Credential stuffing e password spraying

Il credential stuffing è un attacco automatizzato che prende coppie nome utente/password rubate in una violazione dei dati e le prova su altri servizi. Sfrutta il riutilizzo delle password: se una persona usa la stessa password ovunque, una sola violazione compromette tutti gli account.

Nei mercati e nei forum del dark web sono disponibili miliardi di credenziali. Strumenti come Sentry MBA, SNIPR e script Python personalizzati automatizzano la verifica di migliaia di coppie di credenziali al minuto su molti servizi contemporaneamente.

Gli studi mostrano che oltre il 65% delle persone riutilizza le password su più siti. Una violazione di un forum con scarsa sicurezza può compromettere gli account bancari, di posta elettronica e aziendali della stessa persona, se questa riutilizza le proprie credenziali.

Il password spraying prova alcune password di uso comune (ad esempio, "Spring2024!", "Password1") su molti account. A differenza della forza bruta, evita i blocchi distribuendo i tentativi su numerosi account, utilizzando una password alla volta.

Confronto:

• Forza bruta — molte password su un account → attiva il blocco
• Password spraying — una password su molti account → rimane al di sotto della soglia di blocco
• Credential stuffing — coppie di credenziali note provenienti da violazioni → non effettua tentativi casuali

Indicatori di rilevamento:

• Elevato volume di tentativi di accesso non riusciti provenienti da molti indirizzi IP
• Tasso di successo improvvisamente superiore al valore di riferimento
• Accessi da nodi di uscita Tor, VPN o proxy residenziali
• Impronte del dispositivo riconducibili a strumenti automatizzati
• Accessi da posizioni geografiche incompatibili tra loro

Indicatori del password spraying:

• Molti account con accessi non riusciti nello stesso momento
• Tentativi non riusciti appena al di sotto della soglia di blocco (ad esempio, se il blocco scatta dopo 5 tentativi, 4 errori per account)
• La stessa password provata su molti account

Difese principali:

• MFA — le credenziali rubate da sole non sono sufficienti
• Rilevamento delle password compromesse — rifiuti le password note per essere state compromesse durante la registrazione o la modifica
• CAPTCHA nei moduli di accesso
• Reputazione degli IP — blocchi gli intervalli di indirizzi noti per attività dannose
• Impronta del dispositivo — segnali gli accessi da nuovi dispositivi

Difese:

• Policy di blocco degli account, con avvisi
• MFA obbligatoria per tutti gli account
• Blocco delle password comuni tramite un elenco di divieto
• Monitoraggio dei log di autenticazione per individuare schemi di password spraying
• Accesso condizionale che richieda una verifica aggiuntiva per gli accessi anomali

Avvisare gli utenti degli accessi da nuovi dispositivi o posizioni consente loro di segnalare immediatamente eventuali compromissioni dell'account. Molti servizi inviano email come "Nuovo accesso da [Città, dispositivo]": gli utenti devono esaminare e gestire le notifiche impreviste.

HaveIBeenPwned di Troy Hunt raccoglie dati sulle violazioni. Le organizzazioni possono integrare l'API HIBP k-anonymity per verificare se le password sono presenti in violazioni note, senza inviare all'API la password completa.

Il credential stuffing riutilizza credenziali rubate in una violazione per accedere ad altri servizi, sfruttando il riutilizzo delle password. Il password spraying prova password comuni su molti account per evitare i blocchi. Le difese includono MFA, verifica delle password compromesse, CAPTCHA, blocco basato sulla reputazione degli IP e monitoraggio dei log di autenticazione per individuare schemi anomali.