El relleno de credenciales es un ataque de fuerza bruta a las cuentas de usuario de un servicio. No una cuenta específica, sino muchas. Por lo general, mediante el uso de credenciales que se encontraron en otros hacks. Como usuario, puede ver a través de haveibeenpawned.com si una de sus cuentas se vio comprometida. Lo más probable es que lo fuera. ¡Aprendamos lo que puedes hacer!

¿Por qué debería importarte?

• Credential Stuffing es parte de "Autenticación rota" y, por lo tanto, es el número 2 en el OWASP Top 10 ( fuente )
• 2020: $3.5 millones en retiros de cheques fraudulentos con relleno de credenciales ( más detalles )
• 2020: se encontraron aproximadamente 500,000 credenciales de usuarios de Zoom con relleno de credenciales ( fuente )
• 2020: "Las industrias minorista, de viajes y hotelera atrajeron un sorprendente 63 % de los ataques de Credential Stuffing", según Akamai.
• 2021: AVM (FritzBox) registra una gran cantidad de ataques de relleno de credenciales ( fuente )

1. El atacante obtiene una lista de credenciales válidas , por ejemplo (nombre de usuario, contraseña) para millones de personas. Hay muchas filtraciones .
2. El atacante los prueba en grandes servicios (Gmail, Facebook, Twitter, Banks, Reddit, …)

¿Cómo puedo defenderme de un ataque de relleno de credenciales?

Como usuario, hay dos medidas de defensa perfectas:

1. Contraseñas seguras: las buenas contraseñas pueden verse diferentes de lo que piensa. Pero es fácil generar contraseñas fuertes memorizables .
2. Contraseñas únicas : no comparta contraseñas entre servicios. Nunca.

Como proveedor de servicios, las defensas no son perfectas y más complicadas:

• Limitación de velocidad : si una sola IP hace demasiados intentos de contraseña no válidos, disminuya la velocidad de esa IP. Por ejemplo, pídales que primero resuelvan un CAPTCHA . O dígales que no pueden iniciar sesión durante los próximos 30 segundos. Solo tenga en cuenta que esto también podría bloquear usuarios válidos, por ejemplo, en escuelas u otras redes abiertas más grandes.
• Cortafuegos de aplicaciones web (WAF) : descargo de responsabilidad completo aquí: no tengo experiencia práctica aquí. Escuché sobre la "Defensa proactiva contra bots", que también podría ser interesante para otros escenarios de ataque. Sin embargo, ciertamente también tiene problemas para detectar todos los ataques (falsos negativos) y para bloquear solo los ataques (falsos positivos).
• Autenticación de dos factores (2FA) : obligar al usuario a usar un segundo factor hace que sea mucho menos probable que funcione el relleno de credenciales, incluso si el usuario compartió contraseñas con un servicio vulnerable e incluso cuando la contraseña es débil.
• Inicio de sesión único (SSO) : dejar que otro servicio maneje la autenticación evita todas esas molestias. Una variante que es bien conocida es el “inicio de sesión social”. Eso es simplemente SSO por grandes sitios web sociales como Facebook, Twitter, Github o LinkedIn.
• Verifique las contraseñas de los usuarios en busca de infracciones : haveibeenpawned le permite verificar si las combinaciones de credenciales están en una infracción.

10 consejos para detener los ataques de Credential Stuffing

¿Que sigue?

En esta serie sobre seguridad de aplicaciones (AppSec) ya explicamos algunas de las técnicas de los atacantes y también técnicas de los defensores :

• Parte 1: Inyecciones SQL
• Parte 2: No filtres Secretos
• Parte 3: Secuencias de comandos entre sitios (XSS)
• Parte 4: Hashing de contraseñas
• Parte 5: Bombas ZIP
• Parte 6: CAPTCHA
• Parte 7: suplantación de identidad por correo electrónico
• Parte 8: Análisis de composición de software (SCA)
• Parte 9: Ataques XXE
• Parte 10: Control de acceso efectivo
• Parte 11: DOS a través de Billion Laughs
• Parte 12: Cifrado de disco completo
• Parte 13: Deserialización insegura
• Parte 14: Seguridad Docker
• Parte 15: Relleno de credenciales

• CSRF
• DOS
• ReDoS
• Criptojacking
• Inicio de sesión único
• Autenticación de dos factores
• Copias de seguridad