क्रेडेंशियल स्टफ़िंग बॉट

क्रेडेंशियल स्टफ़िंग इस तथ्य का फ़ायदा उठाती है कि लोग साइटों के बीच पासवर्ड दोबारा उपयोग करते हैं। हमलावर असंबंधित breaches से लीक हुए यूज़रनेम और पासवर्ड की combolists प्राप्त करते हैं, फिर हर जोड़े को किसी लक्ष्य के login फ़ॉर्म में जमा करने के लिए एक बॉट का उपयोग करते हैं। हर सफल login एक ऐसा अकाउंट है जिसे हमलावर अब नियंत्रित, मुद्रीकृत या पुनर्विक्रय कर सकता है।

बड़ी मात्रा में सफल होने के लिए, बॉट को रेट लिमिटिंग और पहचान से बचना होता है। यह प्रॉक्सी पूलों का उपयोग करके प्रयासों को कई IP पतों में वितरित करता है, थ्रेशोल्ड को छेड़ने से बचने के लिए अनुरोधों को लयबद्ध करता है, और अक्सर हेडलेस ब्राउज़र चलाता है ताकि वह उस JavaScript और चुनौतियों को चला सके जो एक आधुनिक login पेज प्रस्तुत करता है। जब चुनौतियाँ प्रकट होती हैं, तो परिचालन उन्हें किसी CAPTCHA फ़ार्म के पास भेज सकता है।

अर्थशास्त्र हमलावर के पक्ष में असंतुलित है। एक कम सफलता दर भी लाभदायक है क्योंकि इनपुट क्रेडेंशियल सस्ते हैं और प्रक्रिया पूरी तरह स्वचालित है, इसलिए लाखों प्रयास वैध login की एक सार्थक संख्या दे सकते हैं। यही कारण है कि कच्चा प्रयास-वॉल्यूम, न कि प्रति प्रयास चतुराई, इस खतरे को परिभाषित करता है।

बचाव हर प्रयास को अलग-थलग आँकने के बजाय वॉल्यूम को तोड़ने का लक्ष्य रखते हैं। velocity checks कई अकाउंट्स के विरुद्ध होने वाले तेज़ झोंकों को पकड़ती हैं, network intelligence संदिग्ध मूलों को चिह्नित करती है, और device identification उन प्रयासों को जोड़ती है जो अपने सतही भेस घुमाते हैं। स्वचालन को स्वयं पहचानना ही वह चीज़ है जो बॉट को अपने प्रयासों को इतना पतला फैलाने से रोकती है कि वह प्रति-अकाउंट सीमाओं से बच निकले।