Attacchi di Credential Stuffing: Che cos'è e come prevenirli?

Gli attacchi di credential stuffing sfruttano nomi utente e password rubati da violazioni di dati per ottenere un accesso non autorizzato agli account. Questa minaccia in costante crescita colpisce le aziende in vari settori, dall'e-commerce e i social media fino ai servizi finanziari.

Poiché sempre più utenti continuano a riutilizzare le password su diverse piattaforme, per gli hacker diventa più facile sfruttare questa vulnerabilità. Automatizzando i tentativi di accesso con i bot, i cybercriminali possono testare milioni di credenziali in breve tempo, provocando furti di account, frodi e danni alla reputazione.

Ma cosa si intende esattamente per credential stuffing e in cosa differiscono questi attacchi dalle altre minacce informatiche? E soprattutto, in che modo le aziende possono individuarli e prevenirli? Scopriamo i dettagli del credential stuffing e come puoi salvaguardare la tua piattaforma.

Che cos'è un attacco di credential stuffing? 

Il credential stuffing è un tipo di attacco informatico in cui gli hacker utilizzano nomi utente e password sottratti a precedenti violazioni di dati per ottenere un accesso non autorizzato agli account utente su varie piattaforme. Gli autori dell'attacco sfruttano il fatto che molti utenti riutilizzano le stesse password su diversi siti web e app, rendendo più semplice la violazione di più account con le medesime credenziali.

Secondo l'Identity Threat Report del 2023 di F5 Labs, il credential stuffing ha rappresentato in media il 19,4% del traffico non mitigato tra le organizzazioni di vari settori. Anche dopo gli sforzi di mitigazione, il 6,0% del traffico era ancora composto da tentativi di credential stuffing. 

Secondo Kaspersky, un provider di autenticazione ha registrato una media di un tentativo di credential stuffing ogni due accessi legittimi nel 2022, evidenziando quanto questo metodo sia diventato diffuso. Questa tendenza costante sottolinea il rischio persistente per le aziende, in particolare in settori come il turismo, le telecomunicazioni e la tecnologia, che registrano tassi di attacco più elevati rispetto ad altri comparti.

Ma per capire come proteggersi dal credential stuffing, è fondamentale innanzitutto comprendere come operano questi attacchi e le tecniche utilizzate dai cybercriminali.

Come funzionano gli attacchi di credential stuffing?

Gli attacchi di credential stuffing sfruttano il riutilizzo delle password utilizzando strumenti automatizzati, spesso chiamati bot, per testare elenchi enormi di credenziali rubate su vari siti web. Quando trovano una corrispondenza, gli hacker ottengono l'accesso non autorizzato all'account dell'utente. Questo approccio automatizzato consente loro di testare milioni di coppie di credenziali in pochissimo tempo.

Differenza dagli attacchi di forza bruta:

• Attacchi brute force: tentano di indovinare le password provando combinazioni casuali di caratteri fino a trovare quella corretta,

• Credential stuffing: utilizza credenziali reali provenienti da violazioni di dati, rendendo il processo più rapido ed efficiente, 

Tecniche comuni utilizzate nel credential stuffing:

1. Botnet: gli hacker utilizzano reti di computer compromessi (botnet) per distribuire i tentativi di accesso su più indirizzi IP, rendendo più difficile rilevare e bloccare l'attacco,

2. Reti proxy: i proxy vengono impiegati per nascondere l'origine dei tentativi di accesso, consentendo agli aggressori di aggirare le misure di sicurezza,

3. Dump di credenziali: gli elenchi di credenziali rubate in passate violazioni di dati vengono venduti o condivisi sul dark web, offrendo agli hacker un facile accesso a nomi utente e password.

Quali sono alcuni dei più noti attacchi di credential stuffing recenti?

Il credential stuffing rimane una seria minaccia per le aziende in molti settori, con hacker che riescono a violare gli account sfruttando credenziali di accesso rubate. Negli ultimi anni, diverse aziende di alto profilo sono cadute vittime di questo tipo di attacchi, a dimostrazione della natura diffusa e persistente del problema. Vediamo tre esempi recenti:

1. PayPal (2022)

Nel dicembre 2022, PayPal è stata presa di mira in un attacco di credential stuffing che ha compromesso quasi 35.000 account. Gli aggressori hanno utilizzato credenziali ottenute da violazioni su siti web non correlati per accedere senza autorizzazione agli account PayPal. 

Sebbene PayPal abbia confermato che non vi erano prove di un uso illecito dei dati dei clienti, come misura precauzionale ha offerto agli utenti interessati un abbonamento di due anni al servizio di monitoraggio dell'identità di Equifax. Questo incidente sottolinea l'importanza di abilitare l'autenticazione a due fattori (2FA), che aggiunge un ulteriore livello di protezione contro il credential stuffing.

2. 23andMe (2023)

Alla fine del 2023, l'azienda di test genetici 23andMe ha rivelato che un attacco di credential stuffing aveva portato al furto di informazioni personali di milioni di suoi utenti. I dati rubati includevano nomi, foto profilo, genere, date di nascita e persino risultati sull'ascendenza genetica. 

Secondo 23andMe, gli aggressori hanno probabilmente ottenuto le credenziali di accesso da altre piattaforme in cui gli utenti avevano riutilizzato le proprie password. Questo caso evidenzia i pericoli del riutilizzo delle credenziali di accesso su più servizi, che facilita la violazione degli account da parte dei cybercriminali.

3. Zoom (2020)

Nel 2020, Zoom ha subito un significativo attacco di credential stuffing, che ha compromesso oltre 500.000 account utente. Gli aggressori hanno utilizzato credenziali provenienti da violazioni risalenti anche al 2013, molte delle quali erano state probabilmente vendute sul dark web. 

A causa della diffusa abitudine di riutilizzare le password, gli hacker sono riusciti ad accedere a questi account utilizzando uno strumento di verifica delle credenziali. Questo attacco serve da severo monito sulla necessità per gli utenti di aggiornare e diversificare regolarmente le proprie password per proteggere i propri account da eventuali compromissioni.

Qual è l'impatto del credential stuffing sulla tua attività?

Il credential stuffing può causare danni significativi sia alle aziende che ai loro utenti, con conseguenze che compromettono la stabilità finanziaria, la fiducia dei clienti e l'efficienza operativa.

1. Perdite finanziarie per la tua azienda

Il credential stuffing si traduce spesso in transazioni fraudolente, che possono causare perdite finanziarie dirette. Gli hacker che ottengono l'accesso agli account utente possono avviare acquisti non autorizzati, manipolare i punti fedeltà o sfruttare i servizi in abbonamento. Queste attività possono comportare chargeback, rimborsi e commissioni di transazione aggiuntive.

Per settori come l'e-commerce e i servizi finanziari, il costo per annullare le attività fraudolente può lievitare rapidamente, incidendo sulla redditività complessiva. Oltre alla perdita finanziaria immediata, le aziende potrebbero dover affrontare un aumento dei premi assicurativi e la necessità di investire in sistemi di prevenzione delle frodi più robusti.

2. Perdita della fiducia dei clienti e della reputazione

Quando gli account dei clienti vengono compromessi, la fiducia degli utenti viene gravemente intaccata. I tuoi clienti si aspettano che i loro dati personali siano al sicuro e una violazione può far sì che perdano fiducia nella tua piattaforma. Ciò può tradursi in un abbandono da parte dei clienti, con utenti che lasciano il tuo servizio a favore dei concorrenti. Recensioni negative e reazioni avverse sui social media possono danneggiare ulteriormente la tua reputazione, rendendo più difficile acquisire nuovi utenti o trattenere quelli esistenti. 

Per le aziende che operano in settori altamente competitivi come i social media, la finanza e l'e-commerce, il danno reputazionale derivante da un attacco di credential stuffing può avere effetti a lungo termine sulla fedeltà al brand.

3. Disservizi operativi e aumento dei costi

Gli attacchi di credential stuffing spesso provocano un'impennata delle richieste di assistenza clienti, poiché gli utenti segnalano attività non autorizzate sui propri account. Gestire i furti di account, elaborare i ripristini delle password e risolvere i reclami degli utenti rappresentano un pesante fardello per i team di assistenza clienti. Questo aumento delle richieste di supporto può sovraccaricare le tue risorse, distogliendo l'attenzione dalle attività aziendali principali. 

Inoltre, le aziende devono investire in aggiornamenti della sicurezza informatica per prevenire attacchi futuri, il che può far lievitare i costi operativi. Il tempo e lo sforzo necessari per riprendersi da un attacco su larga scala possono interrompere le normali attività e ritardare progetti o iniziative chiave.

Come rilevare gli attacchi di credential stuffing?

Rilevare tempestivamente gli attacchi di credential stuffing è fondamentale per ridurne al minimo l'impatto. Monitorando attentamente indicatori specifici, le aziende possono agire rapidamente per limitare i danni. Ecco tre segnali chiave a cui prestare attenzione:

1. Aumento dei tentativi di accesso falliti

Uno dei segnali più evidenti di un attacco di credential stuffing è un'improvvisa impennata dei tentativi di accesso falliti. Poiché gli aggressori utilizzano strumenti automatizzati per testare migliaia, o addirittura milioni, di credenziali rubate, il tuo sistema registrerà un incremento anomalo degli errori di login. 

Questo schema spesso comporta molteplici tentativi falliti dallo stesso indirizzo IP o su numerosi account utente. Monitorare tali picchi è essenziale per identificare un attacco in corso.

2. Attività insolita sugli account utente

Gli utenti potrebbero segnalare attività strane o non autorizzate sui propri account, come transazioni non effettuate da loro, modifiche ai dettagli del profilo o accessi da dispositivi sconosciuti. Gli hacker che riescono a compromettere gli account tramite credential stuffing spesso li utilizzano per compiere azioni fraudolente, come effettuare acquisti o manipolare le impostazioni dell'account. 

L'implementazione di strumenti per rilevare anomalie nel comportamento degli utenti può aiutare a segnalare tempestivamente le attività sospette.

3. Modifiche impreviste alle informazioni dell'account

Una volta ottenuto l'accesso a un account, gli aggressori possono tentare di bloccare l'utente legittimo modificando dettagli chiave come indirizzi email o numeri di telefono. Queste modifiche impreviste possono essere un campanello d'allarme, soprattutto se si verificano dopo molteplici tentativi di accesso falliti.

Il monitoraggio di modifiche improvvise alle informazioni dell'account, in particolare a seguito di attività di login sospette, può aiutare a prevenire ulteriori danni.

Come prevenire gli attacchi di credential stuffing per proteggere i tuoi utenti?

Prevenire il credential stuffing richiede un approccio multi-livello. Ecco alcune strategie chiave:

1. Imporre policy per password sicure

Incoraggia gli utenti a creare password complesse e uniche, difficili da indovinare. Le password dovrebbero essere una combinazione di lettere, numeri e simboli. Ricorda agli utenti di evitare di riutilizzare la stessa password su piattaforme diverse.

2. Educare gli utenti alla cultura della sicurezza

Proprio come il settore bancario ricorda frequentemente ai clienti di non condividere mai le proprie password, le aziende dovrebbero educare i propri utenti sull'importanza della sicurezza delle password. Promemoria regolari sul non riutilizzare le password e sul seguire le best practice possono fare molto per prevenire gli attacchi di credential stuffing.

3. Implementare meccanismi di blocco dell'account

I meccanismi di blocco dell'account possono impedire ai bot automatizzati di effettuare tentativi di accesso continui. Dopo un certo numero di tentativi falliti, il blocco temporaneo dell'account aiuta a fermare ulteriori sforzi finché l'utente non verifica la propria identità.

4. Utilizzare i CAPTCHA – con alcune limitazioni

I CAPTCHA possono aiutare a bloccare i bot dal compiere tentativi di accesso automatizzati, ma non sono una soluzione perfetta. Possono influire negativamente sull'esperienza utente e sui tassi di conversione, e i bot più sofisticati a volte riescono ad aggirarli utilizzando tecniche avanzate.

5. Autenticazione a più fattori (MFA)

L'autenticazione a più fattori (MFA) aggiunge un ulteriore livello di sicurezza richiedendo agli utenti di verificare la propria identità tramite un secondo fattore, come un OTP (One-Time Password) inviato via SMS o Email OTP. Ciò rende notevolmente più difficile per gli aggressori accedere agli account, anche qualora possiedano le credenziali corrette.

Tuttavia, oggi l'MFA non si limita agli SMS. Sono ormai disponibili molti canali in grado di raggiungere gli utenti in tutto il mondo, garantendo una consegna affidabile indipendentemente dall'area geografica o dalle condizioni della rete. Con Prelude, puoi anche selezionare il tuo canale preferito tra SMS, RCS, Telegram, WhatsApp e SNA (Silent Network Authentication) per adattare la verifica alle esigenze della tua attività e al contesto dell'utente.

Tecnologie avanzate come SNA vanno ancora oltre. Invece di fare affidamento su un OTP, il numero e il dispositivo dell'utente vengono verificati silenziosamente a livello di operatore telefonico. Questo rende l'autenticazione fluida per l'utente, riducendo drasticamente il rischio di frode, intercettazione o manipolazione.

Il credential stuffing è una minaccia seria e in crescita ma, implementando solide policy per le password, educando gli utenti e utilizzando l'autenticazione a più fattori, le aziende possono ridurne significativamente il rischio. Prevenire questi attacchi protegge sia i tuoi utenti che la tua attività da perdite finanziarie e danni d'immagine.