Nhồi thông tin xác thực

Nhồi thông tin xác thực là một kỹ thuật tấn công mạng tự động trong đó chương trình máy tính hoặc tin tặc cố gắng giành quyền truy cập vào hệ thống hoặc dịch vụ bằng cách sử dụng danh sách kết hợp tên người dùng và/hoặc mật khẩu. Đây là một kiểu tấn công vũ phu, một cuộc tấn công lý thuyết trái phép bao gồm việc thử nhiều mật khẩu hoặc cụm mật khẩu một cách có hệ thống cho đến khi phát hiện ra mật khẩu chính xác.

Việc nhồi thông tin xác thực chủ yếu dựa vào danh sách thông tin xác thực bị đánh cắp trước đó được mua bất hợp pháp hoặc có được (thường là địa chỉ email và mật khẩu). Sau đó, kẻ tấn công cố gắng sử dụng lại thông tin đăng nhập này trên các trang web khác trên web với hy vọng chúng có thể có quyền truy cập vào nhiều tài khoản và dịch vụ hơn. Trong nhiều trường hợp, người dùng sử dụng lại cùng một tổ hợp tên người dùng/mật khẩu trên nhiều trang web hoặc chỉ dựa vào mật khẩu yếu.

Phương thức tấn công này có thể xảy ra do có rất nhiều cơ sở dữ liệu bị xâm phạm trên web, thường có được thông qua các cuộc tấn công mạng khác, chẳng hạn như vi phạm dữ liệu. Do đó, các tổ chức có thông tin xác thực bị lộ sẽ đặc biệt dễ bị tấn công bởi việc nhồi nhét thông tin xác thực.

Tác động của các cuộc tấn công nhồi thông tin xác thực thành công có thể rất nghiêm trọng, từ tổn thất tài chính do bị đánh cắp tiền từ các tài khoản mục tiêu hoặc mua hàng gian lận cho đến phá hủy dữ liệu nhạy cảm quan trọng do vi phạm dữ liệu. Hơn nữa, nhiều tài khoản có các cài đặt bảo mật bổ sung như xác thực hai yếu tố (2FA) hoặc xác thực đa yếu tố (MFA) không phải lúc nào cũng được bật, khiến chúng có nguy cơ bị nhồi thông tin xác thực.

Các tổ chức và cá nhân có thể bảo vệ chống lại việc nhồi thông tin xác thực bằng cách thường xuyên thay đổi mật khẩu, sử dụng mật khẩu mạnh có tổ hợp các ký tự, sử dụng trình quản lý mật khẩu để tạo mật khẩu ngẫu nhiên và bật xác thực hai yếu tố (2FA) để mọi nỗ lực nhập sai mật khẩu đều bị ngăn chặn. bị chặn ngay lập tức khi người dùng được gửi thông báo tới thiết bị được liên kết của họ. Ngoài ra, nên ngăn chặn việc đặt lại mật khẩu từ các địa chỉ email 'nhồi' đã biết. Ngoài ra, các tổ chức phải đảm bảo có hệ thống giám sát an ninh và phát hiện xâm nhập thường xuyên.