Il credential stuffing sfrutta un fatto semplice: molte persone usano la stessa coppia email e password su più servizi. Gli attaccanti prendono le credenziali esposte in una violazione precedente e le provano automaticamente su altri siti, in massa, fino a trovare qualche account che funziona. Non serve indovinare nulla: basta riutilizzare.
Come funziona l’attacco
Le credenziali rubate vengono raccolte da violazioni passate, spesso vendute o condivise in ambienti criminali. Un attaccante le verifica con strumenti automatizzati, che provano migliaia di combinazioni al minuto. I servizi che non limitano i tentativi falliti sono i più esposti. Il risultato non è un attacco mirato, ma una valanga di accessi non autorizzati, che poi vengono usati per frodi, acquisti o ulteriori furti.
Perché succede così spesso
Ricordare decine di password diverse è faticoso, così molte persone ne usano poche, o una sola. Basta che un servizio poco protetto venga violato per mettere a rischio l’email, il conto bancario e i social. Per questo il problema non riguarda solo chi viene violato, ma chiunque abbia riutilizzato la stessa password.
Come proteggersi
- Una password diversa per ogni servizio importante, meglio se generata e conservata da un gestore di password.
- La verifica in due passaggi, che rende inutili le credenziali rubate da sole.
- Il controllo delle violazioni note per il proprio indirizzo email, con strumenti pubblici come Have I Been Pwned.
- La sostituzione immediata della password di un servizio che comunica una violazione, e di tutti gli account che usavano la stessa.
Per le aziende
Chi gestisce servizi online può ridurre l’efficacia di questi attacchi limitando i tentativi di accesso falliti, introducendo un ritardo progressivo dopo alcuni errori e segnalando accessi anomali, per esempio da paesi insoliti o in orari fuori dal normale. Anche il controllo delle password comparse in violazioni note al momento della registrazione o del cambio è una misura efficace e relativamente semplice da adottare.
Il messaggio da ricordare
Il credential stuffing non richiede competenze tecniche e funziona su larga scala. Ma non ha successo contro account protetti da password uniche e da una verifica in due passaggi. Ogni password unica è un account che un attacco automatico non può usare come trampolino.