Hesap ele geçirme (ATO) nedir?

Hesap ele geçirme nedir?

Hesap ele geçirme, haklı olarak başka birine ait bir hesaba yetkisiz erişim ve onun denetimidir. Belirleyici özellik, saldırganın sahte bir hesap oluşturmak yerine gerçek hesabı kullanmasıdır; işte bu, ATO'yu yalnızca kimlik kontrolleriyle yakalamayı bu kadar zorlaştıran şeydir.

İçeri girdikten sonra saldırgan, hesabın konumunu devralır: ödeme yöntemleri, saklanan değer, satın alma geçmişi, kişiler ve güven. Fonları boşaltabilir, hileli satın almalar yapabilir, kişisel veri toplayabilir, para aklayabilir veya hesabı yeniden satış için tutabilir. Hesabın kendisi meşru olduğu için, şüpheli yeni kimlikleri arayan geleneksel dolandırıcılık kuralları yanlış bir şey görmez.

ATO, saldırganın sıfırdan bir kimlik uydurduğu yeni hesap dolandırıcılığından farklıdır. ATO'da kimlik gerçek ve kimlik bilgileri geçerlidir — dolandırıcılık, onları kullananın kim olduğundadır. Bu, tespit sorununu “bu kimlik gerçek mi?” sorusundan “bu, gerçek sahibi mi?” sorusuna kaydırır; ki bu, hesap değil cihaz ve davranış hakkında bir sorudur.

Bir hesap ele geçirme saldırısı nasıl çalışır?

Bir ATO saldırısı üç aşamada çalışır: saldırgan kimlik bilgilerini elde eder, bunları bir oturum açma uç noktasına karşı ölçekte doğrular ve ardından işe yarayan hesapları paraya çevirir. Otomasyon orta aşamayı yürütür; cihaz ve bot sinyallerinin müdahale etmek için en iyi şansı yakaladığı yer burasıdır.

Edinim aşamasında kimlik bilgileri, veri ihlallerinden, kimlik avı kampanyalarından, kötü amaçlı yazılımdan veya suç pazarlarındaki satın almalardan gelir. İnsanlar parolaları yeniden kullandığı için, bir hizmetten sızdırılan bir kimlik bilgisi seti çoğu zaman başka birçok hizmette hesapların kilidini açar — bu yeniden kullanım, büyük ölçekli ATO'nun tüm önermesidir.

Doğrulama aşamasında saldırganlar, kimlik bilgilerini oturum açma uç noktalarına karşı test etmek için otomasyon kullanır; bu, credential stuffing ile büyük ölçüde örtüşen bir etkinliktir. İşe yarayan çiftler daha sonra, saldırganın iletişim ayrıntılarını değiştirdiği, ödeme yöntemleri eklediği ve değeri çıkardığı paraya çevirme aşamasına — çoğu zaman gerçek sahip fark etmeden önce hızla — teslim edilir.

Saldırganlar kimlik bilgilerini nereden alır?

Saldırganlar kimlik bilgilerini dört ana kaynaktan elde eder: veri ihlalleri, kimlik avı, kötü amaçlı yazılım ve üçünü de toplayan suç pazarları. Mevcut hacim, neredeyse her büyük kullanıcı tabanının bir sızdırılmış veri kümesiyle örtüşmesi anlamına gelir.

Veri ihlalleri en büyük arzdır. Bir hizmet ele geçirildiğinde, kullanıcı adı-parola çiftleri geniş çapta dolaşır ve parola yeniden kullanımı, bir sitenin ihlalini aynı kullanıcıların dokunduğu her site için bir tehdide çevirir. Kimlik avı, kullanıcıları sahte oturum açma sayfalarına bunları girmeleri için kandırarak taze kimlik bilgileri ekler ve kötü amaçlı yazılım bunları doğrudan enfekte cihazlardan toplar.

Bu akışlar, kimlik bilgilerinin paketlendiği, doğrulandığı ve satıldığı suç pazarlarında birleşir — bazen ham listeler, bazen paraya çevrilmeye hazır önceden test edilmiş “geçerli” hesaplar olarak. ATO'nun sürmesinin nedeni ekonomidir: kimlik bilgileri ucuz, bol ve sürekli yenilenir.

Hesap ele geçirmenin uyarı işaretleri nelerdir?

En açık uyarı işaretleri, tanınmayan bir cihazdan veya konumdan gelen bir oturum açma, hesap iletişim veya güvenlik ayrıntılarında ani bir değişiklik ve hesabın yerleşik kalıbını bozan olağandışı etkinliktir. Cihaz sinyalleri ilk işareti her şeyden daha erken yüzeye çıkarır.

Hesabın daha önce hiç kullanmadığı bir cihazdan gelen bir oturum açma, en açık ele verici erken göstergedir; çünkü meşru bir sahibin cihaz seti yavaş değişirken, bir saldırganın cihazı neredeyse her zaman hesap için yenidir. Konum ve ağ anomalileri — yeni bir ülke, bir veri merkezi IP'si, bir proxy — sinyali pekiştirir.

Erişim sonrası davranış bunu doğrular: e-postada, telefonda veya parolada hızlı değişiklikler (gerçek sahibi kilitleme), yeni ödeme yöntemleri ve hesabın geçmişine uymayan işlemler. Cihaz tabanlı tespitin değeri, riskli oturum açmayı davranışsal anomaliler ortaya çıktıktan sonra değil, hasar verilmeden önce işaretleyebilmesidir.

• Hesapla daha önce hiç ilişkilendirilmemiş bir cihazdan oturum açma.
• Yeni veya anormal ağ kökeni — tanıdık olmayan ülke, veri merkezi IP'si, VPN veya proxy.
• E-posta, telefon, parola veya kurtarma seçeneklerinde hızlı değişiklikler.
• Ardından hemen yüksek değerli etkinlik gelen yeni ödeme yöntemleri.
• Hesabın yerleşik kalıbıyla tutarsız davranış.

Hesap ele geçirme ne tür zarar verir?

Hesap ele geçirme, doğrudan finansal kayba, alt akış dolandırıcılığa ve kalıcı itibar ile operasyonel zarara neden olur. Maliyetler, herhangi bir tek olayda çalınan değerin çok ötesine uzanır.

Anlık kayıp hırsızlıktır: boşaltılan bakiyeler, hileli satın almalar, kullanılan ödüller ve suistimal edilen saklı ödeme yöntemleri. Ama ele geçirilmiş hesap aynı zamanda bir sıçrama tahtasıdır — verisi daha fazla kimlik avını ve dolandırıcılığı besler ve güvenilir konumu, ona bağlı diğer kullanıcılara veya sistemlere saldırmak için kullanılabilir.

Dolaylı maliyetler çoğu zaman doğrudan olanları aşar. Mağdurlar güvenini yitirir ve bazen ayrılır; destek ekipleri düzeltme ve geri ödeme yükünü üstlenir; ve platform, itibar zararını ve düzenlenen sektörlerde olası uyumluluk maruziyetini devralır. Tek bir ATO olayı, hesaptan alınan fonlardan çok daha fazlasına mal olabilir.

Cihaz istihbaratı hesap ele geçirmeyi nasıl durdurur?

Cihaz istihbaratı, her oturum açmanın arkasındaki cihazı tanıyarak ve saldırgan harekete geçemeden tanıdık olmayan veya yüksek riskli cihazlardan erişimi işaretleyerek ATO'yu durdurur — geçerli kimlik bilgilerinin tek başına geçemeyeceği bir kontrol. Saldırgan nadiren sahibin gerçek cihazına sahip olduğu için, cihaz onun sağlayamayacağı etken haline gelir.

Bir oturum açma geldiğinde sistem, bağlanan cihazı hesabın daha önce kullandığı cihaz setiyle karşılaştırır. Bilinen, güvenilir bir cihaz sessizce geçer; tanınmayan bir cihaz riski yükseltir ve yükseltilmiş kimlik doğrulamayı, ek doğrulamayı veya bir engellemeyi tetikleyebilir. Bu, oturum açmanın kendisini, çalıntı parolaların geçemediği bir kontrol noktasına çevirir.

Cihaz istihbaratı ayrıca ağ ve davranış tablosuyla birleşir: bot benzeri bir TLS parmak iziyle bir veri merkezi IP'si üzerinden bağlanan yeni bir cihaz, birlikte, herhangi bir parçadan tek başına çok daha güçlü bir sinyaldir. Ve kimlik oturumlar ile çerez temizlikleri boyunca kalıcı olduğu için, saldırgan kimlik bilgilerini ve IP'leri değiştirse bile aynı dolandırıcılık cihazı tanınabilir — yalnızca tek girişimi değil, şebekeyi açığa çıkarır.

İşletmeler hesap ele geçirmeyi nasıl önleyebilir?

İşletmeler ATO'yu savunmaları katmanlayarak önler: cihaz sinyalleriyle yönlendirilen risk tabanlı kimlik doğrulama, uyarı işaretlerinin izlenmesi ve yalnızca risk yükseldiğinde uygulanan sürtünme. Hiçbir tek denetim yeterli değildir, ama birleşim saldırganın maliyetini keskin biçimde yükseltir.

Temel, risk tabanlı kimlik doğrulamadır — oturum açmada cihaz, ağ ve davranış sinyallerini değerlendirmek ve yalnızca bir şey yanlış göründüğünde ek doğrulama istemek. Bu, meşru oturum açmaların büyük çoğunluğundan sürtünmeyi uzak tutarken incelemeyi riskli azınlığa yoğunlaştırır; güçlü güvenliği iyi dönüşümle uyumlu kılan da budur.

Bu çekirdeğin çevresinde destekleyici önlemler yer alır: ATO'dan önce gelen credential stuffing kalıplarını izlemek, iletişim ve ödeme güncellemeleri gibi hassas değişikliklerde uyarı vermek, güçlü benzersiz parolaları ve çok faktörlü kimlik doğrulamayı teşvik etmek veya zorunlu kılmak ve bilinen dolandırıcılık cihazlarının hesaplar arasında yinelenmesini gözetlemek. Birlikte, cihaz kontrolünün tek başına kapsamadığı saldırı aşamalarını kapatırlar.