Credential stuffing: Derfor elsker hackere at du kun stoler på passordet
Ved credential stuffing kan hackerne generere tusenvis av innloggingsforsøk hvert minutt ved hjelp av opplysninger hentet fra tidligere databrudd. Slik kan de tippe og ta innloggingsopplysningene dine.
I disse hjemmekontortider blir credential stuffing-angrep vanligere. Straks hackerne har brutt seg inn i en database, vil bot-er automatisk generere utallige brukernavn- og passordkombinasjoner. Og når hackerne finner riktig innloggingsinformasjon, har de tilgang til kontoer og verdifulle data som muliggjør blant annet e-handelsvindel, bedriftspionasje og datainnbrudd.
Bare ett hacket passord kan gi cyberkriminelle global tilgang
Gjenbruk av passord er den største årsaken til databrudd, og det er nettopp dette som er grunnen til at credential stuffing-angrep er så farlige. Google viser til at 65 % av oss bruker det samme passordet på alle online-kontoene våre, så det er enkelt for hackerne å utnytte denne svakheten og skaffe seg tilgang til flere kontoer ved hjelp av stjålet innloggingsinformasjon.
Det anslås at virksomhetene gjennomsnittlig taper omtrent 50 millioner kroner på grunn av credential stuffing. Mesteparten av dette forårsakes av nedetid, økte sikkerhetskostnader og tapt fortjeneste. I tillegg begynner myndighetene og ofrene å legge ansvaret for credential stuffing på virksomhetene som utsettes for dette, slik at resultatet blir bøter og anmeldelser.
I henhold til personvernforordningen (GDPR), er europeiske virksomheter pålagt å ha tilstrekkelig sikkerhet mot databrudd og hackingangrep som rammer kundenes sensitive personopplysninger. Virksomheter som blir utsatt for angrep, er selv ansvarlige, og kan bli anmeldt for utilstrekkelige sikkerhetstiltak. Utover det å miste kundenes tillit, kan de økonomiske konsekvensene av advokatsalærer og forliksoppgjør lamme enhver virksomhet.
Løs passordproblemet
De fleste vet at de ikke bør bruke det samme passordet på flere nettsteder, men fordi det er vanskelig å huske flere ulike passord, er det mange som gjør det likevel. Og selv om passordprogrammene er effektive, er det flere brukere som ikke liker å overlate passordene sine til en tredjepartstjeneste. Derfor bør virksomheter som ønsker å beskytte kundene sine mot credential stuffing-trusselen, revurdere behovet for passord som kontosikkerhet.
Heldigvis finnes det alternativer som beskytter virksomheten din mot credential stuffing-trusselen.
Passordautentisering
Passordløs autentisering er en løsning som verifiserer brukeren ved hjelp av noe de har (som en telefon eller en annen konto) og noe de er (som biometri) i stedet for ved hjelp av passord, slik at bare verifiserte brukere kan logge på en konto.
Flerfaktorautentisering
Et ekstra sikkerhetslag sikrer at en brukers lagrede passord ikke kan brukes ved hackingforsøk da hackerne ikke har tilgang til den andre autentiseringsmetoden, som en engangskode sendt til en annen av brukerens enheter, eller biometrisk autentisering, som ansiktsgjenkjenning.
Credential hashing
Credential hashing kan beskytte mot credential stuffing ved å hashe passordkombinasjoner før de lagres i en database. Dette forvrenger effektivt brukerens passord slik at en hacker ikke vil være i stand til å bruke dem hvis de blir stjålet. Metoden kan ikke avverge et credential stuffing-angrep, men det kan begrense hackernes muligheter til å bruke passordet.
Online-backup; et sikkerhetsnett
Generelt handler det ikke om et eventuelt, angrep, men om når angrepet skjer – spesielt hva gjelder innloggingsopplysninger. Derfor bør virksomhetene i økende grad se på skyen og online-backup som en måte å sikre viktige data på. Dette bør gjøres via en ledende skylagringsleverandør som kan sikre de viktige dataene i tilfelle hackere skaffer seg tilgang.
Beskytt virksomheten din mot credential stuffing-angrep
Enhver virksomhet kan redusere risikoen for et credential stuffing-angrep betraktelig ved å bruke beste praksis-autentisering og kryptert online sikkerhetskopiering. Ved å legge til flerfaktorautentisering, og ved å bruke mindre sårbare innloggingsmetoder (som avansert kryptering), kan enhver virksomhet sikre driften og kundene sine.
