR, dan skrip Python khusus mengotomatiskan pengujian ribuan pasangan kredensial per menit di banyak layanan secara bersamaan.

Penelitian menunjukkan bahwa lebih dari 65% orang menggunakan ulang kata sandi di banyak situs. Kebocoran dari forum dengan keamanan rendah dapat membahayakan akun perbankan, surel, dan perusahaan milik pengguna yang sama jika mereka menggunakan ulang kredensial.

Penyemprotan kata sandi mencoba beberapa kata sandi yang umum digunakan (misalnya, "Spring2024!", "Password1") pada banyak akun. Berbeda dari serangan coba paksa, cara ini menghindari penguncian akun dengan menyebarkan upaya ke banyak akun, satu kata sandi dalam satu waktu.

Perbandingan:

• Coba paksa—banyak kata sandi terhadap satu akun → memicu penguncian akun
• Penyemprotan kata sandi—satu kata sandi terhadap banyak akun → tetap berada di bawah ambang penguncian
• Pengisian kredensial—pasangan yang diketahui dari kebocoran → tidak melakukan penebakan

Indikator deteksi:

• Volume tinggi upaya masuk yang gagal dari banyak IP
• Tingkat keberhasilan tiba-tiba lebih tinggi daripada pola dasar
• Masuk dari node keluar Tor, VPN, atau proksi perumahan
• Sidik jari perangkat dari alat otomatis
• Masuk dari lokasi geografis yang mustahil

Indikator penyemprotan:

• Banyak akun mengalami kegagalan masuk pada waktu yang sama
• Upaya gagal tepat di bawah ambang penguncian (misalnya, jika penguncian terjadi setelah 5 kali, terlihat 4 kegagalan per akun)
• Kata sandi yang sama dicoba pada banyak akun

Pertahanan utama:

• MFA—kredensial yang dicuri saja tidak cukup
• Deteksi kata sandi yang bocor—tolak kata sandi yang diketahui pernah bocor saat pendaftaran atau perubahan
• CAPTCHA pada formulir masuk
• Reputasi IP—blokir rentang alamat yang diketahui berbahaya
• Sidik jari perangkat—tandai masuk dari perangkat baru

Pertahanan:

• Kebijakan penguncian akun (dengan peringatan)
• MFA diwajibkan untuk semua akun
• Blokir kata sandi umum menggunakan daftar penolakan
• Pantau catatan autentikasi untuk menemukan pola penyemprotan
• Akses bersyarat yang memerlukan verifikasi tambahan untuk proses masuk yang tidak wajar

Memberi tahu pengguna tentang masuk dari perangkat atau lokasi baru memungkinkan mereka segera melaporkan pengambilalihan akun. Banyak layanan mengirim surel "Masuk baru dari [Kota, Perangkat]"—pengguna sebaiknya meninjau dan menindaklanjuti notifikasi yang tidak terduga.

HaveIBeenPwned milik Troy Hunt mengumpulkan data kebocoran. Organisasi dapat mengintegrasikan antarmuka k-anonimitas HIBP untuk memeriksa apakah kata sandi terdapat dalam kebocoran yang diketahui—tanpa mengirimkan kata sandi lengkap ke layanan tersebut.

Pengisian kredensial menggunakan ulang kredensial yang dicuri dari satu kebocoran pada layanan lain—dimungkinkan oleh penggunaan ulang kata sandi. Penyemprotan kata sandi mencoba kata sandi umum pada banyak akun untuk menghindari penguncian. Pertahanannya mencakup MFA, pemeriksaan kata sandi yang bocor, CAPTCHA, pemblokiran berdasarkan reputasi IP, dan pemantauan catatan autentikasi untuk menemukan pola yang tidak wajar.