Password Spray vs Credential Stuffing: Perbedaan & Pencegahan

Semua informasi yang Anda butuhkan tentang serangan brute-force ini

Perbedaan utama antara password spray dan credential stuffing adalah persyaratan yang dibutuhkan untuk melakukan serangan. Keduanya adalah serangan brute-force yang digunakan oleh aktor jahat untuk secara ilegal mendapatkan akses ke akun pengguna.

Meskipun ini mungkin terdengar menakutkan pada awalnya, mereka masih bergantung pada kesalahan dari pihak Anda. Dalam panduan password spray vs credential stuffing ini, kami akan menunjukkan cara mencegah serangan ini dan perbedaan di antara keduanya.

Apa itu semprotan kata sandi?

Semprotan kata sandi adalah bentuk serangan brute-force di mana pelaku kesalahan mencoba kata sandi acak yang biasa digunakan pada nama pengguna valid yang berbeda. Itu berarti penyerang tidak memiliki informasi yang sah.

Sebaliknya, mereka menyemprotkan beberapa kata sandi yang umum dan mudah diingat yang digunakan rata-rata pengguna pada banyak nama pengguna yang valid. Beberapa dari kata sandi yang lemah ini termasuk kata sandi, 123456, 123abc, dan 111111 dll.

Mereka mengulangi prosedur ini dengan kata sandi umum yang berbeda sampai akhirnya mereka melanggar salah satu akun.

Apa itu isian kredensial?

Tidak seperti password spray, dalam isian kredensial, penyerang mendapat akses ke kredensial masuk untuk akun pengguna. Ini biasanya terjadi melalui kebocoran online; mungkin basis data situs web tempat akun Anda disusupi.

Dengan kata sandi dari satu akun, aktor jahat mencoba mendapatkan akses ke akun online lain yang dimiliki oleh pengguna yang sama. Jika kata sandinya tidak, peretas mencoba berbagai variasi kata sandi yang sama.

Misalnya, seorang peretas mungkin mendapatkan akses ke nama pengguna, email, dan kata sandi Facebook pengguna. Dia kemudian akan mencoba kata sandi untuk masuk ke akun Twitter atau Gmail orang tersebut. Jika ini tidak berhasil, mereka menggunakan variasi kata sandi.

Apa perbedaan antara password spraying dan credential stuffing?

1. Tujuan serangan

Tujuan utama dari kedua jenis serangan ini adalah untuk mendapatkan akses ke akun pengguna secara ilegal. Namun, untuk isian kredensial, tujuannya adalah menggunakan kredensial pengguna yang bocor untuk satu akun guna mendapatkan akses ke beberapa akun yang dipegang oleh pengguna yang sama.

Penyemprotan kata sandi, di sisi lain, mengharuskan aktor jahat untuk memiliki daftar kata sandi umum yang akan disemprotkan pada nama pengguna valid yang berbeda.

Baca lebih lanjut tentang topik ini

• Statistik Yang Harus Anda Ketahui Tentang Serangan Cyber ​​di 2023
• Statistik Antivirus Terbaru dengan 8 Fakta Terlaris

2. Persyaratan

Persyaratan untuk serangan isian kredensial adalah basis kredensial online yang bocor untuk digunakan. Mereka biasanya mendapatkan ini melalui kebocoran online atau dengan meretas basis data organisasi.

Sementara password spraying tidak membutuhkan data yang bocor. Hanya daftar acak nama pengguna yang valid, yang biasanya berupa alamat email dan kata sandi yang umum digunakan dan sederhana.

3. Modus operasi

Sementara isian kredensial dapat dilakukan secara manual, peretas menggunakan botnet. Mereka memasukkan data yang tersedia ke bot yang mulai membuat variasi berbeda untuk mendapatkan akses ke akun lain.

Bentuk serangan ini berhasil karena sebagian besar pengguna internet tidak menyimpannya kata sandi unik untuk akun yang berbeda. Sebaliknya, mereka menggunakan kata sandi yang sama berulang kali atau variasinya.

Penyerang juga menggunakan botnet untuk menyemprot kata sandi. Bot bekerja dengan nama pengguna yang valid dan mencocokkannya dengan kata sandi yang umum digunakan sampai mereka mendapatkan kredensial yang valid untuk sebuah akun.

Bentuk serangan ini terkadang berhasil karena rata-rata pengguna internet memiliki puluhan akun yang membutuhkan kata sandi. Jadi, kebanyakan orang lebih suka menggunakan kata sandi yang lemah dan mudah diingat ini. Ini memudahkan peretas untuk mendapatkan akses ke akun mereka.

Bagaimana saya bisa mencegah isian kredensial dan penyemprotan kata sandi?

Di bawah ini adalah beberapa hal yang dapat dilakukan organisasi dan individu untuk mencegah serangan brute-force ini:

• Gunakan kata sandi yang unik – Meskipun tergoda untuk menggunakan kata sandi yang biasa digunakan, ini biasanya berakhir dengan buruk. Selalu gunakan kata sandi yang kuat dan unik untuk akun yang berbeda. Jika Anda khawatir harus mengingat semuanya, Anda dapat menggunakan a pengelola kata sandi tepercaya alih-alih.
• Tolak kata sandi yang biasa digunakan – Sebagai organisasi dengan portal online, Anda harus memiliki kebijakan pembuatan kata sandi yang menolak kata sandi yang lemah dan umum digunakan. Dengan ini, Anda dapat dengan cepat melihat serangan password spray sebelum berhasil.
• Gunakan Otentikasi Multifaktor (MFA) – Untuk memperkuat keamanan portal dan akun Anda, Anda perlu mengurangi pentingnya kata sandi. Salah satu cara efektif untuk melakukannya adalah dengan menerapkan Autentikasi dua faktor (2FA) atau Multi-Faktor. Dengan ini, pengguna perlu memberikan informasi tambahan, memiliki akses ke perangkat mereka, atau menggunakan verifikasi biometrik selain kata sandi mereka.
• Sering-seringlah memeriksa pelanggaran basis data – Kadang-kadang, beberapa organisasi memeriksa database mereka, terutama yang dibagikan dengan database kredensial bocor yang diketahui. Dengan ini, Anda dapat mengetahui dan dengan cepat mengambil tindakan terhadap akun yang dilanggar.
• Batasi upaya masuk – Cara lain yang efektif untuk mencegah isian kredensial dan penyemprotan kata sandi adalah dengan membatasi jumlah upaya masuk dalam satu waktu. Selain itu, Anda dapat memperkenalkan CAPTCHA dan alat pendeteksi keaktifan lainnya ke dalam proses login untuk membatasi bot.

Kami telah mencapai akhir dari panduan isian kredensial vs semprotan kata sandi ini. Dengan informasi di dalamnya, kini Anda memiliki semua yang perlu Anda ketahui tentang bentuk-bentuk serangan ini dan cara mencegahnya.

Jika Anda membutuhkan daftar pengelola kata sandi luring untuk membantu Anda melindungi kredensial Anda, lihat panduan terperinci kami untuk pilihan teratas yang tersedia.

Jangan ragu untuk berbagi pengalaman Anda dengan serangan brute force ini dengan kami di komentar di bawah.