Подстановка учётных данных — что это

Коротко

Подстановка учётных данных (Credential Stuffing) — автоматизированный перебор пар логин-пароль, украденных при утечках данных с других сайтов, в попытке войти в аккаунты на другой платформе.

Как это работает. Атака эксплуатирует привычку многих людей использовать один и тот же пароль на разных сайтах — если пароль утёк с одного сервиса, боты автоматически пробуют его же на множестве других.

Пример. После крупной утечки данных с популярного сайта злоумышленники массово проверяют те же пары логин-пароль на сайтах казиноКолесо фортуны (Wheel of Fortune) — игра, в которой ставки делаются на то, на каком секторе (числе, символе или бонусной зоне) остановится большое вращающееся колесо, разделённо...Подробнее → и букмекеров.

Нюанс. Использование уникального пароля для каждого сайта и двухфакторной аутентификации практически полностью нейтрализует этот тип атаки.

«Подстановка учётных данных особенно опасна именно из-за повторного использования паролей — украденная на одном сайте пара логин-пароль нередко подходит и к аккаунту на игровой платформе.»

— Руслан Ермолаев, Аудитор, специалист по комплаенсу и юрисдикциям, эксперт по лицензионной прозрачности казино

Руслан Ермолаев

Руслан Ермолаев

Аудитор, специалист по комплаенсу и юрисдикциям, эксперт по лицензионной прозрачности казино

Перейти на страницу автора →