De Amerikaanse autoriteiten hebben twee mannen aangeklaagd voor een credential stuffing-aanval op goksite DraftKings, waarbij zo'n 60.000 accounts via hergebruikte wachtwoorden werden gecompromitteerd. Eind 2022 werd DraftKings, een populair gokplatform, slachtoffer van een credential stuffing-aanval.

Bij een dergelijk aanval worden eerder gelekte e-mailadressen en wachtwoorden gebruikt om op geautomatiseerde wijze toegang tot accounts te krijgen. Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan.

Via de aanval werd er toegang tot zo'n 60.000 accounts verkregen. Vervolgens werd van zo'n 1600 gebruikers het geld buitgemaakt dat deze gebruikers in hun account hadden. Het ging om een bedrag van zo'n 600.000 dollar. De gecompromitteerde DraftKings-accounts werden op verschillende websites te koop aangeboden. De FBI wist toegang tot chats van de verdachten te krijgen, waarin die opmerken dat de autoriteiten een onderzoek naar de aanval zijn gestart.

De twee mannen, van 19 en 21 jaar, kunnen een gevangenisstraf van maximaal 57 jaar krijgen. Een andere verdachte van 19 jaar in deze zaak bekende eind vorig jaar schuld.