Bot de credential stuffing

O credential stuffing explora o fato de que as pessoas reutilizam senhas entre sites. Os atacantes obtêm combolists de nomes de usuário e senhas vazados de vazamentos não relacionados e, em seguida, usam um bot para enviar cada par ao formulário de login de um alvo. Cada login bem-sucedido é uma conta que o atacante agora pode controlar, monetizar ou revender.

Para ter sucesso em volume, o bot precisa evadir a limitação de taxa e a detecção. Ele distribui as tentativas por muitos endereços IP usando pools de proxies, ritma as requisições para não acionar os limiares e muitas vezes dirige navegadores headless para conseguir executar o JavaScript e os desafios que uma página de login moderna apresenta. Quando os desafios aparecem, a operação pode roteá-los para uma fazenda de CAPTCHA.

A economia é desequilibrada a favor do atacante. Mesmo uma baixa taxa de sucesso é lucrativa porque as credenciais de entrada são baratas e o processo é totalmente automatizado, então milhões de tentativas podem render um número que vale a pena de logins válidos. É por isso que o volume bruto de tentativas, e não a esperteza por tentativa, define a ameaça.

As defesas buscam quebrar o volume em vez de julgar cada tentativa isoladamente. As verificações de velocidade capturam rajadas contra muitas contas, a inteligência de rede sinaliza origens suspeitas, e a identificação de dispositivo vincula tentativas que rotacionam seus disfarces de superfície. Reconhecer a própria automação é o que impede o bot de simplesmente espalhar suas tentativas o suficiente para escapar dos limites por conta.