Password Spray vs Credential Stuffing: Diferenças e Prevenção

A principal diferença entre password spray e credential stuffing é a exigência necessária para realizar o ataque. Ambos são ataques de força bruta usados por agentes mal-intencionados para obter acesso ilegal a contas de usuários.

Embora isso possa parecer assustador no início, eles ainda dependem de erros da sua parte. Neste guia sobre password spray vs credential stuffing, mostraremos como prevenir esses ataques e as diferenças entre eles.

O que é password spray?

Um password spray é uma forma de ataque de força bruta onde o infrator tenta algumas senhas comuns aleatórias em diferentes nomes de usuário válidos. Isso significa que o atacante não possui nenhuma informação legítima.

Em vez disso, eles testam algumas das senhas comuns e fáceis de lembrar que um usuário médio utiliza em muitos nomes de usuário válidos. Algumas dessas senhas fracas incluem password, 123456, 123abc e 111111, etc.

Eles repetem esse procedimento com diferentes senhas comuns até que consigam invadir uma das contas.

O que é credential stuffing?

Ao contrário do password spray, no credential stuffing, o atacante consegue acesso às credenciais de login da conta de um usuário. Isso geralmente acontece por meio de vazamentos online; talvez o banco de dados do site onde você possui uma conta tenha sido comprometido.

Com a senha de uma única conta, o agente mal-intencionado tenta acessar outras contas online mantidas pelo mesmo usuário. Se a senha não funcionar, o hacker tenta diferentes variações da mesma senha.

Por exemplo, um hacker pode obter acesso ao nome de usuário do Facebook de um usuário, e-mail e senha. Ele então tentará a senha para entrar na conta do Twitter ou Gmail da pessoa. Se isso não funcionar, ele usará uma variação da senha.

Qual é a diferença entre password spraying e credential stuffing?

1. Objetivo do ataque

O principal objetivo desses dois tipos de ataques é obter acesso ilegal às contas dos usuários. No entanto, para o credential stuffing, o objetivo é usar uma credencial de usuário vazada de uma conta para obter acesso a várias contas mantidas pelo mesmo usuário.

O password spraying, por outro lado, exige que o agente mal-intencionado tenha uma lista de senhas comuns que serão aplicadas em diferentes nomes de usuário válidos.

2. Requisito

O requisito para um ataque de credential stuffing é uma base de credenciais vazadas online para trabalhar. Normalmente, eles obtêm isso por meio de vazamentos online ou hackeando o banco de dados de uma organização.

Enquanto o password spraying não requer dados vazados. Apenas uma lista aleatória de nomes de usuário válidos, que geralmente é um endereço de e-mail e senhas frequentemente usadas e simples.

3. Modo de operação

Embora o credential stuffing possa ser feito manualmente, os hackers usam botnets. Eles alimentam os dados disponíveis para os bots que começam a fazer diferentes variações para acessar outras contas.

Essa forma de ataque funciona porque a maioria dos usuários da internet não mantém senhas únicas para diferentes contas. Em vez disso, eles usam a mesma senha repetidamente ou uma variação dela.

Os atacantes também usam botnets para password spraying. Os bots trabalham com nomes de usuário válidos e os combinam com senhas comumente usadas até que obtenham uma credencial válida para uma conta.

Essa forma de ataque às vezes é bem-sucedida porque um usuário médio da internet tem dezenas de contas que exigem senhas. Assim, a maioria das pessoas prefere usar essas senhas fracas e assim chamadas fáceis de lembrar. Isso facilita o acesso dos hackers às suas contas.

Como posso prevenir credential stuffing e password spraying?

Abaixo estão algumas das coisas que uma organização e um indivíduo podem fazer para prevenir esses ataques de força bruta:

• Use senhas únicas – Embora seja tentador optar por senhas comumente usadas, isso geralmente acaba mal. Sempre use uma senha forte e única para diferentes contas. Se você está preocupado em ter que se lembrar de todas, pode usar um gerenciador de senhas confiável.
• Rejeite senhas comumente usadas – Como uma organização com portais online, você precisa ter políticas de criação de senhas que rejeitem senhas fracas e comumente usadas. Com isso, você pode perceber rapidamente um ataque de password spray antes que ele aconteça.
• Use Autenticação Multifator (MFA) – Para tornar a segurança do seu portal e contas mais forte, você precisa reduzir a importância das senhas. Uma maneira eficaz de fazer isso é implementar uma autenticação de dois fatores (2FA) ou Autenticação Multifator. Com isso, os usuários precisarão fornecer informações adicionais, ter acesso aos seus dispositivos ou usar verificação biométrica, além de suas senhas.
• Verifique frequentemente se há violações no banco de dados – Às vezes, algumas organizações verificam seu banco de dados, especialmente os compartilhados, com um banco de dados de credenciais vazadas conhecidas. Com isso, você pode saber e agir rapidamente contra contas comprometidas.
• Limite tentativas de login – Outra maneira eficaz de prevenir credential stuffing e password spraying é limitar o número de tentativas de login por vez. Além disso, você pode introduzir CAPTCHA e outras ferramentas de detecção de “vivacidade” no processo de login para limitar bots.

Chegamos ao final deste guia sobre credential stuffing vs password spray. Com as informações contidas, você agora tem tudo que precisa saber sobre essas formas de ataque e como preveni-las.

Se você precisar de uma lista de gerenciadores de senhas offline para ajudar a proteger suas credenciais, confira nosso guia detalhado com as melhores opções disponíveis.

Sinta-se à vontade para compartilhar sua experiência com esses ataques de força bruta conosco nos comentários abaixo.