Credential Stuffing ist das Abspielen von Paaren aus E-Mail und Passwort, die von anderen Seiten geleakt wurden, gegen Ihren Login. Menschen verwenden Passwörter mehrfach, also funktioniert ein kleiner Teil jeder geleakten Liste fast überall. Der Angreifer muss Ihr System nicht knacken; er braucht Volumen und ein Login-Formular, das schnell antwortet.
Wie es in Ihren Logs aussieht
- Eine Fehlerquote, die springt. Normale Logins gelingen meistens. Ein Stuffing-Lauf scheitert neunzehn von zwanzig Mal.
- Viele Konten, wenige Versuche je Konto. Anders als bei Brute Force wird jedes Konto ein- oder zweimal versucht, sodass Sperren pro Konto nie auslösen.
- Viele Adressen. Die Versuche kommen über Residential-Proxy-Pools, sodass das Blockieren der häufigsten IPs kaum etwas bewirkt.
- Logins ohne Seite. Der Login-Endpunkt wird direkt aufgerufen, von Clients, die nie die Login-Seite geladen haben.
- Maschinelles Timing. Anfragen in gleichmäßigem Takt, zu Stunden, in denen Ihre Kunden schlafen.
Warum die üblichen Abwehrmaßnahmen nicht reichen
Rate Limits pro IP werden von Proxy-Pools mit Tausenden Ausgängen ausgehebelt. Kontosperren schaden Ihren Kunden mehr als dem Angreifer und lassen sich in ein Mittel verwandeln, Menschen absichtlich auszusperren. CAPTCHAs lösen bezahlte Dienste für den Bruchteil eines Cents. Jede Maßnahme bringt Reibung für echte Menschen und kleine Kosten für Bots.
Den Client beurteilen, nicht nur die Anfrage
Ein Stuffing-Tool kann bei jeder Anfrage IPs und User-Agents wechseln. Schwer zu fälschen ist ein ganzer, konsistenter Browser, der Ihre Seite geladen, Ihr Skript ausgeführt hat und sich über die Session hinweg wie ein Mensch verhält:
- ein signierter Token von der Seite, fehlend oder über viele Sessions geteilt;
- Automatisierungs-Flags und Browser-Fingerprints, die nicht zusammenpassen;
- ein Gerät oder Token, das viele verschiedene Konten versucht;
- Wiederholungen ohne Pause trotz Fehlern, was Menschen nicht tun.
Wo die Prüfung hingehört
Fragen Sie, bevor Sie das Passwort prüfen, damit ein Bot nie erfährt, ob ein Paar funktioniert:
- bot high: antworten, als wäre das Passwort falsch. Das Tool lernt nichts, und Ihr Kunde ist nie betroffen.
- bot: nach einem zweiten Faktor oder einem per E-Mail gesendeten Code fragen, bevor die Session hineindarf.
- alle anderen: der normale Login.
Einem Bot mit demselben „falschen Passwort“ zu antworten, das ein Mensch sähe, ist wichtig: Eine eigene Sperrseite sagt dem Angreifer, dass er die Taktik wechseln soll.
Nach dem Login
Sagen Sie Ihrer Bot-Prüfung, was danach geschah. Ein Login, der später eine echte Bestellung aufgibt, oder ein Chargeback, der das Gegenteil beweist, ist ein Beleg, den kein Anfrage-Header fälschen kann, und er schärft die nächste Entscheidung über denselben Besucher.