Die Identitätsbedrohung in Zahlen: Ein Fünftel der Authentifizierungsanfragen ist bösartig

Untersuchungen von F5 Labs zufolge sind vermutlich 19,4 % der Authentifizierungsanfragen auf Credential-Stuffing-Angriffe zurückzuführen;

Gegenmaßnahmen reduzieren die Häufigkeit um mehr als zwei Drittel, erhöhen jedoch die Raffinesse nachfolgender Angriffe;

75 % der gestohlenen Zugangsdaten stammen aus unbekannten Quellen.

SEATTLE – Digitale Identitäten sind zu einem Schauplatz der Cybersicherheit geworden. Wie neue Untersuchungen von F5 Labs zeigen, stammt ein Fünftel der Authentifizierungsanfragen von bösartigen automatisierten Systemen.

Der Identity Threat Report 2023: Die Unpatchbaren analysierte 320 Milliarden Datentransaktionen, die zwischen März 2022 und April 2023 in den Systemen von 159 Organisationen stattfanden.

Wenn keine Gegenmaßnahmen ergriffen wurden, lag der durchschnittliche Automatisierungsgrad – ein deutlicher Hinweis auf Credential Stuffing – bei 19,4 %. Durch die proaktive Abwehr bösartigen Datenverkehrs sank dieser Wert um mehr als zwei Drittel auf 6 %.

Bei Credential-Stuffing-Angriffen nutzen böswillige Akteure gestohlene Benutzernamen und Passwörter aus einem System, um in andere einzudringen. Automatisierte Tools spielen dabei eine zentrale Rolle, da sie es Angreifern ermöglichen, die Anzahl ihrer Versuche zu maximieren.

„Digitale Identitäten stehen seit Langem im Fokus von Angreifern, und die Bedrohung nimmt mit der zunehmenden Verbreitung nichtmenschlicher Identitäten weiter zu“, so Sander Vinberg, Threat Research Evangelist bei F5 Labs. „Unsere Forschung zeigt, in welchem Ausmaß digitale Identitäten angegriffen werden und wie wichtig wirksame Schutzmaßnahmen sind. Besonders bemerkenswert ist, dass wir ein durchgängiges Muster festgestellt haben: Sobald Schutzmaßnahmen greifen, geht der Einsatz bösartiger Automatisierung unmittelbar auf ein niedrigeres Niveau zurück, wobei die Angreifer häufig aufgeben und sich auf die Suche nach leichteren Zielen machen.“

Schutzmaßnahmen: vorher und nachher

Ein zentraler Teil der Studie untersuchte, wie sich Gegenmaßnahmen auf Credential-Stuffing-Angriffe auswirken. Diese Maßnahmen führten tendenziell dazu, dass die Angreifer ihr Verhalten änderten und der Einsatz bösartiger Automatisierung zurückging.

F5 Labs stellte fest, dass Angriffe ohne Gegenmaßnahmen häufiger auf mobile Endpunkte als auf Web-Endpunkte abzielten. Nach Einführung der Gegenmaßnahmen gingen die Angriffe auf mobile Endpunkte stärker zurück, und ein größerer Anteil der nachfolgenden Angriffe erfolgte über Web-Endpunkte.

Gegenmaßnahmen wirkten sich auch auf den Grad der Raffinesse der Angriffe aus.

Bei ungeschützten Authentifizierungsendpunkten entfielen 64,5 % des schädlichen Datenverkehrs auf als „einfach“ eingestufte Angriffe, bei denen weder versucht wurde, menschliches Verhalten nachzuahmen, noch Bot-Schutzmaßnahmen zu umgehen. Nach der Implementierung von Abwehrmaßnahmen sank der Anteil dieser Angriffe deutlich auf 44 %.

Im Gegensatz dazu stieg der Anteil „mittelschwerer“ Angriffe, bei denen gewisse Anstrengungen unternommen werden, um Anti-Bot-Lösungen zu manipulieren, nach der Implementierung von Schutzmaßnahmen von 12 % auf 27 %. Der Anteil fortgeschrittener Angriffe, bei denen Tools zum Einsatz kommen, die das Surfverhalten eines menschlichen Nutzers (einschließlich Mausbewegungen, Tastenanschlägen und Bildschirmabmessungen) sehr genau nachahmen können, erhöhte sich von 20 % auf 23 %.

„Unsere Analyse zeigt, dass viele Angreifer einfach weiterziehen, sobald Schutzmaßnahmen implementiert werden“, so Vinberg. „Angreifer, die weiterhin ein System ins Visier nehmen, obwohl Gegenmaßnahmen eingerichtet wurden, sind eindeutig entschlossener und raffinierter. Sie setzen Tools ein, mit denen sie menschliches Verhalten sehr genau nachahmen können, oder betreiben größeren Aufwand, um ihre Aktivitäten zu verschleiern.

„So beobachteten wir beispielsweise einen Angriff, bei dem 513.000 individuelle Benutzerinteraktionen über 516.000 Anfragen hinweg nachgeahmt wurden, wobei in weniger als 1 % der Fälle erkennbare Merkmale wiederverwendet wurden. Bei besonders ausgefeilten Angriffen ist mitunter eine manuelle Beobachtung erforderlich, um bösartiges Verhalten zu erkennen und eine neue Signatur zu erstellen.“

Die Herausforderungen für die Verteidiger nehmen zu

F5 Labs untersuchte auch die Lieferkette kompromittierter Zugangsdaten. Besorgniserregend ist, dass die Verteidiger offenbar deutlich weniger Einblick haben als angenommen. Bis zu 75 % der bei Angriffen verwendeten Zugangsdaten waren zuvor nicht als kompromittiert bekannt.

Darüber hinaus müssen Sicherheitsteams auf identitätsbezogene Bedrohungen reagieren, die darauf ausgelegt sind Schutzmaßnahmen zu umgehen. Beispielsweise können Unternehmen versuchen, Credential-Stuffing-Angriffe zu erkennen, indem sie auf eine ungewöhnlich niedrige Erfolgsquote bei Authentifizierungsanfragen achten. Die Studie ergab, dass sich Angreifer mithilfe von „Canary“-Konten daran angepasst haben. Auf diese Konten kann fortlaufend zugegriffen werden, um die Gesamterfolgsquote künstlich zu erhöhen. In einem Fall meldete sich eine Credential-Stuffing-Kampagne zu diesem Zweck innerhalb derselben Woche 37 Millionen Mal bei demselben Canary-Konto an.

Bei Phishing-Angriffen, einem weiteren Schwerpunkt der Analyse von F5 Labs, gab es erneut deutliche Anzeichen für verstärkte Bemühungen, Gegenmaßnahmen zu umgehen. Insbesondere die zunehmende Nutzung der Multi-Faktor-Authentifizierung begünstigt die Verbreitung von Reverse-Proxy-Phishing, bei dem Angreifer gefälschte Anmeldeseiten einrichten, die Nutzer zur Eingabe ihrer Zugangsdaten verleiten.

Darüber hinaus setzen Angreifer zunehmend Funktionen zur Umgehung der Erkennung wie AntiRed ein. Dabei handelt es sich um ein JavaScript-Tool, das browserbasierte Phishing-Analysen wie Google Safe Browsing umgehen soll (das Nutzern beim Aufrufen einer potenziell unsicheren Website eine rote Warnmeldung anzeigt).

Neue Bedrohungen am Horizont

Vor dem Hintergrund sich kontinuierlich weiterentwickelnder Umgebungen beobachtete F5 Labs auch, wie eine neue Generation von Bedrohungen entsteht.

So wurde beispielsweise im August 2022 im Dark Web eine Anzeige entdeckt, in der ein Voice-Phishing-System beworben wurde, das künstliche Intelligenz einsetzen sollte, um Phishing-Anrufe zu automatisieren. Da KI immer ausgereifter und kostengünstiger wird, dürften solche Ansätze mit der Zeit häufiger zum Einsatz kommen und effektiver werden.

„Mit Blick auf die Zukunft sollten Identitätsanbieter eine Anti-Bot-Lösung einsetzen, um böswillige Automatisierung wie Credential Stuffing einzudämmen. Selbst einfache Anti-Bot-Lösungen können den Großteil weniger ausgefeilter Credential-Stuffing-Angriffe abwehren“, fügte Vinberg hinzu.

„Unternehmen können ihre Abwehrmaßnahmen durch den Einsatz kryptografiebasierter MFA-Lösungen weiter stärken, beispielsweise solcher, die auf den Protokollen WebAuthn oder FIDO2 basieren. Letztlich gibt es kein Allheilmittel gegen identitätsbasierte Angriffe. Verantwortliche für die Abwehr müssen Angriffe überwachen und erkennen, die Fehlerquote ihrer Erkennung quantifizieren und ihre Maßnahmen entsprechend anpassen. Je intensiver wir diese Angriffe und ihre sich ständig wandelnde Natur untersuchen, desto besser können wir das Risiko von Schwachstellen beherrschen, die jedem System innewohnen, bei dem Benutzer ihre Identität nachweisen müssen, um Zugriff zu erhalten.“

Über F5

F5 ist ein Unternehmen für Multi-Cloud-Anwendungsdienste und -Sicherheit, das sich dafür einsetzt, eine bessere digitale Welt zu schaffen. F5 arbeitet mit den weltweit größten und fortschrittlichsten Organisationen zusammen, um jede App und API überall abzusichern und zu optimieren – vor Ort, in der Cloud oder am Netzwerkrand. F5 ermöglicht es Organisationen, ihren Kunden außergewöhnliche, sichere digitale Erlebnisse zu bieten und Bedrohungen stets einen Schritt voraus zu sein. Weitere Informationen finden Sie unter f5.com. (NASDAQ: FFIV)

Sie können @F5 auch auf Twitter folgen oder uns auf LinkedIn und Facebook besuchen, um weitere Informationen über F5, seine Partner und Technologien zu erhalten. F5 ist eine Marke, Dienstleistungsmarke oder ein Handelsname von F5, Inc. in den USA und anderen Ländern. Alle anderen hier genannten Produkt- und Unternehmensnamen können Marken ihrer jeweiligen Eigentümer sein.

###

Diese Pressemitteilung kann zukunftsgerichtete Aussagen zu künftigen Ereignissen oder zur künftigen finanziellen Entwicklung enthalten, die mit Risiken und Unsicherheiten verbunden sind. Solche Aussagen sind an Begriffen wie „könnte“, „wird“, „sollte“, „erwartet“, „plant“, „rechnet mit“, „glaubt“, „schätzt“, „prognostiziert“, „Potenzial“ oder „fortsetzen“ beziehungsweise an deren Verneinung oder vergleichbaren Begriffen zu erkennen. Bei diesen Aussagen handelt es sich lediglich um Prognosen. Die tatsächlichen Ergebnisse können aufgrund verschiedener Faktoren, darunter die in den bei der SEC eingereichten Unterlagen des Unternehmens genannten Faktoren, erheblich von den in diesen Aussagen erwarteten Ergebnissen abweichen.