Credential stuffing

Atakujący zaczyna od zdobycia danych logowania: wycieku z serwisu, phishingu lub strony z zrzutami haseł¹. Nie musi mieć nic do konkretnej osoby. CISA zauważa, że atak często nie jest wymierzony w określone konto, lecz w dostęp, jaki ono daje do przeprowadzenia szerszego ataku⁷.

Następnie przekazuje te pary zautomatyzowanym narzędziom, które wypróbowują je na wielu stronach: w sieciach społecznościowych, sklepach internetowych, aplikacjach webowych¹. Udane logowanie informuje go, że posiada ważne dane¹.

Pozostaje je wykorzystać. OWASP wymienia cztery możliwe dalsze kroki: opróżnienie kont z zgromadzonej wartości lub zakupy, odczytanie wrażliwych informacji (numerów kart, prywatnych wiadomości, dokumentów), wysyłanie z konta wiadomości phishingowych lub spamu oraz odsprzedaż ważnych danych logowania innym atakującym¹.

MITRE podkreśla, że ta metoda może powodować liczne nieudane uwierzytelnienia i blokady kont, zależnie od polityki atakowanej organizacji². Obrońcy ze swej strony mogą blokować ryzykowne żądania logowania, na przykład te przechodzące przez usługi anonimizujące lub serwery proxy².

Ofiara rzadko widzi sam atak. Widzi jego skutki, a te bywają różne, zależnie od tego, co atakujący postanowił zrobić z kontem.

• Wiadomość z serwisu o logowaniu z nieznanego urządzenia. CNIL opisuje taki przypadek: serwis ostrzega SMS-em lub e-mailem, a osoba może zezwolić na dostęp lub go odrzucić⁶.
• Zablokowane konto po wielu nieudanych próbach logowania. MITRE wymienia takie blokady jako możliwą konsekwencję².
• Zakupy, wiadomości lub dokumenty, których właściciel konta nie wykonał ani nie wysłał, bo to właśnie zastosowania opisane przez OWASP¹.
• E-mail o zresetowaniu hasła, o który nikt nie prosił. Cybermalveillance.gouv.fr wyjaśnia, dlaczego celem jest poczta: trafiają do niej linki do resetowania innych kont, a kto ją włamie, może użyć funkcji „nie pamiętam hasła", by przejąć na przykład konto bankowe⁵.

Żadna z tych sytuacji sama nie dowodzi credential stuffingu. Każda uzasadnia zmianę hasła i, jeśli konto jest służbowe, powiadomienie działu IT.

OWASP ilustruje mechanizm schematem: baza danych serwisu acme.com zostaje przejęta. Atakujący próbuje tych danych na trzech innych stronach. Stwierdza, że jeden użytkownik, „spongebob", używa tego samego hasła na dwóch stronach, a jedna użytkowniczka, „sally", na jednej: otwarte zostają trzy konta¹.

Cele nie ograniczają się do serwisów dla konsumentów. MITRE wymienia usługi administracyjne na popularnych portach (SSH, RDP, SMB, LDAP, bazy danych), a także jednokrotne logowanie, aplikacje chmurowe oparte na protokołach federacyjnych i wystawione na zewnątrz usługi poczty, takie jak Office 365². Po stronie wykrywania MITRE opisuje typowe sygnały: wiele nieudanych prób z różnymi parami z jednego adresu IP w krótkim czasie albo nieudane próby w aplikacjach chmurowych z parami pochodzącymi z niepowiązanych domen².

Inna kwestia techniczna: gdy atakujący zna właściwe hasło, ale napotyka regułę dostępu opartą na lokalizacji, może zmienić infrastrukturę tak, by odpowiadała lokalizacji ofiary, i obejść regułę³.

Zabezpieczenia po stronie organizacji według MITRE: blokowanie kont po określonej liczbie nieudanych prób (zbyt surowa reguła może zablokować konta prawidłowych użytkowników), wymaganie uwierzytelniania wieloskładnikowego, proaktywne resetowanie kont, o których wiadomo, że pojawiły się w wyciekach². OWASP wskazuje uwierzytelnianie wieloskładnikowe jako główny środek zaradczy¹.

• Inne hasło do każdego serwisu. Dzięki temu w razie kradzieży podatny jest tylko ten jeden serwis⁵. CNIL zaleca osobne, unikalne hasło do każdego wrażliwego konta (banku, poczty, sieci społecznościowej), aby uniknąć włamań kaskadowych⁶.
• Menedżer haseł, który zapamiętuje za Pana/Panią długie i wszystkie różne hasła⁶. Cybermalveillance.gouv.fr podaje KeePassXC, certyfikowany przez ANSSI w wersji 2.7.9⁵. Hasło główne menedżera także musi być mocne⁷.
• Uwierzytelnianie dwuskładnikowe, gdy serwis je oferuje: oprócz hasła potwierdzenie kodem, aplikacją, kluczem lub biometrią sprawia, że tylko Pan/Pani zezwala na nowe urządzenie⁵.
• Natychmiastowa zmiana hasła przy najmniejszym podejrzeniu albo gdy dowiaduje się Pan/Pani, że firma, w której ma się konto, została zhakowana, bez czekania na potwierdzenie⁵.
• Szczególnie mocne hasło do poczty, bo otwiera ono resetowanie wielu innych kont⁵.

Brytyjskie NCSC podaje ponadto w aktualności z 23 kwietnia 2026 r., że klucze dostępu (passkeys) to bezpieczniejszy i prostszy sposób logowania i powinny być domyślną opcją dla osób prywatnych⁸.

• Wiara, że konto „bez znaczenia" się nie liczy. Hasło wykradzione z drugorzędnego serwisu jest testowane gdzie indziej¹.
• Zapamiętanie jednego dobrego hasła i używanie go bez zmian. To ponowne użycie⁷.
• Trzymanie haseł na karteczce, w poczcie, w niezabezpieczonym pliku lub w telefonie⁵.
• Zapisywanie haseł w przeglądarce na komputerze współdzielonym⁶.

OWASP zbiera wycieki, które według jego analizy wynikały z credential stuffingu. Oto cztery z nich, tak jak je przedstawia¹.

Sony, 2011

Analityk stwierdza, że spośród użytkowników obecnych zarówno w danych Sony, jak i w danych z wycieku Gawker z wcześniejszej części tego samego roku, dwie trzecie miało to samo hasło w obu systemach¹.

Yahoo, 2012

OWASP przywołuje Troya Hunta, który zestawia wycieki z Sony i Yahoo na podstawie wspólnego punktu: haseł¹.

Dropbox, 2012

Dropbox oświadczył, że nazwy użytkowników i hasła, o których pisała prasa, zostały wykradzione z innych serwisów, nie od niego. Atakujący wypróbowali je następnie na stronach w całym internecie, w tym w Dropbox¹.

JPMorgan Chase, 2014

Dane z wycieku zawierały kombinacje haseł i adresów uczestników zarejestrowanych w serwisie Corporate Challenge, platformie corocznych biegów charytatywnych prowadzonej przez zewnętrznego wykonawcę, otwartej dla pracowników banku i innych firm. OWASP precyzuje, że ten wyciek pochodził z odrębnego źródła: atakujący obrali za cel serwis zewnętrznych biegów, by wydobyć dane logowania do użycia przeciwko JPMC¹.