Credential stuffing-bot

Credential stuffing utnyttjar det faktum att människor återanvänder lösenord mellan webbplatser. Angripare skaffar combolistor med användarnamn och lösenord som läckt från orelaterade intrång och använder sedan en bot för att skicka in varje par till ett måls inloggningsformulär. Varje lyckad inloggning är ett konto som angriparen nu kan kontrollera, tjäna pengar på eller sälja vidare.

För att lyckas i volym måste boten kringgå hastighetsbegränsning och detektering. Den distribuerar försök över många IP-adresser med hjälp av proxypooler, tidsanpassar förfrågningar för att undvika att utlösa tröskelvärden och styr ofta huvudlösa webbläsare så att den kan köra den JavaScript och de utmaningar som en modern inloggningssida presenterar. När utmaningar dyker upp kan operationen dirigera dem till en CAPTCHA-farm.

Ekonomin är skev till angriparens fördel. Även en låg framgångsgrad är lönsam eftersom inmatningsuppgifterna är billiga och processen är helt automatiserad, så miljontals försök kan ge ett antal giltiga inloggningar som är värt besväret. Det är därför den rena försöksvolymen, inte fyndighet per försök, definierar hotet.

Försvar syftar till att bryta volymen snarare än att bedöma varje försök isolerat. Hastighetskontroller fångar skurar mot många konton, nätverksintelligens flaggar misstänkta ursprung, och enhetsidentifiering kopplar ihop försök som roterar sina ytliga förklädnader. Att känna igen själva automatiseringen är vad som hindrar boten från att helt enkelt sprida sina försök tunt nog för att slinka förbi gränser per konto.