Подстановка учётных данных

Чем опасна

• Захват аккаунтов клиентов: бонусы, сохранённые адреса, история заказов, иногда привязанные карты.
• Репутационный ущерб: клиенты считают, что взломали вас, хотя утечка была в другом сервисе.
• Нагрузка: проверка паролей — дорогая операция, особенно с современными алгоритмами хеширования.

Чем отличается от перебора паролей

При переборе паролей бот пробует много паролей к одной учётной записи. При подстановке — по одному-два пароля к тысячам разных учётных записей, причём пароли настоящие, только украдены в другом сервисе. Поэтому лимит попыток на аккаунт почти не срабатывает: на каждый аккаунт приходится одна попытка, и часть из них успешна.

Как распознать

• Доля неудачных входов резко выросла, при этом почти каждая попытка — с новой учётной записью.
• Много попыток с несуществующими логинами: в чужой базе есть адреса, которые у вас не зарегистрированы.
• Попытки идут через резидентные прокси с разных адресов, но с одинаковым отпечатком клиента.
• Запросы приходят прямо на адрес обработчика входа или на метод API, минуя страницу с формой: нет загрузки стилей, скриптов и картинок.
• Успешные входы сразу сопровождаются просмотром бонусного счёта, сохранённых адресов или сменой электронной почты.

Атака или обычный трафик

Всплески входов бывают и легитимными: после рассылки, при запуске акции или когда мобильное приложение после обновления заново авторизует всех пользователей. В этих случаях доля неудачных попыток почти не меняется, а запросы идут от ваших обычных клиентов — браузеров и приложения с ожидаемыми заголовками. При подстановке растёт именно доля ошибок и доля несуществующих логинов.

Защита

1. Общий лимит неудачных входов на путь и включение проверки браузера при всплеске.
2. Лимиты по отпечатку клиента, а не только по адресу.
3. Защита метода входа в API — мобильное приложение часто проверяет пароль через отдельный адрес, который забывают ограничить.
4. Уведомление клиента о входе с нового устройства.
5. Проверка пароля при регистрации и смене по базам утёкших паролей.
6. Двухфакторная аутентификация хотя бы как опция для клиентов.

Как эти меры собираются на уровне фильтра — на странице защиты формы входа. Для разбора уже случившейся атаки нужны журналы с отпечатками клиентов: по ним видно, сколько попыток было с одной программы.