Převzetí účtu (ATO)

Převzetí účtu začíná tím, že útočník získá platné přihlašovací údaje. Nejčastějším zdrojem je únik dat: dvojice uživatelského jména a hesla uniklé z jedné služby jsou přehrávány proti mnoha dalším a zneužívají toho, že lidé hesla opakují. Útočníci sbírají přihlašovací údaje také prostřednictvím phishingových stránek, malwaru typu infostealer, který vytahuje hesla uložená v prohlížeči, a sociálního inženýrství procesu obnovy účtu.

Vybaven přihlašovacími údaji útočník automatizuje pokusy o přihlášení ve velkém měřítku. Nástroje pro credential stuffing procházejí miliony dvojic, často rozložených přes velké fondy rezidenčních proxy, takže žádná jednotlivá IP adresa nevykazuje abnormální míru přihlašování. Když je přihlášení úspěšné, relace se buď použije okamžitě, nebo se funkční přihlašovací údaj prodá dál. Aby útočníci porazili vícefaktorové ověření, mohou zachytávat jednorázové kódy prostřednictvím SIM swapu, phishingových proxy v reálném čase nebo bombardování výzvami vyvolávajícím únavu z MFA.

Jakmile je uvnitř, útočník jedná rychle, aby přístup zpeněžil dříve, než si toho skutečný majitel všimne. Mezi typické akce patří vyprázdnění uložených zůstatků a věrnostních bodů, změna registrovaného e-mailu a hesla, aby byl majitel uzamčen venku, přidání nových příjemců plateb, zadávání objednávek na kontrolovanou doručovací adresu nebo využití důvěryhodného účtu jako odrazového můstku k dalšímu phishingu. Historie a reputace kompromitovaného účtu způsobují, že tyto akce vypadají pro navazující systémy legitimně.

Sofistikované kampaně ATO se snaží napodobit normální chování oběti, aby zůstaly pod prahy detekce, přičemž odpovídají obvyklému typu zařízení, přibližné poloze a obvyklým časům přihlášení. Právě proto mají statická pravidla sama o sobě potíže: přihlašovací údaje jsou správné a každá jednotlivá akce může vypadat věrohodně.