Подстановка учётных данных и распыление паролей

Подстановка учётных данных — это автоматизированная атака, при которой пары имени пользователя и пароля, украденные в результате одной утечки данных, проверяются в других сервисах. Она использует повторное применение паролей: если человек использует один и тот же пароль повсюду, одна утечка ставит под угрозу все его учётные записи.

Миллиарды учётных данных доступны для покупки на рынках даркнета и форумах. Такие инструменты, как Sentry MBA, SNIPR и пользовательские скрипты Python, автоматизируют проверку тысяч пар учётных данных в минуту во многих сервисах одновременно.

Исследования показывают, что более 65% людей повторно используют пароли на нескольких сайтах. Утечка данных слабо защищённого форума может поставить под угрозу банковские, почтовые и корпоративные учётные записи того же пользователя, если он повторно использует учётные данные.

Распыление паролей — это проверка нескольких часто используемых паролей (например, «Spring2024!», «Password1») для множества учётных записей. В отличие от полного перебора, этот метод позволяет избежать блокировок, распределяя попытки между множеством учётных записей и используя по одному паролю за раз.

Сравнение:

• Полный перебор — множество паролей для одной учётной записи → вызывает блокировку
• Распыление паролей — один пароль для множества учётных записей → остаётся ниже порога блокировки
• Подстановка учётных данных — известные пары из утечек → не требует угадывания

Признаки обнаружения:

• Большое число неудачных попыток входа с множества IP
• Внезапное повышение доли успешных попыток по сравнению с базовым уровнем
• Входы из выходных узлов Tor, VPN или домашних прокси
• Отпечатки устройств автоматизированных инструментов
• Входы из географически невозможных местоположений

Признаки распыления:

• Одновременные неудачные попытки входа для множества учётных записей
• Неудачные попытки чуть ниже порога блокировки (например, если блокировка наступает после 5 попыток, для каждой учётной записи наблюдаются 4 неудачные попытки)
• Попытки использовать один и тот же пароль для множества учётных записей

Основные меры защиты:

• MFA — одних украденных учётных данных недостаточно
• Обнаружение паролей из утечек — отклоняйте пароли, известные по утечкам, при регистрации или изменении пароля
• CAPTCHA в формах входа
• Репутация IP — блокируйте известные вредоносные диапазоны
• Идентификация по отпечатку устройства — отмечайте входы с новых устройств

Меры защиты:

• Политики блокировки учётных записей с оповещениями
• MFA для всех учётных записей
• Блокировка распространённых паролей с помощью списка запрета
• Отслеживание признаков распыления в журналах аутентификации
• Условный доступ, требующий дополнительной проверки при аномальных входах

Оповещение пользователей о входах с новых устройств или из новых мест позволяет им немедленно сообщить о захвате учётной записи. Многие сервисы отправляют электронные письма с текстом «Новый вход: [город, устройство]» — пользователям следует проверять неожиданные уведомления и реагировать на них.

Сервис Troy Hunt HaveIBeenPwned объединяет данные об утечках. Организации могут интегрировать API k-анонимности HIBP, чтобы проверять наличие паролей в известных утечках, не отправляя API полный пароль.

Злоумышленник проверяет пароль «Summer2024!» для 50 000 учётных записей, затем ждёт и проверяет пароль «Password1!» для тех же 50 000 учётных записей. Как называется этот метод?

Подстановка учётных данных повторно использует украденные в одной утечке учётные данные для входа в другие сервисы — этот метод работает из-за повторного использования паролей. При распылении паролей распространённые пароли проверяются для множества учётных записей, чтобы избежать блокировок. Меры защиты включают MFA, проверку паролей по данным об утечках, CAPTCHA, блокировку по репутации IP и отслеживание аномальных признаков в журналах аутентификации.