Digital Shadows: Neuer Report zum Credential Stuffing
Digital Shadows hat vor kurzem in den USA einen Bericht zum Datendiebstahl veröffentlicht. Der Report „Protect Your Customer and Employee Accounts: 7 Ways to Mitigate The Growing Risks of Account Takeovers“ beschäftigt sich mit den Methoden, die Hacker verwenden, um mit gestohlenen Zugangsdaten weitere Betrügereien zu verüben.
Wiederkehrende Login-Daten als Problem
Laut Bericht verwenden die Hacker die Daten mehrmals in unterschiedlichen Foren und auf Domains. Mittlerweile werden sogenannte Credential Stuffing Tools eingesetzt, um massiv Daten zu erbeuten, die dann mehrmals verwendet oder weiterverkauft werden. Die Hacker verwenden sowohl Login-Daten von Privatpersonen als auch von Unternehmen und versuchen, sich auf verschiedenen Domains mit diesen Passwörtern einzuloggen.
Dabei kommt ihnen die „Trägheit“ vieler Personen sehr entgegen. Sowohl im privaten als auch beruflichen Bereich verhalten sich Internetnutzer nachlässig und vergeben die Kombination von Login und Passwort mehrfach an unterschiedliche Logins. Werden die Daten gehackt, gelangen die Cyberkriminellen meist an mehrere Konten, was gerade im Unternehmensbereich sehr fatal ist.
Digital Shadows hat in seinem Bericht 1000 US-Unternehmen berücksichtigt, von denen 97 % Online-Zugänge führen, die auffindbar sind. Oft sind die Unternehmer aber auch zu beschäftigt oder uninteressiert, sich eine genaue Übersicht über alle Domains, Konten und Logins zu verschaffen. Das schafft langfristig Probleme und die spielt den Hackern in die Hände.
Multi-Faktor-Authentifizierung (MFA) als Problemlöser?
Die Multi-Faktor-Authentifizierung (MFA) wird von vielen Experten als Hilfe im Kampf gegen Datendiebstahl angesehen, reicht aber bei weitem nicht aus, um sich wirksam vor dem Credential Stuffing zu schützen. Digital Shadows empfiehlt zusätzlich ein kontinuierliches Monitoring von kompromittierten Zugangsdaten von Mitarbeitern und Kunden. Dabei helfen spezielle Websites, die geleakte Websites melden.
Mit speziellen Inline Web-Application Firewalls (WAF) ,wie z.B. ModSecurity, können Credential Stuffing Tools erkannt und blockiert werden. Zudem muss das Sicherheitsbewusstsein jedes Mitarbeiters deutlich erhöht werden. Aufmerksamkeit im Internet gehört zu den wichtigsten Abwehrmaßnahmen von Nutzern. Dazu gehört u.a. die ausschließlich berufliche Nutzung von firmeneigenen E-Mail-Konten.
Der ausführliche Report kann von Unternehmen und Privatpersonen auf der Domain von Digital Shadows eingesehen und heruntergeladen werden.