Kimlik bilgisi doldurma, başka bir platformdan sızmış kullanıcı adı ve parola çiftlerinin hedef sistemde otomatik olarak denenmesidir. Saldırgan parola tahmin etmez; zaten gerçek olan çiftleri kullanır. Yöntemin işe yaramasının tek nedeni, kullanıcıların aynı parolayı birden çok yerde kullanmasıdır.

Sızmış veri kümeleri geniş çapta dolaşımdadır ve çoğu ücretsiz erişilebilir durumdadır. Bu nedenle saldırının maliyeti neredeyse sıfırdır. Başarı oranı düşük olsa bile, denenen hesap sayısı çok yüksek olduğu için mutlak sonuç anlamlı olur.

Kimlik Bilgisi Doldurma Nedir?

Kimlik bilgisi doldurma, önceki veri ihlallerinde açığa çıkmış kullanıcı adı ve parola çiftlerinin farklı servislerde otomatik olarak denenmesiyle hesap ele geçirmeyi amaçlayan saldırıdır.

Saldırı otomasyonla yürütülür ve genellikle çok sayıda farklı adres üzerinden dağıtılır. Bu dağıtım, adres bazlı engelleme kurallarını etkisiz kılar. Bu nedenle savunma, davranış ve bağlam analizine dayanmalıdır.

Parola Tekrarı Neden Bu Kadar Tehlikeli?

Bir kullanıcının kurumsal parolasını kişisel bir siteye de vermesi, o sitenin güvenliğini kurumun güvenliğine bağlar. Küçük bir platformun ihlali, doğrudan kurumsal hesaplara erişim yolu açabilir. Kurum bu ihlali ne engelleyebilir ne de zamanında öğrenebilir.

Sorunun çözümü kullanıcıyı suçlamak değil, parola tekrarını gereksiz kılmaktır. Parola yöneticisi kullanımının teşvik edilmesi ve kurum içinde tek oturum açma yapısının kurulması, hatırlanması gereken parola sayısını azaltır. Parola kasası bu ihtiyacı karşılar.

• Sızmış veri kümelerinin kolayca erişilebilir olması
• Aynı parolanın kişisel ve kurumsal hesaplarda kullanılması
• Otomasyonun çok sayıda adres üzerinden dağıtılması
• İkinci faktörü olmayan hesapların hedef seçilmesi
• Başarılı çiftlerin sonradan satılması ve tekrar kullanılması

Nasıl Önlenir?

En etkili önlem yine çok faktörlü doğrulamadır. Parola doğru olsa bile ikinci faktör olmadan giriş tamamlanamaz ve saldırının tek çıktısı başarısız denemeler olur. Bu önlem, saldırı türünü ekonomik olmaktan çıkarır.

İkinci önlem, sızmış parola kontrolüdür. Kullanıcının belirlediği parolanın bilinen ihlal listelerinde bulunup bulunmadığının kontrol edilmesi, tekrar kullanılan parolaları baştan eler. Bu kontrol hem kayıt hem parola değiştirme anında uygulanır.

Üçüncü önlem, giriş davranışının izlenmesidir. Aynı anda çok sayıda farklı hesaba yapılan girişler, olağandışı istemci imzaları ve otomasyon işaretleri risk motorlarınca değerlendirilebilir. Şüpheli girişlerde ek doğrulama istenmesi, kullanıcı deneyimini fazla etkilemeden koruma sağlar.

Tespit Yöntemleri

Tespitin temel göstergesi, başarısız giriş oranındaki ani artıştır. Normalde düşük seyreden bu oranın yükselmesi, otomatik bir kampanyanın işaretidir. Oranın hesap bazında değil sistem genelinde izlenmesi gerekir.

İkinci gösterge, aynı istemci imzasıyla çok sayıda farklı hesaba yapılan denemelerdir. Kaynak adresler dağıtık olsa bile, istemci davranışındaki benzerlikler ilişkilendirme sağlar. Bu analiz, kampanyanın boyutunu ortaya koyar.

Üçüncü gösterge, başarılı girişlerin ardından gelen davranıştır. Hesaba giriş yapıldıktan hemen sonra iletişim bilgilerinin ya da doğrulama yönteminin değiştirilmesi, ele geçirmenin güçlü işaretidir. Bu işlemlerin ayrıca uyarı üretmesi sağlanmalıdır.

Kaba Kuvvet ve Püskürtmeden Farkı

Üç yöntem de kimlik bilgisi saldırısıdır ama girdileri farklıdır. Kaba kuvvet kombinasyon üretir, püskürtme yaygın parolaları dener, doldurma ise gerçek çiftleri kullanır.

Bu fark başarı oranını da belirler. Gerçek çiftlerle yapılan denemelerde başarı oranı, tahmin temelli yöntemlerden belirgin biçimde yüksektir.

Savunma açısından da farklılaşırlar. Parola politikasını güçlendirmek doldurma saldırısını engellemez; çünkü kullanılan parola zaten politikaya uygun olabilir.

Bu nedenle doldurmaya karşı asıl savunma, parolanın tek başına yeterli olmamasıdır. İkinci faktör olmadan hiçbir parola politikası bu saldırıyı durduramaz.

Bot Trafiğinin Ayırt Edilmesi

Saldırı otomasyonla yürütüldüğü için, istemci davranışında insan kullanımından farklılıklar bulunur. Sayfa yükleme sırası, tuş vuruş ritmi ve istek başlıklarındaki tutarsızlıklar bu farkları gösterir.

Bu sinyallerin değerlendirilmesi, meşru kullanıcıyı rahatsız etmeden şüpheli trafiği ayırmayı sağlar. Yalnızca yüksek riskli isteklerde ek doğrulama istenmesi dengeyi korur.

Ancak bot tespitinin de sınırları vardır. Gelişmiş otomasyon araçları gerçek tarayıcıları sürdüğü için bu sinyalleri taklit edebilir.

Bu nedenle bot tespiti tek başına değil, kimlik katmanındaki önlemlerle birlikte kullanılır. Katmanlı yaklaşım burada da geçerlidir.

Müşteriye Dönük Sistemlerde Etki

Kurumsal hesapların yanında müşteri hesapları da bu saldırının hedefidir. Ele geçirilen müşteri hesapları, sadakat puanı, kayıtlı ödeme yöntemi ya da kişisel veri için kullanılır.

Bu tür olaylar kurumun kendi güvenlik açığından kaynaklanmasa da, sonuçları kurumun sorumluluğundadır. Müşteri, hesabının ele geçirilmesini ilgili platformla ilişkilendirir.

Bu nedenle müşteriye dönük sistemlerde de ikinci faktör seçeneği sunulmalı ve riskli işlemlerde zorunlu tutulmalıdır. İki faktörlü kimlik doğrulama tercihe bırakıldığında kullanım oranı düşük kalır.

Kayıtlı ödeme yöntemlerinin kullanımında ek doğrulama istenmesi de etkiyi sınırlar. Hesap ele geçirilse bile maddi kayıp önlenebilir.

Privia Security olarak kurumsal kimliklerin dış sızıntılardaki durumunu izliyor, kimlik doğrulama katmanındaki eksikleri siber risk analizi kapsamında raporluyoruz.