Credential stuffing är inte gissning. Det är kvitto-jagande. Botten har redan en lista över riktiga e-post + lösenord från en gammal läcka, och testar exakt den kombinationen mot vartenda annat ställe på internet.
01Vad är credential stuffing?
Föreställ dig att en sajt blev hackad 2018 och din e-post + lösenord hamnade i en läcka. Sedan dess har den listan rört sig runt — bytts mellan kriminella, slagits ihop med andra läckor, hamnat i offentliga "combolists" på 8 miljarder rader.
En credential stuffing-bot tar listan och testar varje rad mot Spotify, Netflix, Instagram, Steam, banken, Klarna, Riksbyggen. Lite från varje. Den gissar inte — den vet redan att e-post X + lösenord Y en gång var ett giltigt par någonstans. Frågan är bara om du återanvänt det.
02Lyckas det? Mycket bekvämt.
Studier från Akamai och Microsoft visar att 0,1–2 % av credential stuffing-försök lyckas. Det låter lågt — tills du inser hur många försök som körs.
- En läcka med 50 miljoner par × 1 % lyckandegrad = 500 000 övertagna konton
- Per dag, globalt: hundratals miljoner försök bara mot stora sajter
- Spotify, Netflix m.fl. publicerar "incident reports" med tusentals till miljoner ATO:er per kvartal
Det är därför nyligen meddelandet "din Spotify spelar Pakistani metal kl 3 på natten" är vanligare än man tror. Inte för att din Spotify var hackad — för att lösenordet återanvändes från någon annan sajt.
03Se dominoeffekten
Här är två scenarier. I det ena återanvänder du samma lösenord på alla sajter. I det andra har du unika lösenord per sajt. Tryck simulera attack och se hur det utvecklar sig.
04Tre praktiska sanningar
- Det räcker att en sajt läcker. En av sajterna du registrerat dig på kommer att läcka. Statistiskt — alla läcker till slut. Det är en fråga om när, inte om.
- Mejlen är ditt största återanvändnings-värdet. Med ditt mejl-lösenord kan en angripare återställa lösenordet på allt annat. Banken, sociala medier, allt.
- Unika lösenord per sajt är enda försvaret. Och det är inte möjligt att memorera. Därför finns lösenordshanterare (lektion 7).
kanin123-spotify och kanin123-netflix." Det skyddar dig marginellt — anfallare med tillgång till flera dumps ser snart mönstret och justerar attacker.