--- id: CP-036 slug: credential-stuffing-ponowne-uzycie-hasel lang: pl title: Credential stuffing description: Hasła wykradzione podczas wycieku są testowane przez boty w innych serwisach. Jak działa ten atak i jak się przed nim chronić. canonical_url: https://startbrain.io/cyberpedia/pl/articles/credential-stuffing-ponowne-uzycie-hasel/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/credential-stuffing-ponowne-uzycie-hasel.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Credential stuffing”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/credential-stuffing-ponowne-uzycie-hasel/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-008 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/credential-stuffing-ponowne-uzycie-hasel/ fr: https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/ en: https://startbrain.io/cyberpedia/en/articles/credential-stuffing-leaked-passwords/ de: https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/ es: https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales/ it: https://startbrain.io/cyberpedia/it/articles/credential-stuffing-reinserimento-credenziali/ nl: https://startbrain.io/cyberpedia/nl/articles/credential-stuffing-hergebruikte-inloggegevens/ pt: https://startbrain.io/cyberpedia/pt/articles/credential-stuffing-reutilizacao-credenciais/ sources: - "n": 1 title: Credential stuffing | OWASP Foundation publisher: OWASP url: https://community.owasp.org/attacks/Credential_stuffing accessed: "2026-11-03" - "n": 2 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 3 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 6 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 7 title: Choosing and Protecting Passwords publisher: CISA url: https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords published: "2009-05-21" accessed: "2026-11-03" - "n": 8 title: Password administration for system owners publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords published: "2018-11-19" accessed: "2026-11-03" --- # Credential stuffing Credential stuffing, po francusku „réinjection d'identifiants", polega na tym, że para login i hasło wykradziona podczas wycieku danych jest automatycznie wypróbowywana na innych stronach. OWASP opisuje to jako zautomatyzowane wstrzykiwanie takich par do formularzy logowania w celu uzyskania nieuprawnionego dostępu do kont [1]. Pracownik nie musi popełnić żadnego błędu, by paść ofiarą: jego konto nie zostało zaatakowane bezpośrednio. Wystarczy, że hasło używane w mało ważnym serwisie służy także gdzie indziej, na przykład w służbowej poczcie. ## W 30 sekund - Gdzie to się zdarza: w każdym serwisie z formularzem logowania, w tym w poczcie, firmowych aplikacjach internetowych i portalach jednokrotnego logowania [1][2]. - Czego chce atakujący: znaleźć wśród wykradzionych par danych logowania te, które otwierają prawdziwe konto, licząc na ponowne używanie haseł [1][2]. - Odruch: inne hasło do każdego serwisu, przechowywane w menedżerze haseł, oraz uwierzytelnianie dwuskładnikowe, jeśli jest dostępne [5][6]. - Jeśli już się stało: bez zwłoki zmienić hasło, którego to dotyczy [5]. ## Pytania wprost ### Czym to się różni od ataku siłowego? Atak siłowy (brute force) wypróbowuje wiele haseł na jednym lub kilku kontach: atakujący zgaduje. Credential stuffing wykorzystuje pary już znane, pochodzące z wycieku, i stosuje je na innych stronach [1]. OWASP traktuje go jako podzbiór ataku siłowego, a MITRE ujmuje go jako podtechnikę T1110.004 techniki „Brute Force" [1][2]. ### Dlaczego to działa? Ponieważ wiele osób używa tego samego hasła oraz tego samego loginu lub adresu e-mail. Gdy te dane wyciekną, wystarczy czasem przesłać je do dziesiątek lub setek innych serwisów, by przejąć tam konta [1]. MITRE dodaje, że ponowne używanie haseł dotyczy zarówno kont prywatnych, jak i służbowych [2]. ### Moje hasło jest długie i złożone: czy jestem bezpieczny? Nie, jeśli używa Pan/Pani go w kilku miejscach. Według CISA ponowne używanie hasła, nawet silnego, naraża konta tak samo jak hasło słabe [7]. Długość chroni przed zgadywaniem, nie chroni przed ponownym użyciem hasła, które już wykradziono. ### Czy ponownie użyte hasło to jedyna droga wejścia? Nie. OWASP zwraca uwagę, że dane z wycieków służą też do resetowania haseł, zwłaszcza w kontach firmowych: pytania zabezpieczające, adresy odzyskiwania lub inne dane osobowe zawarte w wycieku pozwalają wtedy przejąć konto nawet bez ponownego użycia hasła [1]. ### Czy przejęte konto może służyć do czegoś jeszcze? Tak. Ważne konto pozwala wejść do sieci bez złośliwego oprogramowania, co utrudnia wykrycie obecności atakującego [4]. ## W skórze atakującego Atakujący zaczyna od zdobycia danych logowania: wycieku z serwisu, phishingu lub strony z zrzutami haseł [1]. Nie musi mieć nic do konkretnej osoby. CISA zauważa, że atak często nie jest wymierzony w określone konto, lecz w dostęp, jaki ono daje do przeprowadzenia szerszego ataku [7]. Następnie przekazuje te pary zautomatyzowanym narzędziom, które wypróbowują je na wielu stronach: w sieciach społecznościowych, sklepach internetowych, aplikacjach webowych [1]. Udane logowanie informuje go, że posiada ważne dane [1]. Pozostaje je wykorzystać. OWASP wymienia cztery możliwe dalsze kroki: opróżnienie kont z zgromadzonej wartości lub zakupy, odczytanie wrażliwych informacji (numerów kart, prywatnych wiadomości, dokumentów), wysyłanie z konta wiadomości phishingowych lub spamu oraz odsprzedaż ważnych danych logowania innym atakującym [1]. MITRE podkreśla, że ta metoda może powodować liczne nieudane uwierzytelnienia i blokady kont, zależnie od polityki atakowanej organizacji [2]. Obrońcy ze swej strony mogą blokować ryzykowne żądania logowania, na przykład te przechodzące przez usługi anonimizujące lub serwery proxy [2]. ## Co widać na ekranie Ofiara rzadko widzi sam atak. Widzi jego skutki, a te bywają różne, zależnie od tego, co atakujący postanowił zrobić z kontem. - Wiadomość z serwisu o logowaniu z nieznanego urządzenia. CNIL opisuje taki przypadek: serwis ostrzega SMS-em lub e-mailem, a osoba może zezwolić na dostęp lub go odrzucić [6]. - Zablokowane konto po wielu nieudanych próbach logowania. MITRE wymienia takie blokady jako możliwą konsekwencję [2]. - Zakupy, wiadomości lub dokumenty, których właściciel konta nie wykonał ani nie wysłał, bo to właśnie zastosowania opisane przez OWASP [1]. - E-mail o zresetowaniu hasła, o który nikt nie prosił. Cybermalveillance.gouv.fr wyjaśnia, dlaczego celem jest poczta: trafiają do niej linki do resetowania innych kont, a kto ją włamie, może użyć funkcji „nie pamiętam hasła", by przejąć na przykład konto bankowe [5]. Żadna z tych sytuacji sama nie dowodzi credential stuffingu. Każda uzasadnia zmianę hasła i, jeśli konto jest służbowe, powiadomienie działu IT. ## Pod maską OWASP ilustruje mechanizm schematem: baza danych serwisu acme.com zostaje przejęta. Atakujący próbuje tych danych na trzech innych stronach. Stwierdza, że jeden użytkownik, „spongebob", używa tego samego hasła na dwóch stronach, a jedna użytkowniczka, „sally", na jednej: otwarte zostają trzy konta [1]. Cele nie ograniczają się do serwisów dla konsumentów. MITRE wymienia usługi administracyjne na popularnych portach (SSH, RDP, SMB, LDAP, bazy danych), a także jednokrotne logowanie, aplikacje chmurowe oparte na protokołach federacyjnych i wystawione na zewnątrz usługi poczty, takie jak Office 365 [2]. Po stronie wykrywania MITRE opisuje typowe sygnały: wiele nieudanych prób z różnymi parami z jednego adresu IP w krótkim czasie albo nieudane próby w aplikacjach chmurowych z parami pochodzącymi z niepowiązanych domen [2]. Inna kwestia techniczna: gdy atakujący zna właściwe hasło, ale napotyka regułę dostępu opartą na lokalizacji, może zmienić infrastrukturę tak, by odpowiadała lokalizacji ofiary, i obejść regułę [3]. Zabezpieczenia po stronie organizacji według MITRE: blokowanie kont po określonej liczbie nieudanych prób (zbyt surowa reguła może zablokować konta prawidłowych użytkowników), wymaganie uwierzytelniania wieloskładnikowego, proaktywne resetowanie kont, o których wiadomo, że pojawiły się w wyciekach [2]. OWASP wskazuje uwierzytelnianie wieloskładnikowe jako główny środek zaradczy [1]. ## Co Pan/Pani robi - Inne hasło do każdego serwisu. Dzięki temu w razie kradzieży podatny jest tylko ten jeden serwis [5]. CNIL zaleca osobne, unikalne hasło do każdego wrażliwego konta (banku, poczty, sieci społecznościowej), aby uniknąć włamań kaskadowych [6]. - Menedżer haseł, który zapamiętuje za Pana/Panią długie i wszystkie różne hasła [6]. Cybermalveillance.gouv.fr podaje KeePassXC, certyfikowany przez ANSSI w wersji 2.7.9 [5]. Hasło główne menedżera także musi być mocne [7]. - Uwierzytelnianie dwuskładnikowe, gdy serwis je oferuje: oprócz hasła potwierdzenie kodem, aplikacją, kluczem lub biometrią sprawia, że tylko Pan/Pani zezwala na nowe urządzenie [5]. - Natychmiastowa zmiana hasła przy najmniejszym podejrzeniu albo gdy dowiaduje się Pan/Pani, że firma, w której ma się konto, została zhakowana, bez czekania na potwierdzenie [5]. - Szczególnie mocne hasło do poczty, bo otwiera ono resetowanie wielu innych kont [5]. Brytyjskie NCSC podaje ponadto w aktualności z 23 kwietnia 2026 r., że klucze dostępu (passkeys) to bezpieczniejszy i prostszy sposób logowania i powinny być domyślną opcją dla osób prywatnych [8]. ## Pułapki - Wiara, że konto „bez znaczenia" się nie liczy. Hasło wykradzione z drugorzędnego serwisu jest testowane gdzie indziej [1]. - Zapamiętanie jednego dobrego hasła i używanie go bez zmian. To ponowne użycie [7]. - Trzymanie haseł na karteczce, w poczcie, w niezabezpieczonym pliku lub w telefonie [5]. - Zapisywanie haseł w przeglądarce na komputerze współdzielonym [6]. ## Analizy incydentów OWASP zbiera wycieki, które według jego analizy wynikały z credential stuffingu. Oto cztery z nich, tak jak je przedstawia [1]. ### Sony, 2011 Analityk stwierdza, że spośród użytkowników obecnych zarówno w danych Sony, jak i w danych z wycieku Gawker z wcześniejszej części tego samego roku, dwie trzecie miało to samo hasło w obu systemach [1]. ### Yahoo, 2012 OWASP przywołuje Troya Hunta, który zestawia wycieki z Sony i Yahoo na podstawie wspólnego punktu: haseł [1]. ### Dropbox, 2012 Dropbox oświadczył, że nazwy użytkowników i hasła, o których pisała prasa, zostały wykradzione z innych serwisów, nie od niego. Atakujący wypróbowali je następnie na stronach w całym internecie, w tym w Dropbox [1]. ### JPMorgan Chase, 2014 Dane z wycieku zawierały kombinacje haseł i adresów uczestników zarejestrowanych w serwisie Corporate Challenge, platformie corocznych biegów charytatywnych prowadzonej przez zewnętrznego wykonawcę, otwartej dla pracowników banku i innych firm. OWASP precyzuje, że ten wyciek pochodził z odrębnego źródła: atakujący obrali za cel serwis zewnętrznych biegów, by wydobyć dane logowania do użycia przeciwko JPMC [1]. ## Źródła 1. OWASP, „Credential stuffing | OWASP Foundation”. https://community.owasp.org/attacks/Credential_stuffing (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/004/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1110/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/ (dostęp 3 listopada 2026) 5. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ?”, 23 listopada 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (dostęp 3 listopada 2026) 6. CNIL, „Les conseils de la CNIL pour un bon mot de passe”, 26 stycznia 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (dostęp 3 listopada 2026) 7. CISA, „Choosing and Protecting Passwords”, 21 maja 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (dostęp 3 listopada 2026) 8. NCSC (Royaume-Uni), „Password administration for system owners”, 19 listopada 2018. https://www.ncsc.gov.uk/collection/passwords (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/credential-stuffing-ponowne-uzycie-hasel/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.