E-ticaret Sitelerinin Korkulu Rüyası: Credential Stuffing
Aynı e-posta ve parola ikililerinin farklı platformlarda da kullanılmasının doğurduğu riski kullanan teknik Credential Stuffing, en çok e-ticaret sitelerini etkilemekte…
Credential Stuffing Nedir?
Dilimize “Kimlik İstifleme” olarak çevirebildiğimiz Credential Stuffing özellikle son yıllarda e-ticaret’in astronomik bir şekilde gelişmesine paralel olarak korkulan tekniklerden bir tanesi olarak karşımıza çıkıyor. Peki Kimlik İstifleme ya da asıl adıyla Credential Stuffing nedir?
Credential Stuffing, deneme yanılma yolu olan kaba kuvvet saldırılarıyla, veri sızıntılarıyla veya sosyal mühendislik saldırıyla elde edilen e-posta:parola, kullanıcı adı:parola veya telefon numarası:parola ikilelerinin farklı platformlarda denenerek kullanıcıların hesaplarının ele geçirilmesine olanak tanıyan bir saldırı tekniğidir. Credential Stuffing sırasında kullanılan araçlardan bir tanesi olan OpenBullet, OpenBullet’in Kullanımı ve Özellikleri adlı makalemizde açıklanmaktadır.
Bu teknikte sızdırılan kimlik bilgileri firma kaynaklı olmasa bile kullanıcıların %80’den fazlasının birden fazla platformda aynı parolayı kullanmasından dolayı ilgili firma için sorun teşkil etmektedir.
Credential Stuffing’in Firmalara Etkisi Nedir?
Credential Stuffing sonucu firmalar kendilerinden kaynaklı olmasa bile veri sızıntısından etkilenmektedir. Müşterilerinin verileri açığa çıkan firmalar siber tehdit istihbaratı hizmeti alarak sızdırılan hesapları toplamakta ve müşterilerini durumdan haberdar ederek gerekli aksiyonları almaktadırlar.
Credential Stuffing ve sofistike saldırılar yüzünden özellikle e-ticaret siteleri sürekli siber güvenlik danışmanlığı almalıdır. Siber tehditler kredi kartlarının yoğun olarak kullanıldığı e-ticaret sektörünü sıklıkla hedef almaktadır.
Bilgi güvenliği danışmanlığı veren firmalar, bu tarz saldırıları önceden tespit edip kurumları bilgilendirmekte ve gerekli aksiyonların daha hızlı alınabilmesini sağlamaktadır. Bir saldırı gerçekleşmeden önlenebilmesi için tehdit istihbaratı ve sızma testi (penetrasyon) atlanmaması gereken bir güvenlik önlemidir.
Firmaların Credential Stuffing’e Karşı Alabileceği Önlemler Nelerdir?
Credential Stuffing’e karşı alınabilecek önlemlerin başında profesyonel siber tehdit istihbaratı hizmeti gelmektedir. Bunun yanında kurumlar kullanıcı deneyimini göz önünde bulundurarak çift faktörlü kimlik doğrulaması sistemini kendi platformlarına entegre ederek Credential Stuffing’e karşı önlem alabilirler.
Çift faktörlü kimlik doğrulamasının aktif olması, müşterinin e-posta ve parola bilgilerinin çalınması durumunda belirlediği telefon numarasına veya e-posta adresine gidecek olan doğrulama koduna saldırganın erişemeyeceğinden dolayı yüksek seviyede güvenlik önlemi sağlamaktadır.
Infinitum IT, Credential Stuffing ile mücadele etmektedir. Infinitum IT tarafından geliştirilen Siber Tehdit İstihbarat ürünü ThreatMonIT, partnerlerine ihtiyaç duydukları güvenlik hizmetini güvenlik analistlerinin gözetiminde otomatize bir şekilde sunmaktadır.