Kontokapning (ATO)

Kontokapning börjar med att angriparen skaffar giltiga inloggningsuppgifter. Den vanligaste källan är ett dataintrång: par av användarnamn och lösenord som läckt från en tjänst spelas upp mot många andra, vilket utnyttjar att människor återanvänder lösenord. Angripare samlar också in uppgifter via nätfiskesidor, infostealer-skadeprogram som skrapar sparade lösenord i webbläsaren och social manipulation av kontoåterställningsprocessen.

Beväpnad med inloggningsuppgifter automatiserar angriparen inloggningsförsök i stor skala. Verktyg för credential stuffing går igenom miljontals par, ofta fördelade över stora pooler av residential-proxyer så att ingen enskild IP-adress visar en onormal inloggningsfrekvens. När en inloggning lyckas används sessionen antingen omedelbart eller så säljs den fungerande uppgiften vidare. För att kringgå multifaktorautentisering kan angripare fånga upp engångskoder genom SIM-swap, nätfiskeproxyer i realtid eller överbelastning med MFA-förfrågningar (MFA-fatigue).

Väl inne agerar angriparen snabbt för att omvandla åtkomsten till pengar innan den verkliga ägaren märker något. Typiska åtgärder är att tömma lagrade saldon och lojalitetspoäng, ändra registrerad e-post och lösenord för att låsa ute ägaren, lägga till nya betalningsmottagare, lägga beställningar till en drop-adress eller använda det betrodda kontot som språngbräda för ytterligare nätfiske. Det kapade kontots historik och rykte gör att dessa åtgärder framstår som legitima för efterföljande system.

Sofistikerade ATO-kampanjer försöker efterlikna offrets normala beteende för att hålla sig under upptäcktströsklarna, genom att matcha den vanliga enhetstypen, ungefärliga platsen och inloggningstiderna. Det är därför statiska regler ensamma har svårt: uppgifterna är korrekta och varje enskild åtgärd kan var för sig framstå som rimlig.