Azonos jelszó? A legalapabb hiba…

Október a kiberbiztonság hónapja. Ilyenkor mindenki a jelszavakról beszél: legyenek hosszúak, bonyolultak, tele speciális karakterekkel. Csakhogy van egy tény, amit sokan figyelmen kívül hagynak:az erős jelszó semmit sem ér, ha ugyanazt használod több helyen is.

Anna története

Anna egy marketing ügynökségnél dolgozik. Felelősen állt a biztonsághoz: minden jelszava legalább 16 karakterből állt, kis- és nagybetűkkel, számokkal és szimbólumokkal. Hibátlan – gondolta.Csakhogy ugyanazt a jelszót írta be a céges projektmenedzsment rendszerbe, a közösségi médiába és a kedvenc webshopjába is.

Amikor a webshopot feltörték, a támadók megszerezték a jelszavát. Nem tippelgettek, nem törték fel – egyszerűen csak automatizált programmal kipróbálták ugyanazt a kombinációt máshol is. Percek alatt bent voltak a céges rendszerben. Ez a támadás neve:credential stuffing.

Miért különösen veszélyes?

A credential stuffing nem a jelszavak kitalálásáról szól, hanem a jelszó-újrafelhasználásról. A hackerek korábban kiszivárgott felhasználónév–jelszó párokat használnak és botokkal egyszerre ezreket tesztelnek. A siker esélye hatalmas, hiszen a felhasználók többsége – akár céges környezetben is – ugyanazt a jelszót adja meg több helyen. Egyetlen gyenge láncszem így az egész vállalatot magával ránthatja: ügyféladatok, pénzügyi rendszerek és belső dokumentumok kerülhetnek veszélybe.

Hogyan lehet megállítani?

A leghatékonyabb védekezés nem az extra karakterekben rejlik, hanem a rétegekben. Egy vállalatnak legalább az alábbiakat érdemes bevezetnie:

• Többlépcsős azonosítás (MFA):a jelszó mellé mindig kell egy második faktor.
• Jelszómenedzser:minden fiókhoz más, egyedi jelszó.
• Botdetekció és CAPTCHA:kiszűri az automatizált belépési próbálkozásokat.
• Monitoring és anomália detektálás:észleli a szokatlan bejelentkezési mintákat.
• Rate limiting:korlátozza a túl sok próbálkozást rövid idő alatt.
• Passwordless megoldások:biometria vagy egyszer használatos kódok.
• Felhasználói edukáció:mert a legtöbb hiba továbbra is emberi tényezőből fakad.

Az „erős jelszó” mítosz. A credential stuffing bizonyítja, hogy a jelszó-újrafelhasználás az egyik legnagyobb vállalati kockázat ma. Valódi védelem csak akkor van, haegyedi jelszó + MFA + monitoringegyütt működik.