Credential Stuffing Nedir?
Yayın: · Son güncelleme:
Credential Stuffing Nedir? Kısaca
Credential stuffing, bir veri ihlalinde sızdırılan kullanıcı adı ve şifre çiftlerinin, aynı bilgilerin başka sitelerde de kullanıldığı varsayımıyla çok sayıda farklı sitede otomatik olarak denenmesidir.
Credential stuffing nedir?
Credential stuffing, Türkçede "kimlik bilgisi doldurma" olarak anlatılabilir. Saldırgan şifre tahmin etmeye uğraşmaz; elinde zaten gerçek kullanıcı adı ve şifre listeleri vardır. Bu listeler daha önce hacklenen sitelerden sızmış verilerdir ve otomatik araçlarla bankalar, e-ticaret siteleri ve sosyal medya platformlarında denenir.
Yöntemin başarısı tek bir insan alışkanlığına dayanır: aynı şifreyi birden fazla yerde kullanmak.
Neden bu kadar etkili?
Bir sitedeki sızıntı, o şifreyi kullandığınız tüm hesapları riske atar. Saldırgan milyonlarca bilgiyi denediğinde küçük bir başarı oranı bile binlerce hesap demektir.
Örneğin birkaç yıl önce üye olduğunuz bir forum sitesinin veritabanı sızdırılmış olsun. Orada kullandığınız e-posta adresi ve şifreyle aynı bilgiler e-posta hesabınızda da geçerliyse, saldırgan önce e-postanıza, oradan da "şifremi unuttum" bağlantılarıyla diğer hesaplarınıza ulaşabilir.
Kaba kuvvetten farkı ne?
Kaba kuvvet saldırısı tek bir hesabın şifresini tahmin etmeye çalışır. Credential stuffing ise doğru olduğu bilinen şifreleri farklı sitelerde dener. Bu yüzden şifreniz ne kadar uzun ve karmaşık olursa olsun, başka bir yerde sızdıysa ve tekrar kullanılıyorsa sizi korumaz.
Nasıl korunulur?
- Her hesap için farklı bir şifre kullanın ve bir şifre yöneticisinde saklayın.
- Önemli hesaplarda çok faktörlü doğrulamayı açın.
- Tarayıcınız ya da şifre yöneticiniz "bu şifre sızıntıda görüldü" uyarısı verirse ilgili hesapları hemen güncelleyin.
İlk adım olarak e-posta hesabınızın şifresini başka hiçbir yerde kullanmadığınız yeni bir şifreyle değiştirin.
Sıkça Sorulan Sorular
Credential stuffing'e karşı en etkili önlem nedir?
Her hesapta farklı şifre kullanmak ve çok faktörlü doğrulamayı açmaktır. Bu iki adım, sızdırılmış bir şifrenin başka hesaplarınızda işe yaramasını engeller.
Şifremin sızdırıldığını nasıl öğrenebilirim?
Bazı şifre yöneticileri ve tarayıcılar kayıtlı şifreleri bilinen sızıntılarla karşılaştırır. Ayrıca güvenilir sızıntı sorgulama hizmetleri e-posta adresinizin hangi ihlallerde yer aldığını gösterebilir.