Warum Credential-Stuffing-Angriffe der nächste Kopfschmerz Ihres Unternehmens sein können

Microsoft Office 365 bleibt ein attraktives Ziel für Cyberkriminelle, da es weiterhin weltweit von Unternehmen genutzt wird. Die wachsende Sophistizierung von KI-Tools hat böswillige Akteure ermutigt, die Geschichte der Credential-Stuffing-Angriffe zu wiederholen. Im Jahr 2019 enthüllte Microsoft, dass mehr als 1,5 Millionen bösartige und Spam-E-Mails von Tausenden kompromittierter Office 365-Konten ihrer Kunden gesendet wurden.

Im Dezember 2022 wurden Norton-Nutzer aufgrund eines Credential-Stuffing-Angriffs auf höchste Alarmstufe gesetzt. Die Sicherheitsanwendung wurde kompromittiert, was zur Sperrung von etwa 925.000 Konten führte. Ein verdächtiger Anstieg der Login-Versuche von Norton Password Manager-Nutzern löste die Sperrung aus. Nach der Untersuchung wurde offengelegt, dass Cyberkriminelle erfolgreich „Tausende von Konten“ durchbrochen hatten und die persönlichen Informationen zahlreicher Nutzer gefährdet waren. Was müssen wir also im Jahr 2023 vorbereiten, um unsere Konten vor dieser Art von Cyberkriminalität zu schützen?

Die Mechanik von Credential-Stuffing-Angriffen

Credential-Stuffing-Angriffe machen 34 % aller Login-Versuche aus, wobei böswillige Akteure versuchen, Benutzerkonten zu übernehmen. Aber wie funktioniert dieser Prozess, und welche Maßnahmen können diesen Kampagnen entgegenwirken?

Credential Stuffing ist eine verbreitete Cyberangriffsmethode, bei der Bedrohungsakteure automatisierte Software einsetzen, um gestohlene Login-Anmeldeinformationen schnell auf verschiedene Online-Konten zu testen. Der Prozess umfasst:

1. Kauf oder Download einer Liste von Benutzernamen und Passwörtern aus dem Darknet, die normalerweise nach einem Datenleck verfügbar sind.

2. Einrichtung automatisierter Bots, die Login-Versuche auf mehreren Benutzerkonten durchführen, oft unter Umgehung der Erkennung durch Maskierung ihrer IP-Adressen.

3. Wenn die Bots ein Übereinstimmung finden, erhalten Angreifer Zugang zu Konten und können persönliche Informationen wie Kreditkartennummern oder Sozialversicherungsnummern stehlen.

4. Überwachung der Bots, während sie erfolgreiche Passwortkombinationen auf anderen Konten ausprobieren. Da 65 % der Menschen dasselbe Passwort für mehrere Konten verwenden, ist die Wahrscheinlichkeit hoch, mehrere Konten mit demselben Passwortpaar zu kompromittieren.

Credential Stuffing vs. Brute-Force-Angriffe

Credential Stuffing und Brute-Force-Angriffe sind zwei unterschiedliche Methoden von Cyberangriffen. Beim Credential Stuffing verwenden Angreifer geleakte oder gestohlene Passwortdaten aus echten Konten, um Logins zu versuchen. Im Gegensatz dazu beinhalten Brute-Force-Angriffe das Erraten häufig verwendeter Passwörter und Wörterbücher gängiger Passphrasen.

Bedrohungsakteure beim Credential Stuffing wissen, dass sie echte Anmeldeinformationen besitzen und lediglich ein passendes Konto finden müssen. Im Gegensatz dazu fehlen denen, die Brute-Force-Angriffe versuchen, der Kontext über die korrekten Anmeldeinformationen ihrer Ziele, was diese Angriffe auf blauen Zufall oder leicht zu erratende Passwörter verlässt. Trotz dessen, dass es ein Zahlenspiel ist, kann Credential Stuffing mit Automatisierung hochprofitabel sein.

Die Auswirkungen von Credential Stuffing

Opfer von Credential-Stuffing-Angriffen sind dem Risiko des Diebstahls sensibler Daten, finanzieller Reputationsschäden und potenzieller Identitätsdiebstähle ausgesetzt. Die Konsequenzen solcher Angriffe umfassen:

1. Kompromittierte Konten: Bedrohungsakteure könnten Spyware installieren, Daten stehlen oder zerstören oder sich als Kontoinhaber ausgeben, um Spam zu senden oder Phishing-Angriffe auf andere Ziele zu starten.

2. Datenlecks: Angreifer zielen oft darauf ab, Finanzinstitute oder hochrangige Regierungsziele zu durchbrechen, um die gestohlenen Daten auf illegalen Online-Marktplätzen an Identitätsdiebe und politisch motivierte Banden zu verkaufen.

3. Kontosperrungen: Übermäßige fehlgeschlagene Login-Versuche können das Sicherheitssystem Ihres Kontos dazu veranlassen, Sie auszusperrten, was Ihr Geschäft möglicherweise stört oder den Zugang zu wichtigen Konten wie E-Mail oder Banking einschränkt.

4. Ransomware-Forderungen: Staatlich unterstützte Hacking-Gruppen können die Kontrolle über eine kritische Infrastruktur oder ein großes Unternehmen übernehmen, um eine Lösegeldforderung zu stellen.

5. Erhöhte Cybersicherheitsrisiken: Gestohlene Benutzeranmeldeinformationen können für zukünftige Angriffe verwendet werden, wodurch Opfer und alle eng verbundenen Parteien nach dem initialen Durchbruch einem größeren Risiko ausgesetzt sind.

6. Negative Auswirkungen auf den Unternehmensruf: Ein Datenleck eines Unternehmens kann das Verbrauchervertrauen erheblich untergraben. Wenn Tausende oder Millionen von Nutzern eine Bedrohung für ihre privaten Daten wahrnehmen, kann dies einem Unternehmen an der Börse kosten. Die durchschnittlichen Kosten eines Datenlecks betrugen 2022 4,35 Millionen US-Dollar.

Aktuelle Beispiele für Credential Stuffing

• Großes Outdoor-Bekleidungsunternehmen, Juli 2022: Cyberkriminelle nutzten Credential Stuffing, um dieses Outdoor-Unternehmen zu treffen, wodurch fast 200.000 Kundenkonten kompromittiert und Details wie Namen, Telefonnummern, Geschlecht, Kaufhistorie, Rechnungsadressen und Treuepunkte offengelegt wurden.

• Großes Zahlungsabwicklungsunternehmen, Dezember 2022: Dieser Angriff betraf fast 35.000 Benutzerkonten, wobei Namen, Sozialversicherungsnummern und Steueridentifikationsnummern offengelegt wurden, obwohl keine unbefugten Transaktionen gemeldet wurden.

• Bekanntes Fast-Food-Unternehmen, Januar 2023:** Das Fast-Food-Unternehmen bestätigte einen Durchbruch, der auf über 71.000 Kundenkonten zugriff. Bedrohungsakteure führten mehrere Monate lang einen Credential-Stuffing-Angriff durch und erhielten Zugang zu den Belohnungsguthaben der Kunden, möglicherweise physischen Adressen und den letzten vier Ziffern der Kreditkarten der Kunden.

Gegenmaßnahmen gegen Credential-Stuffing-Angriffe

Der Finanzsektor hat einen signifikanten Anstieg von Credential-Stuffing-Angriffen verzeichnet, wobei 2022 ein Wachstum von 45 % im Jahresvergleich gemeldet wurde. Da Unternehmen expandieren und eine größere Nutzerbasis anziehen, werden sie zunehmend attraktive Ziele für Cyberkriminelle. Um dieser eskalierenden Bedrohung entgegenzuwirken, können Sicherheitsteams mehrere Gegenmaßnahmen implementieren.

Die Implementierung der Multi-Faktor-Authentifizierung (MFA) kann eine zusätzliche Sicherheitsebene bieten und es Bedrohungsakteuren erschweren, unbefugten Zugang zu Konten zu erlangen. Trotz der jüngsten Durchbrüche, die einige beliebte Passwortmanager erlebt haben, bleiben diese Tools ein Grundpfeiler der modernen digitalen Sicherheit und sollten genutzt werden.

Die Förderung besserer Passwortpraktiken ist entscheidend. Sicherheitsteams sollten proaktiv vorgehen, um die Wiederverwendung von Passwörtern zu beseitigen, das Teilen von Codes zu discourage und davon abzuraten, Login-Informationen auf Papier zu schreiben. Diese Maßnahmen können die Wahrscheinlichkeit von Insider-Angriffen erheblich reduzieren.

Böswillige Akteure können eine Armee aus automatisierten Bots aufbauen

Sicherheitsforscher von Microsoft haben eine groß angelegte Phishing-Kampagne aufgedeckt, die HTTPS-Proxying-Techniken einsetzt, um Office 365-Konten zu übernehmen. Der Angriff ist in der Lage, die Multi-Faktor-Authentifizierung (MFA) zu umgehen und hat seit September 2021 über 10.000 Organisationen betroffen.

Die konsistente Überwachung von Login-Versuchen kann helfen, betrügerische Aktivitäten zu identifizieren und zu vereiteln. Wenn ein plötzlicher Anstieg der Login-Versuche oder ungewöhnliche Muster erkannt wird, kann das Sicherheitsteam die zugehörige IP-Adresse blockieren und legitime Nutzer über den versuchten Hack informieren.

Ein weiterer effektiver defensiver Mechanismus ist die Ratenbegrenzung (Rate-Limiting). Diese Strategie verhindert, dass böswillige Bots übermäßige Login-Versuche schnell durchführen, und stoppt effektiv den Fortschritt automatisierter Angriffe.

Die Überwachung des Darknets kann Sicherheitsteams einen Schritt voraus bleiben lassen, wenn es um aufkommende Cyberbedrohungen geht. Durch die Beobachtung von Sammlungen von Benutzernamen und Passwörtern, die im Darknet verfügbar sind, können Schwachstellen verstärkt werden, bevor ein Angriff stattfindet.

Sicherheitsteams haben die Verantwortung, Nutzer zu schützen und aufzuklären. Böswillige Akteure können eine Armee aus automatisierten Bots aufbauen, die täglich Tausende oder Millionen von betrügerischen Login-Anfragen ausführen. Um dieser wachsenden Bedrohung entgegenzuwirken, müssen Nutzer dazu ermutigt werden, gute Passwortpraktiken zu übernehmen und zuverlässige Passwortmanager zu verwenden. Die primäre Verantwortung für den Datenschutz liegt jedoch bei den Website-Sicherheitsteams und App-Anbietern. Ein vielschichtiger Ansatz kombiniert robuste Zugriffskontrollen, Bedrohungsüberwachung und Ratenbegrenzungsschutzmaßnahmen, um den Angriffszyklus zu unterbrechen und Bedrohungsakteure fernzuhalten. Letztendlich ist die wirksamste Verteidigung auf Bildung und die Förderung einer Sicherheitskultur aufgebaut.

Microsoft empfiehlt, dass Organisationen Richtlinien einrichten, um Posteingangsregeln zu überwachen, die verdächtige Zwecke haben könnten, oder um Warnungen bei ungewöhnlich vielen E-Mail-Zugriffsereignissen durch nicht vertrauenswürdige IP-Adressen oder Geräte auszulösen.