Credential Theft Attacken verdoppeln sich zwischen 2016 und 2020

  • Die Anzahl der Angriffe, die zu einem groß angelegten Diebstahl von Anmeldedaten führten, hat sich laut F5 in den letzten vier Jahren fast verdoppelt, obwohl das Volumen der verletzten Login-Paare zurückging.

    Der “2021 Credential Stuffing Report” des Sicherheitsanbieters warnt, dass das durchschnittliche Volumen von Sicherheitsverletzungen zwar von 63 Millionen Datensätzen im Jahr 2016 auf 17 Millionen im Jahr 2020 gesunken ist, aber schlechte Sicherheitspraktiken das Risiko nach unten treiben.

    Es überrascht vielleicht nicht, dass die Speicherung von Passwörtern im Klartext für die bei weitem größte Anzahl von verschütteten Anmeldeinformationen verantwortlich war (43 %), gefolgt von ungesalzenen SHA-1-gehashten Passwörtern (20 %), während der in Verruf geratene Hash-Algorithmus MD5 immer noch erstaunlich häufig verwendet wird.

    Unternehmen sind auch schlecht darin, Einbruchsversuche zu erkennen: die mediane Zeit bis zur Entdeckung eines Credential Spills zwischen 2018 und 2020 betrug 120 Tage, während die durchschnittliche Zeit bis zur Entdeckung 327 Tage betrug.

    Dies ist von Bedeutung, denn wenn Anmeldedaten erst einmal in den Händen von Cyberkriminellen sind, können sie diese nutzen, um Verbraucherkonten im gesamten Web zu knacken.

    Ein Akamai-Bericht aus dem Jahr 2020 behauptet, dass über 60 % der 100 Milliarden Credential Stuffing-Angriffe, die in den letzten zwei Jahren entdeckt wurden, auf den Einzelhandel, die Reisebranche und das Gastgewerbe abzielten, wobei der Einzelhandel über 90 % davon ausmachte.

    Ein separater Bericht des Anbieters aus dem Jahr 2019 schätzte, dass Credential Stuffing-Angriffe Unternehmen in der EMEA-Region jedes Jahr durchschnittlich 4 Mio. US-Dollar kosten, und zwar durch Anwendungsausfallzeiten (1,2 Mio. US-Dollar), verlorene Kunden (1,6 Mio. US-Dollar) und IT-Sicherheitsüberstunden (1,2 Mio. US-Dollar) sowie die Kosten für Folgebetrug.

    “Credential Spills sind wie ein Ölteppich: Wenn sie einmal ausgelaufen sind, sind sie sehr schwer zu bereinigen, weil Credentials nicht von unbedarften Verbrauchern geändert werden und Credential Stuffing-Lösungen in Unternehmen noch nicht weit verbreitet sind”, sagt Sara Boddy, Senior Director von F5 Lab.

    “Es ist nicht überraschend, dass wir in diesem Untersuchungszeitraum eine Verschiebung des Angriffstyps Nummer eins von HTTP-Angriffen zu Credential Stuffing feststellen konnten. Dieser Angriffstyp hat langfristige Auswirkungen auf die Sicherheit von Anwendungen und wird sich in nächster Zeit nicht ändern.”

    F5 warnte außerdem, dass Angreifer zunehmend “Fuzzing”-Techniken einsetzen, um den Erfolg von Credential-Exploits zu optimieren, indem sie neben dem Original auch Varianten eines gestohlenen Passworts überprüfen.

    Einige Teile dieses Artikels stammen aus:
    www.infosecurity-magazine.com