2025年凭证填充攻击:如何成为黑客行业的标准操作
探讨2025年凭证填充攻击的演变,包括组合列表、信息窃取器和账户接管的行业化趋势,以及企业如何应对这一日益严重的网络安全威胁。
2025年,凭证填充攻击已经成为黑客行业的标准操作,其影响力和规模远超以往。根据Verizon的2025年数据泄露调查报告(DBIR),凭证填充攻击占所有确认数据泄露的22%,连续三年成为最常见的初始访问向量。这一现象的背后,是一个完整的凭证供应链,从信息窃取恶意软件到暗网市场,再到自动化攻击工具,使得攻击者几乎零成本即可实施大规模攻击。 凭证填充攻击的核心在于利用用户的密码重用行为。研究表明,用户在不同服务之间使用相同密码的概率高达51%。这意味着,一旦攻击者获取某个服务的用户名和密码组合,他们就有近50%的机会在其他服务上重复使用这些凭证。
这种攻击方式的成功率之高,使得即使是技术门槛较低的攻击者也能轻松实施。 信息窃取恶意软件,如Lumma、RedLine、StealC和Acreed,是凭证填充攻击的重要来源。这些恶意软件会窃取浏览器保存的密码、会话cookie、OAuth刷新令牌和自动填充数据,并将这些数据打包成结构化的组合列表(combolists)。这些组合列表在暗网论坛、Telegram频道和专门的破解社区中自由交易,价格取决于数据的新鲜度和有效性。新鲜的组合列表,尤其是从最近信息窃取日志中提取的,价格更高,因为这些凭证尚未被用户更改。 攻击者使用的工具也日益成熟。
OpenBullet和其继任者SilverBullet,最初是渗透测试工具,如今已成为账户接管(ATO)操作的标准工具。这些工具能够自动化整个攻击流程,包括加载组合列表、旋转居民代理IP以规避速率限制和IP封锁,模拟合法浏览器行为发送登录请求,并记录成功的登录尝试。此外,攻击者还购买和销售定制配置文件,这些文件定义了特定目标服务的认证流程,使得攻击更加精准。 2025年,凭证填充攻击的案例层出不穷。澳大利亚超级基金(superannuation funds)的攻击就是一个典型例子。攻击者利用先前泄露的凭证,同时攻击了五家主要的澳大利亚超级基金,包括AustralianSuper、Rest Super、Hostplus等。
由于这些基金没有强制执行多因素认证(MFA),导致20,000多个账户被入侵,四名AustralianSuper会员损失了共计50万澳元。退休基金之所以成为攻击目标,是因为账户余额较高,提款流程缓慢,且许多会员很少查看账户。 VF Corporation旗下的The North Face在线商店也遭受了凭证填充攻击。攻击者利用先前泄露的凭证,访问了用户账户并窃取了个人信息,包括姓名、电子邮件地址、收货地址、电话号码、购买历史和出生日期。虽然支付卡数据未被暴露,但此次攻击仍然造成了严重的声誉损失。这也是VF Corporation自2020年以来遭受的第四次凭证填充攻击,反映了企业在应对低速验证攻击方面的结构性问题。
最具影响力的案例之一是Change Healthcare的数据泄露。2024年2月,ALPHV/BlackCat勒索软件组织通过未启用MFA的Citrix远程访问门户进入UnitedHealth的Change Healthcare子公司。攻击者在网络内横向移动并部署了勒索软件,导致美国数千家医疗机构的支付处理系统瘫痪数周。此次攻击造成了2200万美元的赎金支付和8.72亿美元的直接损失,成为美国医疗行业历史上最严重的供应链中断事件之一。 面对日益复杂的凭证填充攻击,组织需要采取多层次的防御策略。首先,强制执行多因素认证(MFA)是最有效的控制措施。
根据CISA的2024年指南,硬件安全密钥和基于WebAuthn标准的密钥是唯一能够完全消除凭证重用风险的解决方案。其次,在登录和账户创建时进行密码筛查,使用Have I Been Pwned等服务检查已泄露的凭证,可以在攻击者验证凭证之前阻止其使用。此外,对所有认证端点实施速率限制和渐进式账户锁定,包括常被忽视的API登录流程,可以减少达到验证阶段的尝试次数。 行为检测也是防御的重要组成部分。通过分析请求时间、设备指纹一致性和会话cookie行为等信号,可以识别出已经绕过IP基础控制的攻击。对于依赖传统身份基础设施的组织,立即替换整个平台并非首要任务。
首先,在所有面向外部的认证层强制执行MFA,无论后台系统如何,都能解决最高风险的暴露问题。Change Healthcare事件清楚地证明,一个未受保护的端点可能带来灾难性的后果。 尽管没有技术手段能够完全消除凭证填充攻击,但组织可以通过提高攻击成本来降低风险。密码重用行为仍然普遍存在,信息窃取恶意软件继续大规模运行,组合列表也会不断增长。防御者的目标是使特定环境中的攻击成本超过攻击者能够承受的范围,并在成功的攻击被发现之前采取行动。2025年,22%的数据泄露始于有效凭证,这意味着将认证卫生视为常规维护而非战略优先事项的组织,已经成为泄露统计的一部分。
凭证填充攻击的威胁将持续存在,但组织可以通过采取积极的防御措施来减少风险。强制执行多因素认证、定期筛查已泄露的凭证、实施速率限制和行为检测,以及持续监控暗网市场,都是有效的防御策略。通过采取这些措施,组织可以显著降低凭证填充攻击的成功率,并保护其网络和数据免受潜在的破坏。 。
