LÖSUNG

Credential-Stuffing-Angriffe abwehren

Auch bekannt als Account Takeover, Credential Testing, Account Hijacking, Password-Checking, Angriff auf Passwortlisten

Vielen Dank! Ein Experte wird sich so bald wie möglich bei Ihnen melden.

 

 

F5 Distributed Cloud vereitelt Credential Stuffing auf mehreren Ebenen

F5 Distributed Cloud findet kompromittierte Anmeldedaten in Echtzeit, identifiziert Botnets und blockiert Simulationssoftware.

Eckpunkte:

  • Credential-Stuffing-Angriffe machten 90 % des gesamten Anmeldedatenverkehrs aus.
  • CDN-Anbieter konnten nur ein Fünftel der Angriffe verhindern.
  • Shape hat alle Angriffe abgewehrt und die Latenzzeit der Website von 250 ms auf 100 ms verkürzt.
  • Distributed Cloud schützt über 1,7 Milliarden Online-Accounts vor Credential Stuffing-Angriffen.

Lesen Sie die Case Study: Leistungsstarke mobile App vereitelt Übernahmen von Accounts ›

Credential Stuffing erfordert drei Elemente

   

Jeden Tag werden im Durchschnitt eine Million Benutzernamen und Passwörter als gestohlen gemeldet. Die Angreifer kommen auf vielfältige Weise an fremde Zugangsdaten – etwa durch Ausspähen falsch konfigurierter Datenbanken oder das Infizieren von Benutzergeräten mit Malware.

Jeden Tag werden im Durchschnitt eine Million Benutzernamen und Passwörter als gestohlen gemeldet. Die Angreifer kommen auf vielfältige Weise an fremde Zugangsdaten – etwa durch Ausspähen falsch konfigurierter Datenbanken oder das Infizieren von Benutzergeräten mit Malware.

Laut einer Shape-Analyse sind 0,5 % bis 2 % aller gestohlenen Anmeldedaten auf einer bestimmten Website oder mobilen Anwendung gültig.

   

2. Verteilte Botnet-Angriffe

Angreifer übermitteln ihre Login-Anfragen über Proxy-Server, um IP-Blacklists und andere Formen der Erkennung zu umgehen. Kriminelle können sich bei Bot-Herdern in Dark-Web-Foren einen Zugang zu Proxy-Diensten um 2 bis 8 US-Dollar pro Stunde verschaffen.

Im Kundennetzwerk von Shape wird eine IP-Adresse in der Regel nur zwei Mal pro Credential-Stuffing-Angriff verwendet.

   

3. Simulationssoftware

Zu guter Letzt setzen Angreifer Bots oder Computerprogramme ein, um die Liste der unrechtmäßig erworbenen Anmeldedaten automatisch zu prüfen. Häufig erwerben die Angreifer im Dark Web Toolkits, wie etwa CAPTCHA-Lösehilfen oder Anti-Fingerprinting-Skripte, um bestehende Abwehrmaßnahmen zu unterlaufen.

Credential Stuffing mit Python und Selenium

Der Vizepräsident des Shape Intelligence Centers führt Techniken vor, die von Angreifern eingesetzt werden, um Benutzer zu imitieren.