Credential Stuffing
Credential stuffing to zautomatyzowane sprawdzanie skradzionych albo wyciekłych par login/hasło na wielu serwisach naraz. Napastnik nie „łamie” hasła w sensie brute force. Już je ma z innego wycieku. Szuka, gdzie ta sama para wciąż działa.
Na blackweb.pl to jeden z najbardziej przyziemnych mechanizmów przejmowania kont. Nie wymaga zero-daya. Wymaga listy z dumpa, botów i faktu, że ludzie reuse’ują hasła. Po wycieku stuffing jest naturalnym następnym krokiem w ekonomii ataku.
Skąd biorą się listy
Wyciek e-commerce ze słabym hashowaniem, stara baza z forum, stealer log z plaintextem haseł z przeglądarki, combo listy krążące po forach. Jakość bywa różna: świeże logi stealera biją pięcioletni dump z MD5 bez soli. Ale nawet stary dump działa na kontach, których nikt nie rotował.
Stuffing różni się od sprayingu (wiele kont, mało haseł) i od klasycznego brute force na jednym koncie. Tu para jest „prawdziwa” gdzie indziej. Sukces to trafienie w reuse.
Dlaczego bronią się słabo same limity
Rate limiting i CAPTCHA utrudniają. Nie zabijają rynku: farmy IP, rozwiązania CAPTCHA as a service, wolniejsze próby, celowanie w API mobilne z węższą ochroną. Po stronie ofiary najskuteczniejsze pozostaje: unikalne hasła (menedżer), 2FA albo passkeys, wykrywanie niemożliwych podróży i alerty. Samo „silne hasło” powtórzone w dziesięciu miejscach stuffingowi nie przeszkadza.
Po udanym trafieniu sesja żyje własnym życiem. Nawet z 2FA przy logowaniu później liczy się kradzież session cookie. Stuffing i stealerzy często się uzupełniają w reportach, nie wykluczają.
Co robić po alercie „Twoje hasło było w wycieku”
Zmień hasło w wycieku i wszędzie, gdzie było to samo. Włącz drugi składnik. Sprawdź sesje i urządzenia. Nie ufaj mailom „kliknij tu, żeby zabezpieczyć”, bo to klasyczny phishing na panice po breechu. Szerszy kontekst: higiena haseł i cyfrowa checklista.
Dla firm: monitor breach corpora, wymuszanie resetu przy znanych parach, resistencja na credential stuffing w warstwie auth (device binding, risk-based auth), edukacja bez moralizowania. Ludzie reuse’ują, bo pamięć ma limit. Narzędzia mają go mniej.
W reportach o przejęciach kont stuffing bywa niedoszacowany, bo wygląda jak „normalne logowanie”. Nie ma zero-daya do cytowania. Jest para, która już gdzieś działała. Dlatego po alercie z haveibeenpwned albo podobnego monitora liczy się prędkość rotacji, nie poczucie, że „to stary wyciek, nie mój problem”.
Czego tu nie ma
Nie ma instrukcji budowania bota stuffingowego ani źródeł list. Jest mechanizm ekonomiczny i obrona od strony ofiary oraz serwisu.