Ekonomia cyberprzestępców opiera się na łatwych i tanich atakach

Jak podnieść koszty hakerom w obszarze credential stuffing

Każdy biznes kieruje się w swoich działaniach analizą kosztów i potencjalnych korzyści. Tak samo działają internetowi oszuści. Głównym motywatorem ich działań jest zysk.

Na ich rachunek zysków i strat wpływają dwa kluczowe czynniki: koszt operacji i zmieniający się krajobraz cyberbezpieczeństwa. Należy zauważyć, że koszty działań kryminalnych szybko spadają.  W uproszczeniu oznacza to, że ​​hakerzy mają dziś możliwość wydać jedynie kilkaset dolarów na zorganizowanie ataków, które mogą przynieść wielomilionowe zyski.

W rezultacie zauważamy, że upychanie poświadczeń[1] – nazw użytkowników i haseł – staje się coraz częściej stosowaną metodą oszustw internetowych. Ostatnie badania F5 Labs i Shape Security potwierdziły niedawno, że incydenty związane z wyciekiem poświadczeń niemal podwoiły się w latach 2016-2020[2].

Wspomniana metoda polega na tym, że ​​hakerzy uzyskują nazwy użytkownika i hasła po bardzo niskich kosztach (a czasami za darmo) z łatwo dostępnych źródeł. Następnie używają niestandardowego lub powszechnie dostępnego oprogramowania – gotowego, aby zautomatyzować proces logowania na milionach kont użytkowników w setkach witryn internetowych. Robią to wiedząc, że czyjeś hasło do Facebooka może np. powtórzyć się jako login konta dostawcy usług internetowych, a nawet do konta bankowego. Generowany przez nich ruch jest dystrybuowany globalnie, co pozwala uniknąć podejrzeń dotyczących jego źródła. Poza tym, dokonując kolejnej, niewielkiej inwestycji hakerzy mogą również pokonać podstawowe, zautomatyzowane mechanizmy obronne, takie jak np. testy CAPTCHA, wykorzystując wtyczki lub zewnętrzne usługi ich rozwiązywania[3].

W Shape Security szacujemy, że koszt 100 tysięcy prób przejęcia konta wynosi jedynie około 200 dolarów, włącznie z niezbędnym oprogramowaniem, serwerami proxy i kosztem zakupu skradzionych danych uwierzytelniających. Wskaźniki skuteczności takich ataków zwykle wahają się od 0,2 do 2%. Przejęte konta są następnie sprzedawane na różnych forach i rynkach cyberprzestępczych w cenie od 2 do 150 dolarów, co oznacza zwrot z inwestycji wielkości od 100 do 150 000%, a czasem nawet więcej. W sumie daje to zwrot środków w wysokości od 200 do nawet ponad 300 000 dolarów.

Niestety, wiele organizacji nadal koncentruje się na odpieraniu ataków botów za pomocą adresu IP lub blokowania ciągu User-Agent, co szybko staje się nieefektywną grą w kotka i myszkę. Zamiast tego należy położyć nacisk na wyeliminowanie tego, co stanowi dla hakerów wartość, czyli ułatwień dla atakujących cyfrowe zasoby organizacji.

Zaporowy koszt dla atakujących biznes

Dla firm oznacza to ulepszenie ich obrony do tego stopnia, żeby jej ​​pokonanie przez hakerów było zbyt kosztowne. Włamywacz zawsze skorzysta z otwartego okna, zamiast inwestować w drogie narzędzia do otwierania zamków w solidnych drzwiach. Ta zasada działa także w przypadku zasobów wirtualnych.

Najlepszą metodą jest zastosowanie zestawu środków, które zmuszą oszustów do kosztowniejszych działań. Jeśli będzie się to zdarzać wystarczająco często, analiza koszty vs korzyści nie będzie dla nich wystarczająco intratna, ponieważ konieczne wydatki ostatecznie przeważą nad potencjalnym zwrotem.

W 2913 roku, David Bianco zaproponował klasyfikację stopnia trudności ataku w koncepcji Piramidy Bólu. Sprawdza się ona w przypadku credential stuffing i możliwych, skutecznych w łagodzeniu takich ataków metod. Angażowanie sił ochrony tylko w obszarze adresów IP i ciągów User-Agent znajdujących się na dole piramidy jest daremne. Znacznie efektywniej jest skoncentrować wysiłki na wyższych stopniach „piramidy bólu” i niwelować siłę narzędzi oszustów oraz ich taktyk, technik i procedur (TTP). Innymi słowy, nieustannie utrudniać działania przeciwnikowi i zmuszać go do szukania tańszych celów gdzie indziej.

Aby skutecznie przeprowadzić podobną obronę, należy sprawdzić, ile faktycznie kosztuje atakowanie naszych usług internetowych i mobilnych. Jeśli nie znamy tych kosztów, trudno estymować, jakie rodzaje utrudnień i blokad będą w rachunku zysk-koszt wystarczające do obrony przed atakami. Na bazie posiadanej już wiedzy można przystąpić do wprowadzania skutecznych działań – rekomendujemy trzy kroki jak niżej.

Na początek warto zająć się słabymi punktami przeprowadzając audyt ekspozycji sieci, aby usunąć wszystkie najprostsze dla przestępców ścieżki. Stworzy to minimalną barierę, którą napastnicy będą musieli pokonać. Dla przykładu: przeanalizowanie strony uwierzytelniania aplikacji webowych pozwoli upewnić się, że nie dostarcza ona cennych informacji zwrotnych, które mogą być wykorzystane przez oszustów. Strony resetowania hasła będą tutaj typowym przykładem. Komunikat „przepraszamy, to konto nie istnieje, spróbuj ponownie” w rzeczywistości pomaga przestępcom. Informuje ich, które konta są w naszej witrynie ciągle ważne, a które nie, Poprawia to dokładność i wydajność wszystkich kolejnych ataków polegających na wypychaniu poświadczeń. Odpowiedź, która utrudniłaby działanie hakerom brzmiałaby: „Otrzymaliśmy Twoją prośbę o zresetowanie hasła. Otrzymasz od nas wiadomość e-mail umożliwiającą zresetowanie hasła”.

W kolejnym kroku warto przeprowadzić testy penetracyjne w aplikacjach internetowych i mobilnych organizacji, aby zrozumieć, jaki jest stopień trudności dokonania wyłomu przez oszustów. W tym procesie należy posiłkować się faktycznymi danymi, a nie przeczuciami. Pomoże to zbudować zestaw narzędzi obronnych, które odzwierciedlają realne i prawdopodobne próby pokonania zastosowanych środków bezpieczeństwa.

Warto pamiętać, że pole ataku jest dynamiczne. Narzędzia, którymi dysponują przestępcy są udoskonalane każdego dnia, więc kolejnym – trzecim krokiem będzie regularne aktualizowanie i ulepszanie mechanizmów cyberochrony, aby dotrzymać kroku stale ewoluującemu ryzyku. Etap ten może obejmować usługi analityków bezpieczeństwa (wewnętrznych lub kontraktowych) i nałożenie na nich obowiązków „Red Hat”. To pozwoli im być na bieżąco z najnowszymi wektorami ataków i narzędzi omawianych na cyberprzestępczych forach dark web i innych. Równie skutecznym rozwiązaniem mogą być programy Bug Bounties pozwalające wewnątrz organizacji zidentyfikować luki w kontroli lub nowe sposoby obejścia istniejących mechanizmów kontrolnych, zanim oszuści będą mogli je znaleźć i wykorzystać.

Warto pamiętać, że upychanie poświadczeń jest dla kryminalistów tanie i łatwe, więc stanowi duży zwrot z inwestycji przestępczych. Dzięki nim hakerzy regularnie zarabiają miliony. Nie warto im tego ułatwiać.

Carlos Asuncion, dyrektor ds. Inżynierii rozwiązań, Shape Security w F5

[1] https://www.f5.com/labs/articles/education/what-is-credential-stuffing-

[2] https://www.f5.com/labs/articles/threat-intelligence/2021-credential-stuffing-report

[3] https://www.google.com/search?q=captcha+solver