Zahl der Vorfälle mit kompromittierten Zugangsdaten verdoppelt sich, während Hacker immer raffinierter vorgehen

Seien Sie dabei, wenn Dan Woods (VP des Shape Security Intelligence Center bei F5) und Sander Vinberg (Threat Evangelist bei F5 Labs) gemeinsam mit John Wagnon und Jason Rahm von DevCentral den neuen Credential-Stuffing-Bericht von F5 Labs eingehend beleuchten.

Weitere Informationen finden Sie im vollständigen Bericht zu Credential Stuffing 2021 und in einer ausführlicheren Version der DevCentral-Connects-Diskussion hier. Nachfolgend finden Sie außerdem eine Zusammenfassung der wichtigsten Erkenntnisse des Berichts.

Laut dem neuesten Credential Stuffing Report von F5 Labs hat sich die Zahl der jährlichen Vorfälle, bei denen Zugangsdaten offengelegt wurden, von 2016 bis 2020 nahezu verdoppelt.

Die umfassendste Forschungsinitiative ihrer Art verzeichnete im selben Zeitraum einen Rückgang des Volumens offengelegter Zugangsdaten um 46 %. Auch die durchschnittliche Größe der Datenlecks sank – von 63 Millionen Datensätzen im Jahr 2016 auf 17 Millionen im vergangenen Jahr. Die mittlere Größe der Datenlecks lag 2020 bei 2 Millionen Datensätzen. Dies entsprach einem Anstieg um 234 % gegenüber 2019 und war der höchste Wert seit 2016 (2,75 Millionen).

Credential Stuffing, bei dem große Mengen kompromittierter Kombinationen aus Benutzernamen und/oder E-Mail-Adressen und Passwörtern ausgenutzt werden, ist ein wachsendes globales Problem. Ein deutlicher Hinweis darauf ist eine im vergangenen Jahr vom FBI herausgegebene Mitteilung an die Privatwirtschaft, in der davor gewarnt wurde, dass diese Bedrohung zwischen 2017 und 2020 den größten Anteil der Sicherheitsvorfälle im US-Finanzsektor ausmachte (41 %).

„Angreifer sammeln seit Jahren Milliarden von Zugangsdaten“, sagte Sara Boddy, Senior Director of F5 Communities (F5 Labs und DevCentral). „Der Abfluss von Zugangsdaten ist wie eine Ölpest: Sind sie erst einmal in Umlauf geraten, lässt sich der Schaden nur sehr schwer beheben, da arglose Verbraucher ihre Zugangsdaten nicht ändern und Unternehmen Lösungen gegen Credential Stuffing noch nicht flächendeckend einsetzen. Es überrascht daher nicht, dass sich während unseres Untersuchungszeitraums die häufigste Angriffsart von HTTP-Angriffen hin zu Credential Stuffing verlagerte. Diese Angriffsart beeinträchtigt die Sicherheit von Anwendungen langfristig und wird so bald nicht verschwinden. Wenn Sie befürchten, gehackt zu werden, geschieht dies höchstwahrscheinlich durch einen Credential-Stuffing-Angriff.“

Auf Grundlage der Ergebnisse rief Sander Vinberg, Threat Research Evangelist bei F5 Labs und Mitautor des Berichts, Unternehmen dazu auf, weiterhin wachsam zu bleiben.

„Auch wenn es interessant ist, dass das Gesamtvolumen und der Umfang offengelegter Zugangsdaten im Jahr 2020 zurückgegangen sind, sollten wir das keinesfalls schon feiern“, warnte er. „Zugriffsangriffe – darunter Credential Stuffing und Phishing – sind inzwischen die häufigste Ursache für Sicherheitsverletzungen. Es ist äußerst unwahrscheinlich, dass Sicherheitsteams den Kampf gegen Datenexfiltration und Betrug gewinnen. Vielmehr scheint sich ein zuvor chaotischer Markt mit zunehmender Reife zu stabilisieren.“

Unsichere Passwortspeicherung und zunehmende Raffinesse der Angreifer

Trotz eines wachsenden Konsenses über bewährte Branchenpraktiken ist eine der wichtigsten Erkenntnisse des Berichts, dass die unsichere Speicherung von Passwörtern nach wie vor ein Dauerproblem darstellt.

Obwohl die meisten Unternehmen ihre Algorithmen zum Hashen von Passwörtern nicht offenlegen, konnte F5 90 konkrete Vorfälle untersuchen, um einen Eindruck von den wahrscheinlichsten Ursachen für den Abfluss von Zugangsdaten zu vermitteln.

In den vergangenen drei Jahren waren 42,6 % der offengelegten Zugangsdaten ungeschützt, und die Passwörter wurden im Klartext gespeichert. Darauf folgten mit 20 % Zugangsdaten, die mit dem Passwort-Hashing-Algorithmus SHA-1 ohne Salt gehasht worden waren (d. h. ohne einen eindeutigen Wert, der an das Passwort angehängt werden kann, um einen anderen Hashwert zu erzeugen). An dritter Stelle lag der mit Salt verwendete bcrypt-Algorithmus mit 16,7 %. Überraschenderweise machte der weithin als unsicher geltende Hashing-Algorithmus MD5 selbst bei mit Salt versehenen Hashes nur einen kleinen Anteil der offengelegten Zugangsdaten aus (0,4 %). MD5 gilt seit Jahrzehnten als unsicher und als schlechte Praxis – mit oder ohne Salt.

Eine weitere bemerkenswerte Beobachtung des Berichts ist, dass Angreifer zunehmend „Fuzzing“-Techniken einsetzen, um ihre Erfolgschancen bei der Ausnutzung von Zugangsdaten zu erhöhen. Fuzzing bezeichnet das Aufspüren von Sicherheitslücken in Code zur Eingabeanalyse, indem der Parser wiederholt mit veränderten Eingaben getestet wird. F5 stellte fest, dass die meisten Fuzzing-Angriffe vor der öffentlichen Bekanntgabe der kompromittierten Zugangsdaten stattfanden. Dies deutet darauf hin, dass diese Vorgehensweise unter versierten Angreifern weiter verbreitet ist.

Erkennung von Datenlecks

Im Credential Stuffing Report 2018 berichtete F5, dass es durchschnittlich 15 Monate dauerte, bis ein Leak von Zugangsdaten öffentlich bekannt wurde. In den vergangenen drei Jahren hat sich dies verbessert. Wenn sowohl das Datum des Vorfalls als auch das Datum seiner Entdeckung bekannt sind, beträgt die durchschnittliche Erkennungszeit inzwischen rund elf Monate. Dieser Wert wird jedoch durch einige wenige Vorfälle verzerrt, bei denen die Erkennung drei Jahre oder länger dauerte. Die mediane Erkennungszeit für Vorfälle beträgt 120 Tage. Dabei ist zu beachten, dass solche Leaks häufig im Dark Web entdeckt werden, bevor Unternehmen eine Datenschutzverletzung bekannt geben.

Das Dark Web im Rampenlicht

Die Bekanntgabe eines Datenlecks fällt in der Regel mit dem Auftauchen von Zugangsdaten in Dark-Web-Foren zusammen. Für den „2020 Credential Stuffing Report“ untersuchte F5 insbesondere den entscheidenden Zeitraum zwischen dem Diebstahl der Zugangsdaten und ihrer Veröffentlichung im Dark Web.

Die Forscher führten eine historische Analyse anhand einer Stichprobe von fast 9 Milliarden Zugangsdaten aus Tausenden separaten Datenschutzverletzungen durch, die als „Collection X“ bezeichnet wurde. Die Zugangsdaten wurden Anfang Januar 2019 in Dark-Web-Foren veröffentlicht.

F5 verglich die Anmeldedaten aus Collection X mit den Benutzernamen, die bei Credential-Stuffing-Angriffen auf eine Gruppe von Kunden in den sechs Monaten vor und nach dem Bekanntgabedatum verwendet wurden (dem Zeitpunkt, zu dem ein Diebstahl von Anmeldedaten erstmals öffentlich bekannt wird). Untersucht wurden vier Fortune-500-Kunden – zwei Banken, ein Einzelhändler und ein Lebensmittel- und Getränkeunternehmen –, die über einen Zeitraum von 21 Monaten insgesamt 72 Milliarden Anmeldevorgänge verzeichneten. Mithilfe der Technologie von Shape Security konnten die Forscher gestohlene Anmeldedaten von ihrem Diebstahl über den Verkauf bis hin zu ihrer Verwendung „nachverfolgen“.

Im Laufe von 12 Monaten wurden bei legitimen Transaktionen und Angriffen auf die vier Websites insgesamt 2,9 Milliarden verschiedene Zugangsdaten verwendet. Fast ein Drittel (900 Millionen) der Zugangsdaten war kompromittiert. Am häufigsten tauchten die gestohlenen Zugangsdaten bei legitimen, von Menschen durchgeführten Transaktionen bei den Banken auf (35 % bzw. 25 % der Fälle). 10 % der Angriffe richteten sich gegen den Einzelhandel, rund 5 % gegen das Lebensmittel- und Getränkeunternehmen.

Fünf Phasen des Missbrauchs von Zugangsdaten

Auf Grundlage der Studie wurden im Bericht zum Credential Stuffing fünf unterschiedliche Phasen des Missbrauchs von Zugangsdaten identifiziert:

• Langsam und unauffällig: Kompromittierte Zugangsdaten wurden bis einen Monat vor einer öffentlichen Bekanntgabe unbemerkt missbraucht. Im Durchschnitt wurden die einzelnen Zugangsdaten bei Angriffen auf die vier Websites 15–20 Mal pro Tag verwendet.
• Die Zunahme: In den 30 Tagen vor der öffentlichen Bekanntgabe stellte F5 fest, dass die Zugangsdaten im Darknet kursierten. Immer mehr Angreifer erhielten Zugriff auf die Zugangsdaten, weshalb die Zahl der Angriffe pro Tag stetig zunahm.
• Der Ansturm: Als die Zugangsdaten öffentlich bekannt wurden, begannen „Skriptkiddies“ und andere Amateure, sie bei den größten Webangeboten einzusetzen. In der ersten Woche war die Aktivität besonders hoch: Jedes Konto wurde im Durchschnitt mehr als 130-mal pro Tag angegriffen.
• Der Rückgang/das neue Gleichgewicht: Nach dem ersten Monat stellte F5 ein neues Gleichgewicht von etwa 28 Angriffen pro Benutzername und Tag fest. Interessanterweise liegt das neue Gleichgewicht über dem ursprünglichen Niveau von 15 Angriffen während der Phase, in der die Angriffe „langsam und unauffällig“ erfolgten. Dies ist darauf zurückzuführen, dass eine Gruppe unerfahrener Angreifer weiterhin hochkarätige Unternehmen mit „veralteten“ Anmeldedaten ins Visier nimmt.
• Wiederverwertung: Nachdem sie Credential-Stuffing-Angriffe auf verschiedene Webangebote durchgeführt hatten, begann eine Gruppe von Kriminellen damit, gültige Zugangsdaten neu zu bündeln, um deren Nutzbarkeit für weitere Angriffe zu verlängern.

Minimierung der Bedrohung

„Credential Stuffing wird so lange eine Bedrohung darstellen, wie wir von Nutzern verlangen, sich online bei Konten anzumelden“, fügte Boddy hinzu. „Angreifer werden ihre Angriffe weiterhin an Betrugsschutzmaßnahmen anpassen. Dadurch entsteht ein großer Bedarf an und eine große Chance für adaptive, KI-gestützte Kontrollen gegen Credential Stuffing und Betrug. Es ist unmöglich, 100 % der Angriffe sofort zu erkennen. Was möglich ist: Angriffe so kostspielig zu machen, dass Betrüger aufgeben. Wenn es eine Sache gibt, die sowohl für Cyberkriminelle als auch für Geschäftsleute gilt, dann diese: Zeit ist Geld.“

Weitere Einblicke in Threat Intelligence und Cybersicherheit finden Sie unter https://www.f5.com/labs.