FBI waarschuwt voor gebruik van proxies bij credential stuffing-aanvallen
Criminelen maken bij het uitvoeren van credential stuffing-aanvallen steeds vaker gebruik van proxies om hun ip-adressen te verbergen, zo waarschuwt de FBI. Bij credential stuffing worden eerder gelekte e-mailadressen en wachtwoorden gebruikt om op geautomatiseerde wijze toegang tot accounts te krijgen. Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen.
De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan. Om detectie te voorkomen worden bij dergelijke aanvallen steeds vaker proxies ingezet. Zodoende kunnen aanvallers bijvoorbeeld blokkades van bepaalde geografische locaties omzeilen, aldus de FBI.
Daarnaast kunnen cybercriminelen bij het uitvoeren van de aanvallen zich ook richten op mobiele applicaties. Volgens de FBI hebben mobiele applicaties vaak zwakkere beveiligingsprotocollen dan webapplicaties, waardoor er meer inlogpogingen per minuut kunnen worden geprobeerd.
Om credential stuffing-aanvallen te voorkomen raadt de FBI het gebruik van multifactor-authenticatie aan. Daarnaast moeten organisaties hun personeel leren om voor elk account een unieke passphrase te gebruiken, een wachtwoord dat uit meerdere woorden bestaat. Verder doen organisaties er verstandig aan om publiek gelekte inloggegevens tegen eigen klantaccounts te gebruiken en bij succesvolle inlogpogingen een wachtwoordreset te verplichten. Ook stelt de FBI dat CAPTCHA's alleen geen voldoende bescherming tegen credential stuffing bieden.
Gebruik een wachtwoordmanager (zoals KeePass)
Om credential stuffing-aanvallen te voorkomen, raad niet alleen ik een wachtwoordmanager aan met lange, unieke random gegenereerde wachtwoorden (in elk geval zolang we geen passkeys hebben).
Belangrijk is wel dat je zorgt voor betrouwbare back-ups van de database daarvan, en dat je de wachtwoordmanager uitsluitend opent op betrouwbare apparaten en software (Nb. om kopiejatten van de inloggegevens van een website te voorkomen, heb je sowieso een betrouwbaar apparaat en software -zonder keyloggers en dergelijke- nodig als je ergens inlogt).
En check de domeinnaam + slotje
Om te voorkomen dat je slachtoffer wordt van phishing, moet je, bij het aanmaken van elk account (bij het gegenereerde wachtwoord) de exacte domeinnaam van de betreffende website opslaan in jouw wachtwoordmanager.
Als je ooit door het klikken op een link op een website terechtkomt, waarvan je denkt dat het een website is waar jij een account hebt, moet je, vóórdat je ook maar iets invult, zorgvuldig controleren of het essentiële deel van de domeinnaam van die website exact overeenkomt met het essentiële deel van de opgeslagen domeinnaam in jouw wachtwoordmanager én dat jouw webbrowser op de juiste plaats een slotje toont (zonder doorhalingen) ten teken dat er sprake is van eem gevalideerde "https://" verbinding.
Met het "essentiële deel" bedoel ik dat als je normaal gesproken inlogt op
"https://bankieren.rabobank.nl/" dat de volgende link ook veilig is:
"https://ideal.rabobank.nl/".
Toelichtingen:
Wat je moet weten om redelijk veilig te kunnen surfen (lange post): https://security.nl/posting/765191
Neppe domeinnamen lijken vaak echt, maar helaas ook vaak andersom (lange post): https://security.nl/posting/765222
Waarom de meeste vormen van MFA kansloos zijn (en waarom uit bovenstaand artikel blijkt dat "Number Matching" en/of geofencing ook niet helpen): https://www.security.nl/posting/764727/Microsoft+meldt+phishingaanval+op+tientallen+organisaties+en+%22people+of+interest%22#posting764738
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
