Wat is credential stuffing?

Wat is credential stuffing?

Credential stuffing is het geautomatiseerd, grootschalig afspelen van eerder gestolen logingegevens tegen het authenticatie-endpoint van een doelwit, in de hoop dat gebruikers die inloggegevens hebben hergebruikt. Het is een aanval van schaal en hergebruik, niet van slimheid.

De aanvaller begint met een lijst van echte paren van gebruikersnaam en wachtwoord — vaak miljoenen — gelekt uit een of ander niet-gerelateerd lek. De automatisering stuurt elk paar naar het loginformulier van het doelwit. Overal waar een gebruiker het wachtwoord heeft hergebruikt, werkt de login, en dat account is nu gecompromitteerd. De aanvaller heeft geen enkele kennis over enig individueel slachtoffer nodig; de gelekte lijst en het hergebruik van wachtwoorden doen al het werk.

Dat maakt credential stuffing anders dan brute-force-aanvallen, die wachtwoorden raden voor een bekende gebruiker, en dan password spraying, dat enkele veelvoorkomende wachtwoorden test tegen vele accounts. Credential stuffing gebruikt volledige, reeds geldige paren, en daarom slaagt het met percentages die puur raden nooit haalt.

Hoe werkt een credential-stuffing-aanval?

Een credential-stuffing-aanval werkt door een lijst met gelekte inloggegevens in de automatisering te laden, de loginpogingen over vele IP's en apparaten te verspreiden om snelheidslimieten te omzeilen en de werkende paren te verzamelen voor latere verzilvering.

De aanvaller rust de automatisering — van eenvoudige scripts tot headless browsers — uit met de lijst inloggegevens en richt haar op het loginendpoint. Om de voor de hand liggende verdediging van het blokkeren van een IP na veel mislukkingen te ontwijken, wordt het verkeer verspreid over residentiële proxynetwerken en gerouleerde user agents, zodat elke poging van een andere gewone gebruiker lijkt te komen.

De geslaagde logins worden geregistreerd en gescheiden van de mislukkingen. Die gevalideerde accounts worden vervolgens rechtstreeks uitgebuit, verkocht als geverifieerde inloggegevens of doorgegeven aan een verzilverfase die waarde leeghaalt. De hele pijplijn is geïndustrialiseerd: tools, proxytoegang en inloggegevenslijsten zijn allemaal direct beschikbaar, en daarom is de aanval zo wijdverspreid.

Waarom slaagt credential stuffing zo vaak?

Credential stuffing slaagt omdat het hergebruik van wachtwoorden wijdverbreid is, gelekte inloggegevens overvloedig en goedkoop zijn en de automatiserings- en proxy-infrastructuur die nodig is om de aanval uit te voeren tot handelswaar is geworden. Elk deel van de vergelijking begunstigt de aanvaller.

Het hergebruik van wachtwoorden is de grondoorzaak. Wanneer hetzelfde e-mailadres en wachtwoord de accounts van een persoon bij vele diensten ontgrendelen, stelt één enkel lek ze allemaal bloot, en hoeven aanvallers alleen de diensten te vinden waar het slachtoffer zijn inloggegevens heeft hergebruikt. Hergebruik verandert een lek in een loper.

Het aanbod en de tools doen de rest. Enorme datasets met inloggegevens circuleren vrijelijk, residentiële proxy's laten het verkeer legitiem lijken en kant-en-klare tools automatiseren het hele proces. Omdat zelfs een klein slagingspercentage op een massale lijst duizenden accounts oplevert, werkt de economie sterk in het voordeel van de aanvaller — precies waarom de verdedigingen die economie moeten aanvallen.

Wat zijn de signalen van een credential-stuffing-aanval?

De handtekeningen van credential stuffing zijn een piek in loginpogingen, een abnormaal hoog mislukkingspercentage en verkeerspatronen die automatisering onthullen ondanks de inspanningen om menselijk te lijken. Samen bezien zijn ze moeilijk te verwarren met organische activiteit.

Het volume is het eerste signaal: een plotselinge uitschieter van loginpogingen ver boven het normale niveau, vaak geconcentreerd op het authenticatie-endpoint. Omdat de meeste afgespeelde inloggegevens niet overeenkomen, stijgt het mislukkingspercentage tot niveaus die geen populatie van legitieme gebruikers produceert — een verhouding van geslaagde logins die omkeert wat je normaal zou zien.

De samenstelling van het verkeer verraadt de automatisering. Zelfs verspreid over vele IP's delen de pogingen aanwijzingen: TLS-vingerafdrukken die typisch zijn voor automatisering, datacenter- of bekende proxyoorsprongen vermengd met residentiële ruis, mechanische timing en apparaatsignalen die terugkeren in zogenaamd niet-gerelateerde sessies. De correlatie op apparaatniveau ontmaskert de ene campagne die zich achter duizenden IP's verbergt.

• Een scherpe piek in het loginvolume tegen het authenticatie-endpoint.
• Een abnormaal hoog login-mislukkingspercentage, doordat de meeste afgespeelde paren missen.
• Verkeer verspreid over vele IP's dat toch apparaat- of TLS-kenmerken deelt.
• Automatiseringsaanwijzingen: proxy- en datacenteroorsprongen, vingerafdrukken van scriptingbibliotheken en mechanische timing.

Waarom kunnen wachtwoorden en snelheidslimieten het niet tegenhouden?

Wachtwoorden en snelheidslimieten per IP falen omdat de aanval geldige inloggegevens gebruikt en zich over duizenden IP's verspreidt, waarmee beide verdedigingen per ontwerp worden verslagen. Elk ervan is gebouwd voor een dreigingsmodel dat credential stuffing bewust omzeilt.

Sterk-wachtwoordbeleid beschermt alleen de accounts van je eigen dienst; het doet niets aan een inloggegeven dat de gebruiker heeft hergebruikt van een andere site die is gelekt. Het wachtwoord is geldig, dus het doorstaat elke sterkte- en correctheidscontrole. De kwetsbaarheid leeft in een hergebruik dat het platform niet kan zien of controleren.

Snelheidsbeperking per IP ging ervan uit dat een aanvaller vanaf één enkel adres opereerde, dus blokkeren na een reeks mislukkingen hield hem tegen. Residentiële proxynetwerken slopen die aanname door elke poging een nieuw, legitiem ogend IP te geven, waarbij elke oorsprong onder de drempel blijft. Snelheidsbeperking per IP heeft simpelweg niets duurzaams om op te tellen. De duurzame identificator die de aanvaller niet goedkoop kan rouleren, is het apparaat.

Hoe houdt device intelligence credential stuffing tegen?

Device intelligence houdt credential stuffing tegen door het apparaat achter elke poging te identificeren, zodat snelheidsbeperking en blokkering opereren op een duurzame identiteit die IP-rotatie overleeft, en door de automatisering te signaleren waarvan de aanval afhangt. Ze gaat rechtstreeks in tegen de kernontwijking van de aanval.

Omdat de apparaatidentiteit standhoudt over IP's heen, is één enkel fraude-apparaat dat de login bestookt herkenbaar, ongeacht achter hoeveel residentiële proxy's het zich verbergt. Snelheidslimieten opgelegd per apparaat — en niet per IP — hebben eindelijk iets stabiels om op te tellen, zodat de aanvaller zijn budget niet langer kan resetten door een ander adres te lenen.

Bovendien ontmaskeren de bot- en automatiseringssignalen de tools zelf: artefacten van headless browsers, TLS-vingerafdrukken van scriptingbibliotheken en gedragsaanwijzingen markeren het verkeer als geautomatiseerd, ongeacht de geldige inloggegevens die het meedraagt. En omdat hetzelfde apparaat terugkeert over accounts heen, onthult apparaatcorrelatie de hele campagne — waarmee duizenden verspreide pogingen worden omgezet in één identificeerbare aanvaller die je onmiddellijk kunt blokkeren.

Hoe kunnen bedrijven zich tegen credential stuffing verdedigen?

Bedrijven verdedigen zich tegen credential stuffing met een gelaagde strategie: detectie en snelheidsbeperking op apparaatniveau, botdetectie in de loginflow, op risico gebaseerde authenticatie en monitoring van de handtekeningen van de aanval. De lagen sluiten de leemten die elke controle op zichzelf laat.

De verdedigingen op apparaatniveau zijn het centrale stuk omdat ze de ontwijking door IP-rotatie neutraliseren die de aanval haalbaar maakt — snelheidsbeperking en blokkering per apparaat in plaats van per adres. Botdetectie voegt een tweede front toe en betrapt de automatisering via omgevings-, netwerk- en gedragssignalen zelfs wanneer de inloggegevens geldig zijn.

Daaromheen vereist op risico gebaseerde authenticatie versterkte verificatie wanneer een login verdacht lijkt, wat de waarde uitholt van elke inloggegevens die ontsnappen, en het monitoren van volumepieken en afwijkingen in het mislukkingspercentage geeft vroege waarschuwing van een lopende campagne. Unieke wachtwoorden en MFA aanmoedigen vermindert het onderliggende hergebruik dat de aanval uitbuit. Samen laten de lagen de economie van de aanval ophouden met werken.