Credential Stuffing

Credential Stuffing ist ein automatisierter Angriff, der aus Lecks gestohlene Anmeldedaten verwendet, um Zugriff auf mehrere Dienste zu versuchen, und die Wiederverwendung von Passwörtern durch Benutzer ausnutzt.

Was ist Credential Stuffing

Credential Stuffing tritt auf, wenn Angreifer Listen von Benutzernamen und Passwörtern verwenden, die bei Datenlecks (Breaches) erlangt wurden, um Zugriff auf andere Dienste zu versuchen. Im Gegensatz zu brute force verwendet Credential Stuffing echte, zuvor kompromittierte Anmeldedaten.

Der Angriff nutzt das gängige Verhalten von Benutzern aus, dieselben Anmeldedaten auf mehreren Websites und Diensten wiederzuverwenden. Mit Milliarden von Anmeldedaten, die in breach databases verfügbar sind, erzielen Angreifer eine hohe Erfolgsquote.

Wie es Funktioniert

1. Beschaffung von Anmeldedaten: Angreifer beschaffen sich Credential-Dumps aus öffentlichen Lecks oder underground markets.

2. Vorbereitung von Listen: Anmeldedaten werden formatiert und für den automatisierten Angriff vorbereitet.

3. Einsatz von Bots: Automatisierte Tools testen Tausende von Anmeldedaten pro Minute gegen Zieldienste.

4. Umgehung der Erkennung: Einsatz von rotierenden Proxies, variierenden User-Agents und Techniken zur CAPTCHA-Umgehung.

5. Account Takeover: Gültige Anmeldedaten werden für unbefugten Zugriff, Betrug oder Weiterverkauf ausgenutzt.

Auswirkungen von Credential Stuffing

Account Takeover: Kompromittierung von Konten legitimer Benutzer.

Finanzbetrug: Zugriff auf Bankkonten, Kreditkarten, digitale Wallets.

Datendiebstahl: Zugriff auf persönliche, geschäftliche oder vertrauliche Informationen.

Reputationsschäden: Verlust des Kundenvertrauens nach erfolgreichen Angriffen.

Betriebskosten: Ressourcen, die für Erkennung, Reaktion, Benachrichtigung und Support für betroffene Benutzer aufgewendet werden.

Infrastrukturüberlastung: Großangelegte Angriffe können die Leistung von Diensten beeinträchtigen.

In Angriffen verwendete Tools

Sentry MBA: Beliebtes Tool für Credential Stuffing mit Unterstützung für mehrere Websites.

STORM: Angriffs-Framework mit Modulen für verschiedene Dienste.

SNIPR: Auf Angriffe gegen APIs spezialisiertes Tool.

OpenBullet: Open-Source-Framework zur Angriffsautomatisierung.

Botnets: Netzwerke kompromittierter Maschinen verteilen großangelegte Angriffe.

Abwehrtechniken

Multi-Factor Authentication (MFA): Fügt eine zusätzliche Verifizierungsebene über Benutzername und Passwort hinaus hinzu.

Rate Limiting: Begrenzt die Anzahl der Anmeldeversuche pro IP, Benutzer oder Sitzung.

CAPTCHA: Fordert Benutzer auf zu beweisen, dass sie Menschen sind und keine Bots.

Device Fingerprinting: Identifiziert und verfolgt eindeutige Geräte, um anomales Verhalten zu erkennen.

Anomaly Detection: Machine Learning identifiziert anormale Anmeldemuster.

Credential Monitoring: Prüft, ob Benutzeranmeldedaten in breach databases auftauchen.

Passwordless Authentication: Eliminiert Passwörter durch Biometrie, magic links oder passkeys.

Angriffserkennung

Indikatoren für laufendes Credential Stuffing:

  • Anstieg fehlgeschlagener Anmeldeversuche
  • Mehrere Versuche von verschiedenen IPs
  • Verdächtige User-Agent-Muster
  • Anormale Anfragegeschwindigkeit
  • Versuche zu ungewöhnlichen Zeiten
  • Anmeldungen von ungewöhnlichen geografischen Standorten
  • Verwendung von Proxies oder VPNs

Proaktiver Schutz

Richtlinie für starke Passwörter: Komplexe und einzigartige Passwörter verlangen.

Schulung der Benutzer: Sensibilisierung für die Risiken der Passwort-Wiederverwendung.

Passwort-Manager: Die Nutzung von Password Managern fördern.

Überwachung von Breaches: Dienste wie Have I Been Pwned, um Benutzer über offengelegte Anmeldedaten zu alarmieren.

Erzwingen von Passwort-Resets: Nach bekannten Lecks von Anmeldedaten.

Kommerzielle Lösungen

Cloudflare Bot Management: Schutz vor Bots und Credential Stuffing.

Akamai Bot Manager: Erkennung und Eindämmung automatisierter Angriffe.

DataDome: Echtzeitschutz vor Bots und Betrug.

PerimeterX: Anwendungssicherheit gegen Bots.

Arkose Labs: Adaptive Herausforderungen gegen Automatisierung.

Incident Response

Wenn Credential Stuffing erkannt wird:

  • IP-Blockierung: Identifizierte Angriffsquellen blockieren
  • Passwort-Resets: Resets für kompromittierte Konten erzwingen
  • Benutzerbenachrichtigung: Über Zugriffsversuche alarmieren
  • Forensische Analyse: Umfang und Ursprung des Angriffs untersuchen
  • Hardening: Zusätzliche Kontrollen implementieren

Abschließende Empfehlungen

Credential Stuffing ist eine wachsende Bedrohung, die die menschliche Schwäche der Passwort-Wiederverwendung ausnutzt. Eine wirksame Abwehr kombiniert technische Kontrollen (MFA, rate limiting, bot detection) mit der Schulung der Benutzer und proaktiver Überwachung. Organisationen sollten davon ausgehen, dass Benutzeranmeldedaten in breach databases existieren, und eine Defense-in-Depth-Strategie implementieren.