Credential stuffing is het automatisch gebruiken van onthulde gebruikersnaam- en wachtwoordcombinaties om illegaal toegang te krijgen tot gebruikersaccounts en, indien nodig, volledig over te nemen.
De term “credential stuffing” bestaat uit “credentials” en “stuffing”. Bij deze procedure wordt het loginmasker van een website, bijvoorbeeld een online winkel, automatisch ingevuld. Lange lijsten met bekende logingegevens worden verwerkt. De berekening hierachter is dat sommige van deze inloggegevens nog steeds geldig zijn en vervolgens misbruikt kunnen worden, bijvoorbeeld om een aankoop te doen in deze online winkel. Deze lijsten met inloggegevens komen voort uit incidenten waarbij criminele hackers erin slaagden inloggegevens te bemachtigen. Bijvoorbeeld als ze een e-mailprovider, een online winkel of een creditcardmaatschappij hackten en toegang kregen tot de daar opgeslagen inloggegevens. Deze lijsten worden gratis verkocht of zelfs gratis verspreid op het internet. Credential stuffing is altijd succesvol omdat veel gebruikers hun wachtwoorden meerdere keren gebruiken en ze zelden veranderen. Daardoor blijven zelfs oudere lijsten met inloggegevens interessant voor cybercriminelen. De hackers voeren de inloggegevens niet handmatig in, maar automatisch via zogenaamde bots. Hierdoor kunnen ze vrijwel elke hoeveelheid gegevens testen op geldigheid. Het resultaat: Volgens het IT-beveiligingsbedrijf Shape Security zijn pogingen tot credential-stuffing gemiddeld goed voor 80 – 90% van het inlogverkeer van elke online winkel.
In je dagelijkse werk kom je meestal indirect het onderwerp credential stuffing tegen. Bijvoorbeeld, als je inlogt op je gebruikersaccount op een website en wordt gevraagd om cijfers en letters in te voeren van een vervormde afbeelding naast je inloggegevens. Bots en dus pogingen tot credential stuffing mislukken vanwege deze zogenaamde captcha-code.
Als onderdeel van de Perseus IT-beveiligingscontrole kom je erachter of je e-mailadres op de bekende invullijsten van inloggegevens staat. Als dat het geval is, zijn de volgende aanbevelingen des te belangrijker voor jou.
. Hoe vaker je je wachtwoord verandert, hoe sneller je inloggegevens hun relevantie verliezen als ze gestolen worden. Als dit al is gedaan, moet je alle wachtwoorden die je gebruikt in combinatie met het betreffende e-mailadres veranderen.
. Idealiter gebruik je een wachtwoord niet twee keer. Een wachtwoordmanager helpt je met deze prestatie van geheugentechnologie (zie volgende alinea). Als dit op dit moment geen optie voor je is, gebruik dan zoveel mogelijk verschillende wachtwoorden. Gebruikersaccounts waarvan criminele exploitatie bijzonder grote schade zou veroorzaken, moeten unieke wachtwoorden krijgen die zo complex mogelijk zijn.
Een wachtwoordmanager is een programma dat een individueel, complex wachtwoord genereert voor elk gebruikersaccount en dit onthoudt voor toekomstige bezoeken. Het enige wat je hoeft te doen is het wachtwoord van de wachtwoordmanager zelf onthouden. Over het algemeen bieden wachtwoordmanagers een hoog beveiligingsniveau. Maar ze zijn niet onfeilbaar. Omdat het programma’s zijn, kunnen ze theoretisch ook gehackt worden.
Bescherm daarom zoveel mogelijk gebruikersaccounts met tweefactorauthenticatie.
Tweefactorauthenticatie biedt veel beveiliging. Wij raden aan: Gebruik het voor alle accounts die je die optie bieden.