การยัดข้อมูลรับรองและการทดลองรหัสผ่านเป็นชุด

การยัดข้อมูลรับรอง คือการโจมตีแบบอัตโนมัติที่นำคู่ชื่อผู้ใช้/รหัสผ่านซึ่งขโมยมาจากการรั่วไหลของข้อมูลครั้งหนึ่ง ไปทดลองใช้กับบริการอื่น การโจมตีนี้อาศัยการใช้รหัสผ่านซ้ำ — หากใครใช้รหัสผ่านเดียวกันทุกที่ การรั่วไหลเพียงครั้งเดียวก็ทำให้ทุกบัญชีตกอยู่ในความเสี่ยง

มีข้อมูลรับรองหลายพันล้านรายการวางจำหน่ายในตลาดและฟอรัมบนเว็บมืด เครื่องมืออย่าง Sentry MBA, SNIPR และสคริปต์ Python ที่สร้างขึ้นเอง สามารถทำให้การทดสอบคู่ข้อมูลรับรองหลายพันคู่ต่อนาทีในบริการจำนวนมากพร้อมกันเป็นแบบอัตโนมัติ

การศึกษาพบว่าผู้คนมากกว่า 65% ใช้รหัสผ่านซ้ำกันในหลายเว็บไซต์ หากฟอรัมที่มีความปลอดภัยต่ำถูกเจาะ บัญชีธนาคาร อีเมล และบัญชีองค์กรของผู้ใช้คนเดียวกันก็อาจถูกโจมตีได้ หากผู้ใช้นำข้อมูลรับรองเดิมกลับมาใช้ซ้ำ

การโปรยรหัสผ่าน คือการนำรหัสผ่านที่มีผู้ใช้กันทั่วไปจำนวนไม่กี่รายการ (เช่น "Spring2024!", "Password1") ไปทดลองกับหลายบัญชี ต่างจากการเดารหัสผ่านแบบไล่ครบทุกแบบตรงที่วิธีนี้กระจายความพยายามไปยังหลายบัญชี โดยใช้รหัสผ่านทีละรายการเพื่อหลีกเลี่ยงการล็อกบัญชี

การเปรียบเทียบ:

• การเดารหัสผ่านแบบไล่ครบทุกแบบ — ใช้รหัสผ่านจำนวนมากกับบัญชีเดียว → ทำให้บัญชีถูกล็อก
• การโปรยรหัสผ่าน — ใช้รหัสผ่านเดียวกับหลายบัญชี → ยังไม่เกินขีดจำกัดก่อนล็อกบัญชี
• การยัดข้อมูลรับรอง — ใช้คู่ข้อมูลรับรองที่ทราบจากการรั่วไหล → ไม่ได้เดารหัสผ่าน

ตัวบ่งชี้สำหรับการตรวจจับ:

• มีความพยายามเข้าสู่ระบบที่ไม่สำเร็จจำนวนมากจาก IP หลายรายการ
• อัตราความสำเร็จสูงกว่าค่าพื้นฐานอย่างฉับพลัน
• การเข้าสู่ระบบจากโหนดทางออกของ Tor, VPN หรือพร็อกซีจากเครือข่ายบ้านพักอาศัย
• ลายนิ้วมืออุปกรณ์ของเครื่องมืออัตโนมัติ
• การเข้าสู่ระบบจากตำแหน่งทางภูมิศาสตร์ที่เป็นไปไม่ได้

ตัวบ่งชี้ของการโปรยรหัสผ่าน:

• หลายบัญชีมีการเข้าสู่ระบบที่ไม่สำเร็จในเวลาเดียวกัน
• ความพยายามที่ไม่สำเร็จอยู่ต่ำกว่าขีดจำกัดก่อนล็อกบัญชีเพียงเล็กน้อย (เช่น หากล็อกบัญชีเมื่อครบ 5 ครั้ง จะพบความล้มเหลว 4 ครั้งต่อบัญชี)
• มีการลองใช้รหัสผ่านเดียวกันกับหลายบัญชี

การป้องกันที่สำคัญ:

• MFA — ข้อมูลรับรองที่ถูกขโมยเพียงอย่างเดียวไม่เพียงพอ
• การตรวจหารหัสผ่านที่เคยรั่วไหล — ปฏิเสธรหัสผ่านที่ทราบว่าเคยรั่วไหลระหว่างการลงทะเบียนหรือเปลี่ยนรหัสผ่าน
• ใช้ CAPTCHA ในแบบฟอร์มเข้าสู่ระบบ
• ชื่อเสียงของ IP — บล็อกช่วง IP ที่ทราบว่าเป็นอันตราย
• การสร้างลายนิ้วมืออุปกรณ์ — ทำเครื่องหมายการเข้าสู่ระบบจากอุปกรณ์ใหม่

การป้องกัน:

• นโยบายล็อกบัญชี (พร้อมการแจ้งเตือน)
• กำหนดให้ทุกบัญชีต้องใช้ MFA
• บล็อกรหัสผ่านที่ใช้กันทั่วไปด้วยรายการปฏิเสธ
• ตรวจสอบบันทึกเหตุการณ์การยืนยันตัวตนเพื่อหารูปแบบการโปรยรหัสผ่าน
• การเข้าถึงตามเงื่อนไขที่กำหนดให้ยืนยันตัวตนเพิ่มเติมเมื่อพบการเข้าสู่ระบบที่ผิดปกติ

การแจ้งเตือนผู้ใช้เมื่อมีการเข้าสู่ระบบจากอุปกรณ์หรือตำแหน่งใหม่ ช่วยให้ผู้ใช้รายงานการยึดบัญชีได้ทันทีด้วยตนเอง บริการจำนวนมากส่งอีเมลว่า "เข้าสู่ระบบใหม่จาก [เมือง, อุปกรณ์]" — ผู้ใช้ควรตรวจสอบและดำเนินการกับการแจ้งเตือนที่ไม่คาดคิด

เว็บไซต์ของ Troy Hunt ที่ชื่อ HaveIBeenPwned รวบรวมข้อมูลการรั่วไหลของข้อมูล องค์กรสามารถผสานรวมส่วนติดต่อ k-anonymity ของ HIBP เพื่อตรวจสอบว่ารหัสผ่านปรากฏอยู่ในการรั่วไหลที่ทราบหรือไม่ — โดยไม่ต้องส่งรหัสผ่านทั้งหมดไปยังส่วนติดต่อนั้น

การยัดข้อมูลรับรองนำข้อมูลรับรองที่ขโมยมาจากการรั่วไหลครั้งหนึ่งไปใช้กับบริการอื่น โดยอาศัยการใช้รหัสผ่านซ้ำ การโปรยรหัสผ่านนำรหัสผ่านที่ใช้กันทั่วไปไปทดลองกับหลายบัญชีเพื่อหลีกเลี่ยงการล็อกบัญชี การป้องกันได้แก่ MFA การตรวจสอบรหัสผ่านที่เคยรั่วไหล CAPTCHA การบล็อกตามชื่อเสียงของ IP และการตรวจสอบบันทึกเหตุการณ์การยืนยันตัวตนเพื่อหารูปแบบที่ผิดปกติ