Criminelen hebben door middel van hergebruikte wachtwoorden 1,1 miljoen accounts bij zeventien bedrijven weten te kapen, zo stelt minister Letitia James van Justitie van de Amerikaanse staat New York. Volgens James konden de accounts door middel van credential stuffing-aanvallen worden overgenomen.

Bij credential stuffing worden eerder gelekte e-mailadressen en wachtwoorden gebruikt om op geautomatiseerde wijze toegang tot accounts te krijgen. Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken.

"Helaas hergebruiken gebruikers hetzelfde wachtwoord voor meerdere online diensten. Dit maakt het mogelijk voor cybercriminelen om wachtwoorden die bij het ene bedrijf zijn gestolen voor andere online accounts te gebruiken", aldus het ministerie. Dat monitorde over een periode van meerdere maanden verschillende online gemeenschappen die zich met credential stuffing bezighouden.

Het ministerie ontdekte duizenden berichten met inloggegevens die aanvallers bij credential stuffing-aanvallen hadden getest en konden worden gebruikt om op gebruikersaccounts bij websites en apps in te loggen. Aan de hand van deze berichten kwam het ministerie met een lijst van zeventien bekende online winkels, restaurantketens en voedselbezorgdiensten. In totaal ging het om meer dan 1,1 miljoen gebruikersaccounts die bij credential stuffing-aanvallen zijn gecompromitteerd.

De zeventien bedrijven werden over de gecompromitteerde bedrijven ingelicht en opgeroepen maatregelen te treffen, die inmiddels ook zijn genomen. Uit onderzoek van de getroffen bedrijven bleek dat de meeste van de credential stuffing-aanvallen niet waren opgemerkt.

Naar aanleiding van het onderzoek en de aanvallen heeft het ministerie een document gepubliceerd (pdf) met advies om credential stuffing tegen te gaan, zoals het detecteren van bots, het gebruik van multifactorauthenticatie, wachtwoordloze authenticatie, webapplicatie-firewalls en het tegengaan van het hergebruik van gecompromitteerde wachtwoorden.