Kimlik Bilgisi Doldurma ve Parola Spreyleme

Kimlik bilgisi doldurma, bir veri ihlalinden çalınan kullanıcı adı/parola çiftlerini alıp başka hizmetlerde deneyen otomatik bir saldırıdır. Parolaların yeniden kullanılmasından yararlanır — biri her yerde aynı parolayı kullanıyorsa tek bir ihlal tüm hesapları tehlikeye atar.

Milyarlarca kimlik bilgisi karanlık ağ pazarlarında ve forumlarında satın alınabilir. Sentry MBA, SNIPR ve özel Python betikleri gibi araçlar, birçok hizmette eş zamanlı olarak dakikada binlerce kimlik bilgisi çiftini sınamayı otomatikleştirir.

Araştırmalar, insanların %65'ten fazlasının parolalarını birden fazla sitede yeniden kullandığını gösteriyor. Düşük güvenlikli bir forumdaki ihlal, aynı kullanıcı kimlik bilgilerini yeniden kullanıyorsa o kullanıcının bankacılık, e-posta ve kurumsal hesaplarını da tehlikeye atabilir.

Parola püskürtme, birçok hesaba karşı birkaç yaygın kullanılan parolayı (ör. "Spring2024!", "Password1") dener. Kaba kuvvetten farklı olarak denemeleri tek seferde bir parola kullanarak birçok hesaba yayar ve hesap kilitlemelerinden kaçınır.

Karşılaştırma:

• Kaba kuvvet — tek hesaba karşı birçok parola → kilitlemeyi tetikler
• Parola püskürtme — birçok hesaba karşı tek parola → kilitleme eşiğinin altında kalır
• Kimlik bilgisi doldurma — ihlallerden bilinen çiftler → tahmin etmez

Tespit göstergeleri:

• Birçok IP'den gelen yüksek hacimli başarısız giriş denemeleri
• Başarı oranının temel düzeyden aniden yükselmesi
• Tor çıkış düğümlerinden, VPN'lerden veya konut vekil sunucularından girişler
• Otomatik araçlara ait cihaz parmak izleri
• Coğrafi olarak imkânsız konumlardan girişler

Püskürtme göstergeleri:

• Aynı anda birçok hesapta başarısız girişler
• Kilitleme eşiğinin hemen altında kalan başarısız denemeler (ör. kilitleme değeri 5 ise hesap başına 4 başarısız deneme görülmesi)
• Aynı parolanın birçok hesapta denenmesi

Temel savunmalar:

• MFA — çalınan kimlik bilgileri tek başına yetersizdir
• İhlal edilmiş parola tespiti — kayıt veya değiştirme sırasında bilinen veri ihlallerinde açığa çıkmış parolaları reddedin
• Giriş formlarında CAPTCHA
• IP itibarı — bilinen kötü amaçlı adres aralıklarını engelleyin
• Cihaz parmak izi çıkarma — yeni cihaz girişlerini işaretleyin

Savunmalar:

• Hesap kilitleme ilkeleri (uyarılarla birlikte)
• Tüm hesaplar için MFA zorunluluğu
• Yaygın parolaları bir reddetme listesiyle engelleyin
• Püskürtme örüntüleri için kimlik doğrulama günlüklerini izleyin
• Anormal girişler için ek doğrulama gerektiren koşullu erişim

Kullanıcıları yeni cihazlardan veya konumlardan yapılan girişler konusunda uyarmak, hesap ele geçirmelerini anında kendilerinin bildirmesine olanak tanır. Birçok hizmet "[Şehir, Cihaz] konumundan yeni giriş" e-postaları gönderir — kullanıcılar beklenmedik bildirimleri incelemeli ve bunlara göre işlem yapmalıdır.

Troy Hunt'ın HaveIBeenPwned hizmeti, veri ihlali verilerini bir araya getirir. Kuruluşlar, parolaların bilinen ihlallerde bulunup bulunmadığını kontrol etmek için HIBP k-anonimlik API'sini tüm parolayı API'ye göndermeden entegre edebilir.

Bir saldırgan 50.000 hesaba karşı "Summer2024!" parolasını dener, sonra bekler ve aynı 50.000 hesaba karşı "Password1!" parolasını dener. Bu hangi tekniktir?

Kimlik bilgisi doldurma, bir ihlalden çalınan kimlik bilgilerini parola yeniden kullanımı nedeniyle başka hizmetlerde yeniden kullanır. Parola püskürtme, kilitlemelerden kaçınmak için birçok hesapta yaygın parolaları dener. Savunmalar arasında MFA, ihlal edilmiş parola denetimi, CAPTCHA, IP itibarı engellemesi ve anormal örüntüler için kimlik doğrulama günlüklerinin izlenmesi bulunur.