Chiếm đoạt tài khoản (ATO) là gì?

Chiếm đoạt tài khoản là gì?

Chiếm đoạt tài khoản là việc truy cập và kiểm soát trái phép một tài khoản vốn thuộc về đúng người khác. Đặc điểm định nghĩa là kẻ tấn công dùng tài khoản thật thay vì tạo một tài khoản giả, đó là điều khiến ATO khó bắt bằng riêng các kiểm tra danh tính.

Một khi vào bên trong, kẻ tấn công thừa hưởng vị thế của tài khoản: các phương thức thanh toán, giá trị đã lưu, lịch sử mua, danh bạ, và sự tin cậy của nó. Chúng có thể rút cạn tiền, thực hiện các giao dịch mua gian lận, gặt hái dữ liệu cá nhân, rửa tiền, hoặc giữ tài khoản để bán lại. Vì bản thân tài khoản là hợp pháp, các quy tắc gian lận truyền thống vốn tìm kiếm các danh tính mới đáng ngờ chẳng thấy gì sai.

ATO khác với gian lận tài khoản mới, nơi kẻ tấn công chế tạo một danh tính từ đầu. Trong ATO danh tính là chân thực và thông tin đăng nhập là hợp lệ — gian lận nằm ở kẻ đang sử dụng chúng. Điều đó dời bài toán phát hiện từ 'danh tính này có thật không?' sang 'đây có phải chủ sở hữu thật không?', một câu hỏi về thiết bị và hành vi, không phải về tài khoản.

Một cuộc tấn công chiếm đoạt tài khoản hoạt động như thế nào?

Một cuộc tấn công ATO hoạt động qua ba pha: kẻ tấn công thu được thông tin đăng nhập, kiểm định chúng ở quy mô lớn đối chiếu với một điểm cuối đăng nhập, rồi kiếm tiền từ các tài khoản hoạt động. Tự động hóa dẫn dắt pha giữa, đó là nơi các tín hiệu thiết bị và bot có cơ hội can thiệp tốt nhất.

Ở pha thu thập, thông tin đăng nhập đến từ các vụ rò rỉ dữ liệu, các chiến dịch lừa đảo, phần mềm độc hại, hoặc mua trên các chợ tội phạm. Vì người ta tái sử dụng mật khẩu, một bộ thông tin đăng nhập rò rỉ từ một dịch vụ thường mở khóa các tài khoản ở nhiều dịch vụ khác — sự tái sử dụng là toàn bộ tiền đề của ATO quy mô lớn.

Ở pha kiểm định, kẻ tấn công dùng tự động hóa để thử thông tin đăng nhập đối chiếu với các điểm cuối đăng nhập, một hoạt động chồng lấn nhiều với credential stuffing. Các cặp hoạt động sau đó được trao cho pha kiếm tiền, nơi kẻ tấn công thay đổi thông tin liên hệ, thêm phương thức thanh toán, và trích xuất giá trị — thường nhanh chóng, trước khi chủ sở hữu thật nhận ra.

Kẻ tấn công lấy thông tin đăng nhập ở đâu?

Kẻ tấn công thu được thông tin đăng nhập từ bốn nguồn chính: rò rỉ dữ liệu, lừa đảo, phần mềm độc hại, và các chợ tội phạm gom cả ba. Khối lượng có sẵn có nghĩa là gần như mọi cơ sở người dùng lớn đều chồng lấn với một tập dữ liệu rò rỉ nào đó.

Rò rỉ dữ liệu là nguồn cung lớn nhất. Khi một dịch vụ bị xâm phạm, các cặp tên người dùng-mật khẩu của nó lan truyền rộng rãi, và việc tái sử dụng mật khẩu biến một vụ rò rỉ của một trang web thành mối đe dọa với mọi trang web mà cùng những người dùng đó chạm tới. Lừa đảo bổ sung thông tin đăng nhập mới bằng cách lừa người dùng nhập chúng trên các trang đăng nhập giả, và phần mềm độc hại gặt hái chúng trực tiếp từ các thiết bị nhiễm.

Các dòng chảy này hội tụ trong các chợ tội phạm, nơi thông tin đăng nhập được đóng gói, kiểm định, và bán — đôi khi dưới dạng danh sách thô, đôi khi dưới dạng các tài khoản 'hợp lệ' đã kiểm thử sẵn sàng để kiếm tiền. Kinh tế học là lý do ATO dai dẳng: thông tin đăng nhập rẻ, dồi dào, và liên tục được bổ sung.

Các dấu hiệu cảnh báo chiếm đoạt tài khoản là gì?

Các dấu hiệu cảnh báo rõ ràng nhất là một lần đăng nhập từ một thiết bị hoặc vị trí không nhận ra, một thay đổi đột ngột đến thông tin liên hệ hoặc bảo mật của tài khoản, và hoạt động bất thường phá vỡ mẫu đã thiết lập của tài khoản. Các tín hiệu thiết bị làm nổi lên dấu hiệu đầu tiên sớm hơn bất cứ thứ gì khác.

Một lần đăng nhập từ một thiết bị mà tài khoản chưa bao giờ dùng trước đây là chỉ báo sớm dễ nhận nhất, vì tập thiết bị của một chủ sở hữu hợp pháp thay đổi chậm trong khi thiết bị của một kẻ tấn công gần như luôn mới với tài khoản. Các bất thường về vị trí và mạng — một quốc gia mới, một IP trung tâm dữ liệu, một proxy — củng cố tín hiệu.

Hành vi sau truy cập xác nhận điều đó: các thay đổi nhanh đến email, số điện thoại, hoặc mật khẩu (khóa chủ sở hữu thật ra ngoài), các phương thức thanh toán mới, và các giao dịch không khớp lịch sử của tài khoản. Giá trị của phát hiện dựa trên thiết bị là nó có thể gắn cờ lần đăng nhập rủi ro trước khi thiệt hại xảy ra, thay vì sau khi các bất thường hành vi xuất hiện.

• Đăng nhập từ một thiết bị chưa từng liên kết với tài khoản trước đây.
• Nguồn gốc mạng mới hoặc dị thường — quốc gia lạ, IP trung tâm dữ liệu, VPN, hoặc proxy.
• Các thay đổi nhanh đến email, số điện thoại, mật khẩu, hoặc các tùy chọn khôi phục.
• Các phương thức thanh toán mới theo sau bởi hoạt động giá trị cao tức thì.
• Hành vi không nhất quán với mẫu đã thiết lập của tài khoản.

Chiếm đoạt tài khoản gây ra thiệt hại gì?

Chiếm đoạt tài khoản gây ra tổn thất tài chính trực tiếp, gian lận phía sau, và tổn hại danh tiếng cùng vận hành lâu dài. Chi phí trải rộng vượt xa giá trị bị đánh cắp trong bất kỳ sự cố đơn lẻ nào.

Tổn thất tức thì là trộm cắp: các số dư bị rút cạn, các giao dịch mua gian lận, các phần thưởng bị đổi, và các phương thức thanh toán đã lưu bị lạm dụng. Nhưng tài khoản bị xâm phạm cũng là một bàn đạp — dữ liệu của nó nuôi dưỡng lừa đảo và gian lận tiếp theo, và vị thế đáng tin của nó có thể được dùng để tấn công những người dùng khác hoặc các hệ thống kết nối với nó.

Các chi phí gián tiếp thường vượt các chi phí trực tiếp. Nạn nhân mất niềm tin và đôi khi rời đi; các đội hỗ trợ gánh chịu gánh nặng khắc phục và hoàn tiền; và nền tảng thừa hưởng tổn hại danh tiếng và, trong các ngành được quản lý, khả năng phơi bày tuân thủ tiềm tàng. Một sự cố ATO đơn lẻ có thể tốn kém hơn nhiều so với số tiền lấy khỏi tài khoản.

Device intelligence chặn chiếm đoạt tài khoản như thế nào?

Device intelligence chặn ATO bằng cách nhận ra thiết bị đứng sau mỗi lần đăng nhập và gắn cờ truy cập từ các thiết bị lạ hoặc rủi ro cao trước khi kẻ tấn công có thể hành động — một phép kiểm tra mà thông tin đăng nhập hợp lệ không thể tự vượt qua. Vì kẻ tấn công hiếm khi có thiết bị thực của chủ sở hữu, thiết bị trở thành yếu tố mà chúng không thể cung cấp.

Khi một lần đăng nhập đến, hệ thống so sánh thiết bị đang kết nối với tập các thiết bị mà tài khoản đã dùng trước đây. Một thiết bị đã biết, đáng tin đi qua lặng lẽ; một thiết bị không nhận ra nâng rủi ro và có thể kích hoạt xác thực tăng cường, xác minh bổ sung, hoặc một lệnh chặn. Điều này biến bản thân lần đăng nhập thành một trạm kiểm soát mà mật khẩu đánh cắp không vượt qua.

Device intelligence cũng phối hợp với bức tranh mạng và hành vi: một thiết bị mới kết nối qua một IP trung tâm dữ liệu với một dấu vân tay TLS giống bot là một tín hiệu mạnh hơn nhiều khi gộp lại so với bất kỳ phần nào đứng riêng. Và vì danh tính bền vững qua các phiên và các lần xóa cookie, cùng một thiết bị gian lận vẫn nhận ra được ngay cả khi kẻ tấn công xoay vòng thông tin đăng nhập và IP — phơi bày cả đường dây, không chỉ một nỗ lực đơn lẻ.

Các doanh nghiệp có thể ngăn chiếm đoạt tài khoản như thế nào?

Các doanh nghiệp ngăn ATO bằng cách xếp lớp phòng thủ: xác thực dựa trên rủi ro được dẫn dắt bởi các tín hiệu thiết bị, giám sát các dấu hiệu cảnh báo, và ma sát chỉ áp dụng khi rủi ro tăng cao. Không một kiểm soát đơn lẻ nào đủ, nhưng sự kết hợp nâng chi phí của kẻ tấn công lên gay gắt.

Nền tảng là xác thực dựa trên rủi ro — đánh giá các tín hiệu thiết bị, mạng và hành vi lúc đăng nhập và chỉ đòi hỏi xác minh thêm khi có điều gì đó trông sai. Điều này giữ ma sát khỏi đại đa số các lần đăng nhập hợp pháp trong khi tập trung sự soi xét vào thiểu số rủi ro, đó là điều làm cho bảo mật mạnh tương thích với chuyển đổi tốt.

Quanh cái lõi đó là các biện pháp hỗ trợ: giám sát các mẫu credential stuffing đi trước ATO, cảnh báo về các thay đổi nhạy cảm như cập nhật liên hệ và thanh toán, khuyến khích hoặc bắt buộc mật khẩu mạnh, độc nhất và xác thực đa yếu tố, và canh chừng sự tái xuất hiện của các thiết bị gian lận đã biết qua các tài khoản. Cùng nhau, chúng đóng các pha của cuộc tấn công mà riêng phép kiểm tra thiết bị không bao phủ.