Incidentes de vazamento de credenciais dobram à medida que a sofisticação dos hackers continua aumentando

Junte-se a Dan Woods (vice-presidente do Shape Security Intelligence Center da F5) e Sander Vinberg (evangelista de ameaças do F5 Labs) enquanto eles analisam o novo Relatório sobre Credential Stuffing do F5 Labs com John Wagnon e Jason Rahm, da DevCentral.

Para saber mais, confira o relatório completo 2021 Credential Stuffing Report e assista a uma versão estendida da discussão do DevCentral Connects aqui. Abaixo, você também encontrará um resumo das principais conclusões do relatório.

O número anual de incidentes de vazamento de credenciais quase dobrou entre 2016 e 2020, de acordo com o mais recente Relatório sobre Credential Stuffing da F5 Labs.

A iniciativa de pesquisa mais abrangente do gênero registrou uma queda de 46% no volume de credenciais vazadas durante o mesmo período. O tamanho médio dos vazamentos também diminuiu, passando de 63 milhões de registros em 2016 para 17 milhões no ano passado. Enquanto isso, a mediana do tamanho dos vazamentos em 2020 (2 milhões de registros) representou um aumento de 234% em relação a 2019 e foi a maior desde 2016 (2,75 milhões).

O credential stuffing, que envolve a exploração de grandes volumes de combinações comprometidas de nome de usuário e/ou e-mail e senha, é um problema global crescente. Como exemplo indicativo, uma Notificação ao Setor Privado emitida pelo FBI no ano passado alertou que essa ameaça foi responsável pelo maior volume de incidentes de segurança contra o setor financeiro dos EUA entre 2017 e 2020 (41%).

“Os invasores vêm coletando bilhões de credenciais há anos”, afirmou Sara Boddy, diretora sênior de Comunidades da F5 (F5 Labs e DevCentral). “Os vazamentos de credenciais são como derramamentos de óleo: depois que ocorrem, são muito difíceis de limpar, pois consumidores desavisados não alteram suas credenciais, e as soluções contra credential stuffing ainda não foram amplamente adotadas pelas empresas. Não é de surpreender que, durante este período de pesquisa, tenhamos observado uma mudança no principal tipo de ataque, que deixou de ser ataques HTTP e passou a ser credential stuffing. Esse tipo de ataque tem um impacto de longo prazo na segurança das aplicações, e isso não deve mudar tão cedo. Se você teme ser vítima de uma invasão, é muito provável que ela ocorra por meio de um ataque de credential stuffing.”

Com base nas conclusões, Sander Vinberg, evangelista de pesquisa de ameaças da F5 Labs e coautor do relatório, recomendou que as organizações permanecessem vigilantes.

“Embora seja interessante observar que o volume total e a quantidade de credenciais vazadas tenham diminuído em 2020, definitivamente ainda não devemos comemorar”, alertou. “Os ataques de acesso — incluindo o preenchimento de credenciais e o phishing — são agora a principal causa de violações. É altamente improvável que as equipes de segurança estejam vencendo a guerra contra a exfiltração de dados e as fraudes. Portanto, tudo indica que estamos vendo um mercado antes caótico se estabilizar à medida que amadurece.”

Armazenamento inadequado de senhas e crescente sofisticação dos invasores

Apesar do crescente consenso sobre as melhores práticas do setor, uma das principais conclusões do relatório é que o armazenamento inadequado de senhas continua sendo um problema recorrente.

Embora a maioria das organizações não divulgue os algoritmos de hash de senhas, a F5 conseguiu analisar 90 incidentes específicos para identificar as causas mais prováveis de vazamentos de credenciais.

Nos últimos três anos, 42,6% dos vazamentos de credenciais não contavam com nenhuma proteção, e as senhas eram armazenadas em texto simples. Em seguida, 20% das credenciais usavam o algoritmo de hash de senhas SHA-1 sem salt (ou seja, sem um valor exclusivo que possa ser adicionado ao final da senha para gerar um valor de hash diferente). O algoritmo bcrypt com salt ficou em terceiro lugar, com 16,7%. Surpreendentemente, o amplamente desacreditado algoritmo de hash MD5 representou uma pequena parcela das credenciais vazadas, mesmo quando os hashes usavam salt (0,4%). Há décadas, o MD5 é considerado fraco e uma prática inadequada, com ou sem salt.

Outra observação relevante do relatório é que os invasores estão usando cada vez mais técnicas de “fuzzing” para aumentar as chances de sucesso na exploração de credenciais. Fuzzing é o processo de encontrar vulnerabilidades de segurança em códigos de análise de entrada por meio de testes repetidos do analisador com entradas modificadas. A F5 constatou que a maioria dos ataques de fuzzing ocorreu antes da divulgação pública das credenciais comprometidas, o que sugere que essa prática é mais comum entre invasores sofisticados.

Detecção de vazamentos

No Relatório de Credential Stuffing de 2018, a F5 informou que levava, em média, 15 meses para que um vazamento de credenciais se tornasse de conhecimento público. Esse cenário melhorou nos últimos três anos. O tempo médio para detectar incidentes, quando tanto a data do incidente quanto a data da descoberta são conhecidas, agora é de cerca de onze meses. No entanto, esse número é distorcido por alguns incidentes cujo tempo de detecção foi de três anos ou mais. O tempo mediano para detectar incidentes é de 120 dias. É importante observar que os vazamentos costumam ser detectados na Dark Web antes que as organizações divulguem uma violação.

A Dark Web em Destaque

O anúncio de um vazamento geralmente coincide com o surgimento de credenciais em fóruns da Dark Web. Para o Relatório de Credential Stuffing de 2020, a F5 analisou especificamente o período crítico entre o roubo das credenciais e sua publicação na Dark Web.

Os pesquisadores realizaram uma análise histórica usando uma amostra de quase 9 bilhões de credenciais provenientes de milhares de violações de dados distintas, denominada “Collection X”. As credenciais foram publicadas em fóruns da Dark Web no início de janeiro de 2019.

A F5 comparou as credenciais da Collection X com os nomes de usuário usados em ataques de preenchimento de credenciais contra um grupo de clientes nos seis meses anteriores e posteriores à data da divulgação (a primeira vez em que um vazamento de credenciais se torna de conhecimento público). Foram analisados quatro clientes da Fortune 500 — dois bancos, uma varejista e uma empresa de alimentos e bebidas —, representando 72 bilhões de transações de login ao longo de 21 meses. Usando a tecnologia da Shape Security, os pesquisadores conseguiram “rastrear” as credenciais roubadas desde o roubo até a venda e o uso.

Ao longo de 12 meses, 2,9 bilhões de credenciais diferentes foram usadas tanto em transações legítimas quanto em ataques aos quatro sites. Quase um terço (900 milhões) das credenciais foi comprometido. As credenciais roubadas apareceram com mais frequência em transações legítimas realizadas por pessoas nos bancos (em 35% e 25% dos casos, respectivamente). O varejo foi alvo de 10% dos ataques, enquanto cerca de 5% se concentraram na empresa de alimentos e bebidas.

Cinco fases do abuso de credenciais

Com base no estudo, o relatório sobre credential stuffing identificou cinco fases distintas do uso indevido de credenciais:

• Lento e discreto: As credenciais comprometidas estavam sendo usadas de forma furtiva até um mês antes de um anúncio público. Em média, cada credencial era usada de 15 a 20 vezes por dia em ataques nos quatro sites.
• A escalada: Nos 30 dias anteriores ao anúncio público, a F5 viu as credenciais circulando na dark web. Mais invasores obtiveram acesso às credenciais, o que explica o aumento constante no número de ataques por dia.
• O ataque relâmpago: Quando as credenciais se tornaram públicas, “script kiddies” e outros amadores começaram a usá-las nos maiores sites da web. A primeira semana foi particularmente intensa, com cada conta sofrendo, em média, mais de 130 ataques por dia.
• A Queda/Novo Equilíbrio: Após o primeiro mês, a F5 identificou um novo equilíbrio de cerca de 28 ataques por nome de usuário por dia. Curiosamente, o novo equilíbrio é maior do que o patamar original de 15 ataques durante a fase “lenta e silenciosa”. Isso ocorre porque um grupo de invasores iniciantes ainda tem como alvo empresas de alto valor usando credenciais “antigas”.
• Reencarnação: Após realizar ataques de preenchimento de credenciais em diversas propriedades da web, um grupo de criminosos começou a reempacotar credenciais válidas para prolongar seu período de exploração.

Minimizando a ameaça

“O credential stuffing continuará sendo uma ameaça enquanto exigirmos que os usuários façam login em contas on-line”, acrescentou Boddy. “Os invasores continuarão adaptando seus ataques às técnicas de proteção contra fraudes, o que gera uma grande necessidade e oportunidade de controles adaptativos, baseados em IA, relacionados a credential stuffing e fraudes. É impossível detectar instantaneamente 100% dos ataques. O que é possível é tornar os ataques tão dispendiosos que os fraudadores desistam. Se há algo que vale tanto no mundo dos cibercriminosos quanto no dos empresários, é que tempo é dinheiro.”

Para obter mais perspectivas sobre inteligência de ameaças e segurança cibernética, acesse https://www.f5.com/labs.