Hesap ele geçirme (ATO)

Hesap ele geçirme, saldırganın geçerli kimlik bilgileri elde etmesiyle başlar. En yaygın kaynak bir veri ihlalidir: bir hizmetten sızdırılan kullanıcı adı ve parola çiftleri, insanların parolaları yeniden kullandığı gerçeğinden yararlanılarak birçok başka hizmete karşı denenir. Saldırganlar ayrıca kimlik bilgilerini kimlik avı (phishing) sayfaları, tarayıcıda kayıtlı parolaları çeken infostealer kötü amaçlı yazılımları ve hesap kurtarma sürecine yönelik sosyal mühendislik yoluyla da toplar.

Kimlik bilgileriyle donanan saldırgan, oturum açma denemelerini büyük ölçekte otomatikleştirir. Credential stuffing araçları milyonlarca çifti tarar; bunlar çoğu zaman büyük konut proxy'si havuzlarına dağıtılır, böylece hiçbir tek IP adresi anormal bir oturum açma oranı göstermez. Bir oturum açma başarılı olduğunda, oturum ya hemen kullanılır ya da işe yarayan kimlik bilgisi başkasına satılır. Çok faktörlü kimlik doğrulamayı aşmak için saldırganlar tek kullanımlık kodları SIM swap, gerçek zamanlı kimlik avı proxy'leri veya MFA yorgunluğu yaratan istek bombardımanı yoluyla ele geçirebilir.

İçeri girdikten sonra saldırgan, gerçek sahibi fark etmeden erişimi paraya çevirmek için hızla hareket eder. Tipik eylemler arasında saklanan bakiyeleri ve sadakat puanlarını boşaltmak, sahibi dışarıda bırakmak için kayıtlı e-postayı ve parolayı değiştirmek, yeni ödeme alıcıları eklemek, kontrol edilen bir teslimat adresine sipariş vermek veya güvenilir hesabı yeni kimlik avı saldırıları için bir sıçrama tahtası olarak kullanmak yer alır. Ele geçirilen hesabın geçmişi ve itibarı, bu eylemlerin alt sistemlere meşru görünmesini sağlar.

Gelişmiş ATO kampanyaları, tespit eşiklerinin altında kalmak için mağdurun normal davranışını taklit etmeye çalışır; her zamanki cihaz türüyle, yaklaşık konumla ve olağan oturum açma zamanlarıyla eşleşir. Statik kuralların tek başına zorlanmasının nedeni budur: kimlik bilgileri doğrudur ve tek tek her eylem makul görünebilir.