การยึดบัญชี (ATO) คืออะไร?

การยึดบัญชีคืออะไร?

การยึดบัญชีคือการเข้าถึงและควบคุมบัญชีที่เป็นของบุคคลอื่นโดยชอบธรรมโดยไม่ได้รับอนุญาต ลักษณะเฉพาะที่นิยามคือ ผู้โจมตีใช้บัญชีจริงแทนที่จะสร้างบัญชีปลอม และนั่นคือสิ่งที่ทำให้ ATO ยากที่จะจับด้วยการตรวจสอบตัวตนเพียงอย่างเดียว

เมื่อเข้าไปแล้ว ผู้โจมตีสืบทอดสถานะของบัญชี ได้แก่ วิธีการชำระเงิน มูลค่าที่จัดเก็บ ประวัติการซื้อ ผู้ติดต่อ และความไว้วางใจ เขาสามารถดูดเงิน ทำการซื้อที่ฉ้อโกง เก็บเกี่ยวข้อมูลส่วนบุคคล ฟอกเงิน หรือกักบัญชีไว้ขายต่อ เพราะบัญชีเองถูกต้องตามกฎหมาย กฎการฉ้อโกงแบบดั้งเดิมที่มองหาตัวตนใหม่ที่น่าสงสัยจึงไม่เห็นอะไรผิดปกติ

ATO แตกต่างจากการฉ้อโกงบัญชีใหม่ ซึ่งผู้โจมตีสร้างตัวตนขึ้นจากศูนย์ ใน ATO ตัวตนเป็นของแท้และข้อมูลรับรองใช้ได้ — การฉ้อโกงอยู่ที่ว่าใครถือมันอยู่ สิ่งนี้ย้ายปัญหาการตรวจจับจาก ตัวตนนี้เป็นของจริงหรือไม่ ไปสู่ นี่คือเจ้าของที่แท้จริงหรือไม่ ซึ่งเป็นคำถามเกี่ยวกับอุปกรณ์และพฤติกรรม ไม่ใช่เกี่ยวกับบัญชี

การโจมตียึดบัญชีทำงานอย่างไร?

การโจมตี ATO ทำงานในสามระยะ ผู้โจมตีได้ข้อมูลรับรอง ตรวจสอบความถูกต้องในระดับใหญ่กับเอนด์พอยต์การล็อกอิน แล้วสร้างรายได้จากบัญชีที่ใช้ได้ การทำงานอัตโนมัติขับเคลื่อนระยะกลาง ซึ่งเป็นจุดที่สัญญาณของอุปกรณ์และบอตมีโอกาสเข้าแทรกแซงได้ดีที่สุด

ในระยะการได้มา ข้อมูลรับรองมาจากการรั่วไหลของข้อมูล แคมเปญฟิชชิง มัลแวร์ หรือการซื้อในตลาดอาชญากรรม เพราะผู้คนใช้รหัสผ่านซ้ำ ชุดข้อมูลรับรองที่รั่วไหลจากบริการหนึ่งจึงมักปลดล็อกบัญชีในบริการอื่นอีกมากมาย — การใช้ซ้ำคือหลักการทั้งหมดของ ATO ในระดับใหญ่

ในระยะการตรวจสอบความถูกต้อง ผู้โจมตีใช้การทำงานอัตโนมัติเพื่อทดสอบข้อมูลรับรองกับเอนด์พอยต์การล็อกอิน กิจกรรมที่ซ้อนทับกับ credential stuffing อย่างมาก คู่ที่ใช้ได้จะถูกส่งต่อไปยังระยะการสร้างรายได้ ซึ่งผู้โจมตีเปลี่ยนข้อมูลติดต่อ เพิ่มวิธีการชำระเงิน และดึงมูลค่าออก — มักเร็ว ก่อนที่เจ้าของที่แท้จริงจะรู้ตัว

ผู้โจมตีได้ข้อมูลรับรองมาจากไหน?

ผู้โจมตีได้ข้อมูลรับรองจากสี่แหล่งหลัก ได้แก่ การรั่วไหลของข้อมูล ฟิชชิง มัลแวร์ และตลาดอาชญากรรมที่รวมสามอย่างแรกเข้าด้วยกัน ปริมาณที่มีอยู่ทำให้ฐานผู้ใช้ขนาดใหญ่เกือบทุกฐานซ้อนทับกับชุดข้อมูลที่รั่วไหลบางชุด

การรั่วไหลของข้อมูลเป็นแหล่งที่ใหญ่ที่สุด เมื่อบริการหนึ่งถูกเจาะ คู่ชื่อผู้ใช้และรหัสผ่านของมันหมุนเวียนอย่างกว้างขวาง และการใช้รหัสผ่านซ้ำเปลี่ยนการรั่วไหลของเว็บไซต์หนึ่งให้เป็นภัยคุกคามต่อทุกเว็บไซต์ที่ผู้ใช้คนเดียวกันเข้าถึง ฟิชชิงเพิ่มข้อมูลรับรองใหม่โดยหลอกผู้ใช้ให้พิมพ์มันลงในหน้าล็อกอินปลอม และมัลแวร์เก็บเกี่ยวมันโดยตรงจากอุปกรณ์ที่ติดเชื้อ

กระแสเหล่านี้มาบรรจบกันในตลาดอาชญากรรม ที่ข้อมูลรับรองถูกบรรจุ ตรวจสอบความถูกต้อง และขาย — บางครั้งเป็นรายการดิบ บางครั้งเป็นบัญชีที่ ใช้ได้ ที่ผ่านการทดสอบล่วงหน้าและพร้อมสร้างรายได้ เศรษฐศาสตร์คือเหตุผลที่ ATO ยังคงอยู่ ข้อมูลรับรองราคาถูก มีมากมาย และถูกเติมเต็มอย่างต่อเนื่อง

สัญญาณเตือนของการยึดบัญชีมีอะไรบ้าง?

สัญญาณเตือนที่ชัดเจนที่สุดคือการล็อกอินจากอุปกรณ์หรือตำแหน่งที่ไม่รู้จัก การเปลี่ยนแปลงข้อมูลติดต่อหรือความปลอดภัยของบัญชีอย่างกะทันหัน และกิจกรรมผิดปกติที่ทำลายรูปแบบที่ตั้งไว้ของบัญชี สัญญาณของอุปกรณ์นำร่องรอยแรกขึ้นมาก่อนสิ่งอื่นใด

การล็อกอินจากอุปกรณ์ที่บัญชีไม่เคยใช้มาก่อนเป็นตัวบ่งชี้เริ่มต้นที่บอกได้มากที่สุด เพราะชุดอุปกรณ์ของเจ้าของที่ถูกต้องเปลี่ยนช้า ในขณะที่อุปกรณ์ของผู้โจมตีเกือบจะใหม่ต่อบัญชีเสมอ ความผิดปกติของตำแหน่งและเครือข่าย — ประเทศใหม่ IP ของดาต้าเซ็นเตอร์ พร็อกซี — เสริมความแข็งแกร่งให้สัญญาณ

พฤติกรรมหลังการเข้าถึงยืนยัน ได้แก่ การเปลี่ยนอีเมล โทรศัพท์ หรือรหัสผ่านอย่างรวดเร็ว (ล็อกเจ้าของที่แท้จริงออก) วิธีการชำระเงินใหม่ และธุรกรรมที่ไม่เข้ากับประวัติของบัญชี คุณค่าของการตรวจจับที่อิงกับอุปกรณ์คือความสามารถในการสัญญาณเตือนการล็อกอินที่เสี่ยงก่อนที่ความเสียหายจะเกิด ไม่ใช่หลังจากความผิดปกติเชิงพฤติกรรมปรากฏ

• การล็อกอินจากอุปกรณ์ที่ไม่เคยเชื่อมโยงกับบัญชีมาก่อน
• ต้นกำเนิดของเครือข่ายที่ใหม่หรือผิดปกติ — ประเทศที่ไม่รู้จัก IP ของดาต้าเซ็นเตอร์ VPN หรือพร็อกซี
• การเปลี่ยนอีเมล โทรศัพท์ รหัสผ่าน หรือตัวเลือกการกู้คืนอย่างรวดเร็ว
• วิธีการชำระเงินใหม่ตามด้วยกิจกรรมมูลค่าสูงทันที
• พฤติกรรมที่ไม่สอดคล้องกับรูปแบบที่ตั้งไว้ของบัญชี

การยึดบัญชีก่อความเสียหายอะไร?

การยึดบัญชีก่อให้เกิดความสูญเสียทางการเงินโดยตรง การฉ้อโกงต่อเนื่อง และความเสียหายต่อชื่อเสียงและการดำเนินงานที่ยั่งยืน ต้นทุนเกินกว่ามูลค่าที่ถูกขโมยในเหตุการณ์เดี่ยวใด ๆ ไปมาก

ความสูญเสียทันทีคือการโจรกรรม ได้แก่ ยอดคงเหลือที่ถูกดูด การซื้อที่ฉ้อโกง รางวัลที่ถูกแลก และวิธีการชำระเงินที่จัดเก็บที่ถูกใช้ในทางที่ผิด แต่บัญชีที่ถูกเจาะยังเป็นแท่นกระโดด ข้อมูลของมันป้อนฟิชชิงและการฉ้อโกงใหม่ และสถานะที่เชื่อถือได้ของมันสามารถถูกใช้โจมตีผู้ใช้อื่นหรือระบบที่เชื่อมต่อกับมัน

ต้นทุนทางอ้อมมักเกินต้นทุนทางตรง เหยื่อสูญเสียความไว้วางใจและบางครั้งก็จากไป ทีมสนับสนุนแบกรับภาระการแก้ไขและการคืนเงิน และแพลตฟอร์มสืบทอดความเสียหายต่อชื่อเสียง และในอุตสาหกรรมที่ถูกกำกับดูแล มีความเสี่ยงด้านความสอดคล้องที่อาจเกิดขึ้น เหตุการณ์ ATO เดียวสามารถมีต้นทุนมากกว่าเงินที่ถูกถอนออกจากบัญชีมาก

Device intelligence หยุดการยึดบัญชีอย่างไร?

Device intelligence หยุด ATO ด้วยการรับรู้อุปกรณ์ที่อยู่เบื้องหลังทุกการล็อกอินและสัญญาณเตือนการเข้าถึงจากอุปกรณ์ที่ไม่รู้จักหรือมีความเสี่ยงสูงก่อนที่ผู้โจมตีจะลงมือได้ — การตรวจสอบที่ข้อมูลรับรองที่ใช้ได้ผ่านไปเองไม่ได้ เพราะผู้โจมตีแทบไม่เคยมีอุปกรณ์จริงของเจ้าของ อุปกรณ์จึงกลายเป็นปัจจัยที่เขาไม่สามารถจัดหาได้

เมื่อการล็อกอินมาถึง ระบบเปรียบเทียบอุปกรณ์ที่เชื่อมต่อกับชุดอุปกรณ์ที่บัญชีเคยใช้ อุปกรณ์ที่รู้จักและเชื่อถือได้ผ่านไปอย่างเงียบ ๆ อุปกรณ์ที่ไม่รู้จักยกระดับความเสี่ยงและอาจกระตุ้นการยืนยันตัวตนที่เข้มขึ้น การยืนยันเพิ่มเติม หรือการบล็อก สิ่งนี้เปลี่ยนตัวการล็อกอินเองให้เป็นด่านตรวจที่รหัสผ่านที่ถูกขโมยเอาชนะไม่ได้

Device intelligence ยังผสานกับภาพของเครือข่ายและพฤติกรรม อุปกรณ์ใหม่ที่เชื่อมต่อผ่าน IP ของดาต้าเซ็นเตอร์ด้วยลายนิ้วมือ TLS ที่ดูเหมือนบอตเป็นสัญญาณที่แข็งแกร่งกว่ามากเมื่อรวมกันมากกว่าส่วนใดส่วนหนึ่งเพียงลำพัง และเพราะตัวตนคงอยู่ข้ามเซสชันและการล้างคุกกี้ อุปกรณ์ฉ้อโกงเครื่องเดียวกันจึงรับรู้ได้แม้ในขณะที่ผู้โจมตีหมุนเวียนข้อมูลรับรองและ IP — เปิดโปงเครือข่าย ไม่ใช่แค่ความพยายามเดี่ยว

ธุรกิจจะป้องกันการยึดบัญชีได้อย่างไร?

ธุรกิจป้องกัน ATO ด้วยการซ้อนการป้องกัน ได้แก่ การยืนยันตัวตนที่อิงความเสี่ยงซึ่งขับเคลื่อนด้วยสัญญาณของอุปกรณ์ การตรวจสอบสัญญาณเตือน และแรงเสียดทานที่ใช้เฉพาะเมื่อความเสี่ยงสูงขึ้นเท่านั้น ไม่มีการควบคุมเดี่ยวใดเพียงพอ แต่การผสมผสานทำให้ต้นทุนของผู้โจมตีสูงขึ้นอย่างชัน

รากฐานคือการยืนยันตัวตนที่อิงความเสี่ยง — ประเมินสัญญาณของอุปกรณ์ เครือข่าย และพฤติกรรมในการล็อกอิน และเรียกร้องการยืนยันเพิ่มเติมก็ต่อเมื่อมีบางอย่างดูผิดปกติ สิ่งนี้ทำให้แรงเสียดทานอยู่ห่างจากการล็อกอินที่ถูกต้องส่วนใหญ่และมุ่งความเข้มงวดไปที่ส่วนน้อยที่เสี่ยง ซึ่งเป็นสิ่งที่ทำให้ความปลอดภัยที่แข็งแกร่งเข้ากันได้กับการแปลงที่ดี

รอบ ๆ แกนกลางนี้มีมาตรการสนับสนุน ได้แก่ การตรวจสอบรูปแบบ credential stuffing ที่นำหน้า ATO การแจ้งเตือนการเปลี่ยนแปลงที่ละเอียดอ่อน เช่น การอัปเดตข้อมูลติดต่อและการชำระเงิน การส่งเสริมหรือเรียกร้องรหัสผ่านที่แข็งแกร่งและไม่ซ้ำและการยืนยันตัวตนหลายปัจจัย และการเฝ้าระวังการกลับมาของอุปกรณ์ฉ้อโกงที่รู้จักข้ามบัญชี เมื่อรวมกัน พวกมันปิดระยะของการโจมตีที่การตรวจสอบอุปกรณ์เพียงอย่างเดียวไม่ครอบคลุม