Credential stuffing: подбор паролей ботами

Credential stuffing — массовые попытки входа, чтобы проверить, годятся ли уже украденные пары имя и пароль. Пары могли прийти из другого приложения, с преступного рынка или из открытой публикации утечки. Угадывания здесь нет: проверяют значения, которые уже использовались. Это не скликивание: клик по объявлению пароль не подставляет.

Если у вас растут неудачные входы при тех же паролях, что люди ставили на других сайтах, смотрите stuffing, а не «перебор словаря с нуля».

Три атаки на вход

OWASP различает три атаки. Подбор — много паролей к одной учётной записи. Credential stuffing — проверка пар, утекших с другого сайта. Распыление — один слабый пароль по многим учётным записям. Лучшей защитой от большинства таких атак OWASP называет второй фактор.

Цифру «какую долю компрометаций остановил бы второй фактор» сюда не берём: в тексте она дана как анализ Microsoft без года и выборки.

Каталог OAT-008 добавляет три источника пар и прямой отказ от угадывания. В отличие от OAT-007, значения не перебирают. Долю успешных попыток каталог не публикует, поэтому всплеск ошибок входа нельзя пересчитать в «столько аккаунтов уже занято» без своей выборки. Как достают списки, в описание не входит.

Доли отчёта — не доля ваших входов

Отчёт Imperva по данным 2024 года пишет, что около 44% продвинутого бот-трафика было направлено на API, а около 10% — на веб-приложения. В разборе атак ботов на API сбор данных — около 31%, платёжный фрод — около 26%, захват учётных записей — около 12%, скальпинг — около 11%. Это доли в разборе атак на API у клиентов сети Imperva, данные вендора. Это не доля заказов магазина и не доля успешных подборов пароля. 12% захвата записей не равны успеху credential stuffing на вашем входе.

Скальпинг в том же месте отчёт описывает как быструю покупку или резервирование большого объёма дефицитных товаров. К парам паролей это не относится. Не переносите процент захвата учёток на форму входа.

WAF и бот-продукт — разные описания

Обзор Cloudflare WAF пишет, что WAF проверяет входящие запросы к сайту и API и фильтрует нежелательный трафик наборами правил: адрес, путь, заголовки, тело. В таблице возможностей на всех тарифах есть обнаружение утекших учётных данных. Обзор не называет базу, с которой идёт сверка. Последней фразой обзор отсылает ботов к отдельным bot solutions.

Обзор bot solutions пишет, что боты — автоматические программы, которые шлют запросы на сайт, — могут снимать содержимое, подставлять украденные пароли в формы входа, скупать запас и раздувать расходы на сервер. Бот-продукты этот автоматический трафик обнаруживают и оставляют решение о реакции владельцу.

Обе страницы говорят о продуктах Cloudflare. Они не говорят, что WAF или бот-продукт вычитает клики в рекламном кабинете. Обнаружение утекшей пары на входе и недействительный клик — разные решения. Кто скликивает, чем кликфрод отличается от скликивания и вернёт ли Яндекс деньги, парольная форма не определяет.

Что сделать на входе:

1. Назовите событие. Много паролей к одной записи — подбор. Одна слабая строка на многие записи — распыление. Готовые пары с другого сайта — stuffing.

2. Второй фактор поставьте против большинства этих атак, как рекомендует OWASP. Не ждите от него цифру «почти все компрометации» без своей выборки.

3. Не читайте 12% из отчёта Imperva как долю взломанных клиентов магазина.

4. Если используете Cloudflare, держите в голове разделение: WAF фильтрует запрос правилами и на всех тарифах отмечает утекшие учётные данные, не называя базу. Реакцию на ботов документация относит к отдельным bot solutions, и решение оставляет владельцу.

5. Не ждите, что фильтр входа спишет рекламный клик.

Разберите одну ночь неудачных входов, не смешивая три атаки. Если на одну учётную запись пришло много разных паролей, это подбор. Если один и тот же слабый пароль пришёл на много записей, это распыление. Если пары совпадают с тем, что люди использовали на другом сайте, это stuffing: каталог прямо отказывается от угадывания и называет три источника — другое приложение, преступный рынок, открытая публикация утечки. В одну корзину «брутфорс» эти три картины не складываются, и второй фактор OWASP ставит против большинства их всех, а не против одной.

Отчёт за 2024 год полезен как чужая разбивка, не как ваш план. Около 44% продвинутого бот-трафика на API и около 10% на веб-приложения, затем внутри API сбор данных, платёжный фрод, захват учёток и скальпинг — доли атак у клиентов сети Imperva. Захват около 12% не означает, что 12% ваших покупателей уже вошли чужим паролем. Скальпинг около 11% в той же таблице — быстрая покупка дефицита, его не лечат фактором на форме входа.

Если на сайте стоит Cloudflare, не склеивайте два обзора. WAF смотрит адрес, путь, заголовки и тело и на всех тарифах умеет отметить утекшие учётные данные, не называя базу сверки. Ботов обзор WAF отсылает к отдельным bot solutions. Те обнаруживают автоматические запросы, в том числе подстановку украденных паролей, и оставляют реакцию владельцу. Ни один из обзоров не говорит, что клик в рекламе из-за этого спишут.