Perché gli attacchi di credential stuffing possono essere il prossimo mal di testa per la tua azienda

Microsoft Office 365 rimane un bersaglio attraente per i criminali informatici poiché continua a essere utilizzato dalle aziende in tutto il mondo. La crescente sofisticazione degli strumenti di IA ha incoraggiato i cattivi attori a ripetere la storia degli attacchi di credential stuffing. Nel 2019, Microsoft ha rivelato che oltre 1,5 milioni di email malevole e spam sono state inviate da migliaia di account Office 365 compromessi dei loro clienti.

Nel dicembre 2022, gli utenti di Norton sono stati messi in allerta a causa di un attacco di credential stuffing. L'applicazione di sicurezza è stata compromessa, portando al blocco di circa 925.000 account. Un sospetto aumento dei tentativi di accesso da parte degli utenti di Norton Password Manager ha innescato il blocco. L'indagine successiva ha rivelato che i criminali informatici avevano violato con successo "migliaia di account", mettendo a rischio le informazioni personali di numerosi utenti. Quindi, cosa dobbiamo prepararci ad affrontare nel 2023 per proteggere i nostri account da questo tipo di crimine informatico?

La meccanica degli attacchi di credential stuffing

Gli attacchi di credential stuffing rappresentano il 34% di tutti i tentativi di accesso, con attori malevoli che si sforzano di dirottare gli account degli utenti. Ma come funziona questo processo e quali misure possono contrastare queste campagne?

Il credential stuffing è un metodo di attacco informatico prevalente in cui gli attori delle minacce impiegano software automatizzati per testare rapidamente le credenziali di accesso rubate su vari account online. Il processo prevede:

1. Acquistare o scaricare un elenco di nomi utente e password dal dark web, solitamente disponibile dopo una violazione dei dati.

2. Configurare bot automatizzati per tentare l'accesso a più account utente, spesso eludendo il rilevamento mascherando i loro indirizzi IP.

3. Ottenere l'accesso agli account quando i bot trovano una corrispondenza consente agli attaccanti di rubare informazioni personali come numeri di carta di credito o numeri di sicurezza sociale.

4. Monitorare i bot mentre provano combinazioni di password di successo su altri account. Poiché il 65% delle persone utilizza la stessa password per più account, c'è un'alta probabilità di violare più account con la stessa coppia di password.

Credential stuffing vs. attacchi brute force

Il credential stuffing e gli attacchi brute force sono due metodi distinti di attacchi informatici. Nel credential stuffing, gli attaccanti utilizzano dati di password trapelati o rubati da account reali per tentare l'accesso. Al contrario, gli attacchi brute force coinvolgono l'indovinare password comunemente usate e dizionari di passphrase comuni.

Gli attori delle minacce di credential stuffing sono consapevoli di possedere credenziali genuine e hanno solo bisogno di trovare un account corrispondente. Al contrario, coloro che tentano attacchi brute force non hanno contesto sulle credenziali corrette dei loro bersagli, rendendo questi attacchi affidati alla fortuna cieca o a password facili da indovinare. Nonostante ciò, essendo un gioco di numeri, il credential stuffing può essere altamente redditizio con l'automazione.

L'impatto del credential stuffing

Le vittime degli attacchi di credential stuffing affrontano il rischio di furto di dati sensibili, danni alla reputazione finanziaria e potenziale furto di identità. Le conseguenze di tali attacchi includono:

1. Account compromessi: Gli attori delle minacce potrebbero installare spyware, rubare o distruggere dati o impersonare il titolare dell'account per inviare spam o lanciare attacchi di phishing su altri bersagli.

2. Perdite di dati: Gli attaccanti mirano spesso a violare istituzioni finanziarie o bersagli governativi di alto valore, vendendo i dati rubati su mercati online illeciti a ladri di identità e bande motivate politicamente.

3. Blocchi degli account: Eccessivi tentativi di accesso falliti potrebbero attivare il sistema di sicurezza del tuo account bloccandoti, potenzialmente interrompendo la tua attività o limitando l'accesso ad account cruciali come email o banca.

4. Richieste di ransomware: Gruppi di hacking sponsorizzati dallo stato potrebbero prendere il controllo di una struttura critica o di una grande impresa per richiedere un pagamento di riscatto.

5. Aumento dei rischi di cybersecurity: Le credenziali utente rubate possono essere utilizzate per attacchi futuri, mettendo le vittime e qualsiasi parte strettamente correlata a maggior rischio dopo la violazione iniziale.

6. Impatto negativo sulla reputazione aziendale: La violazione di un'azienda può minare significativamente la fiducia dei consumatori. Quando migliaia o milioni di utenti percepiscono una minaccia ai loro dati privati, può costare all'azienda in borsa. Il costo medio di una violazione dei dati nel 2022 è stato di 4,35 milioni di dollari.

Esempi recenti di credential stuffing

• Grande Azienda di Abbigliamento Outdoor, luglio 2022: I criminali informatici hanno utilizzato il credential stuffing per colpire questa azienda di abbigliamento per il tempo libero all'aperto, compromettendo quasi 200.000 account dei clienti ed esponendo dettagli come nomi, numeri di telefono, genere, cronologia degli acquisti, indirizzi di fatturazione e punti fedeltà.

• Grande Azienda di Elaborazione dei Pagamenti, dicembre 2022: Questo attacco ha interessato quasi 35.000 account utente, esponendo nomi, numeri di sicurezza sociale e numeri di identificazione fiscale, sebbene non siano stati segnalati transazioni non autorizzate.

• Prominente Catena di Fast Food, gennaio 2023:** La catena di fast food ha confermato una violazione che ha accesso a oltre 71.000 account dei clienti. Gli attori delle minacce hanno condotto un attacco di credential stuffing per diversi mesi, ottenendo l'accesso ai saldi dei premi dei clienti, potenzialmente agli indirizzi fisici e alle ultime quattro cifre delle carte di credito dei clienti.

Contromisure contro gli attacchi di credential stuffing

Il settore finanziario ha visto un aumento significativo degli attacchi di credential stuffing, con una crescita anno su anno del 45% registrata nel 2022. Man mano che le aziende si espandono e attirano una base di utenti più ampia, diventano bersagli sempre più attraenti per i criminali informatici. Per contrastare questa minaccia crescente, i team di sicurezza possono implementare diverse contromisure.

L'implementazione dell'autenticazione multi-fattore (MFA) può fornire un ulteriore livello di sicurezza, rendendo più difficile per gli attori delle minacce ottenere l'accesso non autorizzato agli account. Nonostante le recenti violazioni subite da alcuni popolari gestori di password, questi strumenti rimangono un pilastro della sicurezza digitale moderna e dovrebbero essere utilizzati.

Promuovere migliori pratiche di password è cruciale. I team di sicurezza dovrebbero assumere una posizione proattiva nell'eliminare il riutilizzo delle password, scoraggiando la condivisione dei codici e sconsigliando di scrivere le informazioni di accesso su carta. Queste misure possono ridurre significativamente la probabilità di attacchi interni.

Gli attori malevoli possono costruire un esercito di bot automatizzati

I ricercatori della sicurezza di Microsoft hanno scoperto una campagna di phishing su larga scala che utilizza tecniche di proxying HTTPS per dirottare gli account Office 365. L'attacco è in grado di bypassare l'autenticazione multi-fattore (MFA) e ha colpito oltre 10.000 organizzazioni da settembre 2021.

Il monitoraggio costante dei tentativi di accesso può aiutare a identificare e sventare le attività fraudolente. Se viene rilevato un improvviso picco di tentativi di accesso o modelli insoliti, il team di sicurezza può bloccare l'indirizzo IP associato e avvisare gli utenti legittimi dell'attempt di hacking.

Un altro meccanismo difensivo efficace è il rate-limiting. Questa strategia impedisce ai bot malevoli di effettuare troppi tentativi di accesso rapidamente, bloccando efficacemente i progressi degli attacchi automatizzati.

Monitorare il dark web può tenere i team di sicurezza un passo avanti rispetto alle minacce informatiche emergenti. Tenendo d'occhio le raccolte di nomi utente e password disponibili sul dark web, le vulnerabilità possono essere rafforzate prima che si verifichi un attacco.

I team di sicurezza hanno la responsabilità di proteggere ed educare gli utenti. Gli attori malevoli possono costruire un esercito di bot automatizzati che eseguono migliaia o milioni di richieste di accesso fraudolente ogni giorno. Per contrastare questa minaccia crescente, gli utenti devono essere incoraggiati ad adottare buone pratiche di password e a utilizzare gestori di password affidabili. Tuttavia, la responsabilità primaria per la protezione dei dati spetta ai team di sicurezza dei siti web e ai fornitori di app. Un approccio multifattoriale combina un robusto controllo di accesso, il monitoraggio delle minacce e le salvaguardie di rate-limiting per interrompere il ciclo di attacco e tenere a bada gli attori delle minacce. In definitiva, la difesa più potente si basa sull'educazione e sulla promozione di una cultura della sicurezza.

Microsoft consiglia alle organizzazioni di impostare politiche per monitorare le regole della casella di posta che potrebbero avere scopi sospetti o per attivare avvisi per quantità insolite di eventi di accesso alla posta da parte di indirizzi IP o dispositivi non attendibili.