Relleno de credenciales

El relleno de credenciales es un tipo de ciberataque en el que el atacante recopila credenciales de cuentas robadas , que generalmente consisten en listas de nombres de usuario o direcciones de correo electrónico y las contraseñas correspondientes (a menudo provenientes de una filtración de datos ), y luego utiliza las credenciales para obtener acceso no autorizado a cuentas de usuario en otros sistemas a través de solicitudes de inicio de sesión automatizadas a gran escala dirigidas contra una aplicación web . ^{[ 1 ]} A diferencia del cracking de credenciales, los ataques de relleno de credenciales no intentan usar la fuerza bruta ni adivinar ninguna contraseña; el atacante simplemente automatiza los inicios de sesión para una gran cantidad (de miles a millones) de pares de credenciales previamente descubiertos utilizando herramientas estándar de automatización web como Selenium , cURL , PhantomJS o herramientas diseñadas específicamente para este tipo de ataques, como Sentry MBA, SNIPR, STORM, Blackbullet y Openbullet. ^{[ 2 ] [ 3 ] [ 4 ]}

Los ataques de relleno de credenciales son posibles porque muchos usuarios reutilizan la misma combinación de nombre de usuario/contraseña en varios sitios, con una encuesta que reportó que el 81% de los usuarios ha reutilizado una contraseña en dos o más sitios y el 25% de los usuarios usan las mismas contraseñas en la mayoría de sus cuentas. ^{[ 5 ]} En 2017, la FTC emitió un aviso sugiriendo acciones específicas que las empresas debían tomar contra el relleno de credenciales, como insistir en contraseñas seguras y protegerse contra ataques. ^{[ 6 ]} Según el ex zar del fraude de clics de Google , Shuman Ghosemajumder , los ataques de relleno de credenciales tienen una tasa de éxito de inicio de sesión de hasta el 2%, lo que significa que un millón de credenciales robadas pueden tomar más de 20 000 cuentas. ^{[ 7 ]} La revista Wired describió que la mejor manera de protegerse contra el relleno de credenciales es usar contraseñas únicas en las cuentas (como las generadas automáticamente por un administrador de contraseñas ), habilitar la autenticación de dos factores y que las empresas detecten y detengan los ataques de relleno de credenciales. ^{[ 8 ]}

Una fuga de credenciales, también conocida como violación o filtración de datos , se produce cuando individuos o grupos no autorizados obtienen acceso ilícito a credenciales de usuario confidenciales almacenadas por las organizaciones. Dichas credenciales suelen incluir nombres de usuario, direcciones de correo electrónico y contraseñas. Las repercusiones de las fugas de credenciales pueden ser significativas, ya que suelen exponer a los usuarios a diversos riesgos, como el robo de identidad, el fraude financiero y la infiltración no autorizada de cuentas. ^{[ 9 ]}

Los ataques de relleno de credenciales se consideran una de las principales amenazas de seguridad para las aplicaciones web y móviles debido al gran volumen de filtraciones de credenciales. Solo en 2016, se filtraron más de tres mil millones de credenciales a través de brechas de datos en línea. ^{[ 10 ]}

El término fue acuñado por Sumit Agarwal, cofundador de Shape Security, quien se desempeñaba como Subsecretario Adjunto de Defensa en el Pentágono en ese momento. ^{[ 11 ]}

El 20 de agosto de 2018, la cadena británica de productos de salud y belleza Superdrug fue víctima de un intento de chantaje. Unos hackers mostraron supuestas pruebas de haber accedido al sitio web de la empresa y descargado los registros de 20 000 usuarios. Es muy probable que estas pruebas se obtuvieran mediante ataques informáticos y filtraciones de datos, y que se utilizaran como base para ataques de relleno de credenciales con el fin de obtener información y crear las pruebas falsas. ^{[ 12 ] [ 13 ]}

En octubre y noviembre de 2016, unos atacantes accedieron a un repositorio privado de GitHub utilizado por desarrolladores de Uber (Uber BV y Uber UK), aprovechando nombres de usuario y contraseñas de empleados que habían sido comprometidos en filtraciones anteriores. Los hackers afirmaron haber secuestrado las cuentas de usuario de 12 empleados mediante el método de relleno de credenciales, ya que las direcciones de correo electrónico y las contraseñas se habían reutilizado en otras plataformas. La autenticación multifactor , aunque disponible, no estaba activada para las cuentas afectadas. Los hackers encontraron las credenciales del almacén de datos de AWS de la empresa en los archivos del repositorio, que utilizaron para acceder a los registros de 32 millones de usuarios y 3,7 millones de conductores no estadounidenses, así como a otros datos contenidos en más de 100 buckets de S3 . Los atacantes alertaron a Uber y exigieron el pago de 100.000 dólares para eliminar los datos. La empresa pagó a través de un programa de recompensas por la detección de errores, pero no informó del incidente a las partes afectadas durante más de un año. Tras descubrirse la infracción, la empresa fue multada con 385.000 libras esterlinas (reducidas a 308.000 libras esterlinas) por la Oficina del Comisionado de Información del Reino Unido . ^{[ 14 ]}

En 2019, la firma de investigación de ciberseguridad Knight Lion Security afirmó en un informe que el relleno de credenciales era un método de ataque preferido por GnosticPlayers . ^{[ 15 ]}

La comprobación de credenciales comprometidas es una técnica que permite notificar a los usuarios cuando sus contraseñas se ven comprometidas por sitios web, navegadores web o extensiones de contraseña.

En febrero de 2018, el científico informático británico Junade Ali creó un protocolo de comunicación (utilizando k -anonimato y hash criptográfico ) para verificar de forma anónima si una contraseña se había filtrado sin revelar completamente la contraseña buscada. ^{[ 16 ] [ 17 ]} Este protocolo se implementó como una API pública y ahora es utilizado por múltiples sitios web y servicios, incluidos gestores de contraseñas ^{[ 18 ] [ 19 ]} y extensiones de navegador . ^{[ 20 ] [ 21 ]} Este enfoque fue posteriormente replicado por la función Password Checkup de Google . ^{[ 22 ] [ 23 ] [ 24 ]} Ali trabajó con académicos de la Universidad de Cornell para desarrollar nuevas versiones del protocolo conocidas como Frequency Smoothing Bucketization (FSB) e Identifier-Based Bucketization (IDB). ^{[ 25 ]} En marzo de 2020, se añadió relleno criptográfico al protocolo. ^{[ 26 ]}

• violación de datos

• " Entrada de OWASP sobre el relleno de credenciales "