Preenchimento de credenciais e pulverização de senhas

Preenchimento de credenciais é um ataque automatizado que usa pares de nome de usuário e senha roubados em um vazamento de dados e tenta utilizá-los em outros serviços. Ele explora a reutilização de senhas — se alguém usa a mesma senha em todos os lugares, um único vazamento compromete todas as contas.

Bilhões de credenciais estão disponíveis para compra em mercados e fóruns da dark web. Ferramentas como Sentry MBA, SNIPR e scripts personalizados em Python automatizam o teste de milhares de pares de credenciais por minuto em vários serviços simultaneamente.

Estudos mostram que mais de 65% das pessoas reutilizam senhas em vários sites. Um vazamento de um fórum com pouca segurança pode comprometer as contas bancárias, de e-mail e corporativas do mesmo usuário se ele reutilizar as credenciais.

Pulverização de senhas tenta algumas senhas usadas com frequência (por exemplo, "Spring2024!", "Password1") em muitas contas. Diferentemente da força bruta, essa técnica evita bloqueios distribuindo as tentativas entre várias contas, usando uma senha por vez.

Comparação:

• Força bruta — muitas senhas contra uma conta → aciona o bloqueio
• Pulverização de senhas — uma senha contra muitas contas → permanece abaixo do limite de bloqueio
• Preenchimento de credenciais — pares conhecidos de vazamentos → não faz suposições

Indicadores de detecção:

• Grande volume de tentativas de acesso malsucedidas provenientes de muitos IPs
• Taxa de sucesso subitamente maior que a linha de base
• Acessos provenientes de nós de saída do Tor, VPNs ou proxies residenciais
• Impressões digitais de dispositivos de ferramentas automatizadas
• Acessos provenientes de locais geograficamente impossíveis

Indicadores de pulverização:

• Muitas contas com acessos malsucedidos ao mesmo tempo
• Tentativas malsucedidas pouco abaixo do limite de bloqueio (por exemplo, se o bloqueio ocorrer após 5 tentativas, observar 4 falhas por conta)
• A mesma senha tentada em muitas contas

Principais defesas:

• MFA — as credenciais roubadas, sozinhas, são insuficientes
• Detecção de senhas vazadas — rejeite senhas conhecidamente vazadas durante o cadastro ou a alteração
• CAPTCHA nos formulários de acesso
• Reputação de IP — bloqueie intervalos conhecidos por atividades maliciosas
• Impressão digital do dispositivo — sinalize acessos de dispositivos novos

Defesas:

• Políticas de bloqueio de contas (com alertas)
• MFA obrigatória para todas as contas
• Bloqueio de senhas comuns por meio de uma lista de bloqueio
• Monitoramento dos registros de autenticação em busca de padrões de pulverização
• Acesso condicional que exige verificação adicional para acessos anômalos

Alertar os usuários sobre acessos provenientes de novos dispositivos ou locais permite que eles denunciem imediatamente o possível comprometimento de suas contas. Muitos serviços enviam e-mails como "Novo acesso de [Cidade, Dispositivo]" — os usuários devem analisar e tomar providências diante de notificações inesperadas.

O HaveIBeenPwned, de Troy Hunt, reúne dados de vazamentos. As organizações podem integrar a API de k-anonimato do HIBP para verificar se as senhas aparecem em vazamentos conhecidos — sem enviar a senha completa para a API.

O preenchimento de credenciais reutiliza credenciais roubadas em um vazamento contra outros serviços — possibilitado pela reutilização de senhas. A pulverização de senhas tenta senhas comuns em muitas contas para evitar bloqueios. As defesas incluem MFA, verificação de senhas vazadas, CAPTCHA, bloqueio por reputação de IP e monitoramento dos registros de autenticação em busca de padrões anômalos.