Neue Forschungsergebnisse zeigen finanzielle Verluste durch Credential Stuffing auf.
https://pixabay.com/de/
Credential Stuffing setzt darauf, dass Nutzer für verschiedene Konten, Anwendungen und Services dieselbe Kombination aus Nutzername und Passwort verwenden. Cyberkriminelle nutzen gestohlene Kontodetails von einer Plattform und setzen Bots ein, um sich mit diesen Daten bei unzähligen anderen Plattformen anzumelden. Haben sie es einmal geschafft, nutzen die Kriminellen das Konto solange aus, bis der Besitzer es bemerkt. So kaufen sie beispielsweise Waren im Namen des echten Nutzers oder stehlen vertrauliche Informationen. Akamai hat einen Forschungsbericht vorgestellt: Unternehmen verlieren durchschnittlich vier Millionen US-Dollar pro Jahr durch Credential-Stuffing-Angriffe.
Die Forschungsergebnisse des Ponemon Institute zeigen, dass Umfang und Schwere von Credential Stuffing zunehmen. So erleben Unternehmen heute durchschnittlich elf Credential-Stuffing-Attacken pro Monat. Jeder dieser Angriffe zielt im Durchschnitt auf 1.041 Nutzerkonten ab und kann teure Anwendungsausfälle, Kundenverlust und gesteigerten Aufwand für IT-Sicherheitsteams bedeuten. Dadurch kommt es jährlich zu Schäden in Millionenhöhe: Für die Bereiche Anwendungsausfälle und erhöhte IT-Aufwände entstehen pro Unternehmen jeweils durchschnittlich 1,2 Millionen US-Dollar Verlust. Der Kundenverlust führt im Schnitt pro Unternehmen zu einem Schaden von 1,6 Millionen US-Dollar. Hinzu kommen die direkten Kosten, die durch die Betrugsversuche selbst entstehen.
»Wir sind daran gewöhnt, dass Listen gestohlener Nutzer-IDs und Passwörter im Dark Web kursieren«, erklärt Jay Coley, Senior Director for Security Planning and Strategy bei Akamai Technologies. »Doch die ständige Zunahme von Credential-Stuffing-Angriffen zeigt, wie groß die Gefahr wirklich ist. Cyberkriminelle setzen vermehrt auf Botnets, um die Listen mit Anmeldedaten auf den Login-Seiten anderer Unternehmen zu testen, und erweitern so den Umfang ihrer Attacken. Es liegt an den Unternehmen, diese Angriffsmethode zu unterbinden, um nicht nur Kunden und Mitarbeiter, sondern letztlich auch ihre Umsätze zu schützen.«
Bewältigung der Komplexität
Die meisten Unternehmen bieten eine komplexe Angriffsfläche für den Missbrauch von Anmeldedaten. Wie die Forschungsergebnisse zeigen, setzen Unternehmen durchschnittlich 26,5 kundengerichtete Websites in ihrer Produktionsumgebung ein, die allesamt als Einstiegspunkt für Bots dienen können. Das Problem wird dadurch verstärkt, dass Unternehmen für verschiedene Clienttypen – darunter Kunden an Desktops oder Laptops (87 %), mobile Browser (65 %), Drittanbieter (40 %) und App-Nutzer (36 %) – unterschiedliche Login-Methoden bereitstellen müssen.
Die Komplexität der Angriffsfläche ist ein Grund dafür, dass nur ein Drittel der Unternehmen angibt, über ausreichend Transparenz hinsichtlich Credential-Stuffing-Attacken zu verfügen (35 %), und der Meinung ist, Angriffe auf ihre Websites schnell erkennen und beheben zu können (36 %).
Coley: »Moderne Websites sind weit verzweigt, können Hunderte oder sogar Tausende Seiten umfassen und unterstützen verschiedenste Client- und Traffic-Arten. Um sich erfolgreich vor Credential Stuffing zu schützen, müssen Unternehmen ihre Website-Architektur kennen und wissen, wie Clients zwischen den verschiedenen Seiten und Login-Endpoints navigieren.«
Identifizierung der Betrüger
Unternehmen bereitet es Probleme, die Betrüger zu erkennen. So stimmen 88 Prozent der Befragten zu, dass es schwierig sei, echte Mitarbeiter und Kunden von kriminellen Eindringlingen zu unterscheiden. Diese Herausforderung wird durch den Mangel an klarer Verantwortlichkeit im Unternehmen noch erschwert: Über ein Drittel (37 %) der Teilnehmer gibt an, dass bei ihnen keine zentrale Stelle für die Erkennung und Verhinderung von Credential-Stuffing-Angriffen verantwortlich sei.
Coley führt fort: »Bots lassen sich am besten besiegen, indem wir sie als das behandeln, was sie sind: nicht menschlich. Die meisten Bots verhalten sich nicht annähernd wie echte Menschen, doch ihre Methoden werden immer raffinierter. Deshalb brauchen Unternehmen Bot-Management-Tools, mit denen sie das Verhalten der Bots überwachen und Bots von echten Anmeldeversuchen unterscheiden können. Statt standardmäßiger Login-Systeme, die nur überprüfen, ob Nutzername und Passwort übereinstimmen, benötigen sie Lösungen, die Muster bei der Tastatureingabe, Mausbewegungen und sogar die Ausrichtung mobiler Geräte berücksichtigen. Angesichts der möglichen Kosten in Millionenhöhe war es nie wichtiger, Bots zu erkennen und sie aufzuhalten.«
Hintergrundinformationen: Das Ponemon Institute hat 544 IT-Sicherheitsexperten in Europa, dem Nahen Osten und Afrika befragt, die Erfahrungen mit Credential-Stuffing-Angriffen haben und für die Sicherheit ihrer Unternehmenswebsites verantwortlich sind. Den vollständigen Bericht finden Sie nach Registrierung hier: https://content.akamai.com/PG12003-emea-ponemon-credential-stuffing-report.html?lang=de-de
13 search results for „Credential Stuffing“
TRENDS 2019 | TRENDS SECURITY | NEWS | IT-SECURITY | SERVICES
Drei unterschätzte Sicherheitsrisiken
Sicherheitsteams werden immer mehr zu einem integralen Bestandteil von Unternehmen und sind für den Erfolg wichtiger als je zuvor. Sie haben sich weiterentwickelt und werden zunehmend als legitimer Geschäftspartner und treibende Kraft für das Wachstum angesehen. In ihrer Rolle als Geschäftspartner gehört das Ermitteln von Unternehmensrisiken zu einer der wichtigsten Kompetenzen, die Sicherheitsteams bieten. Hierbei…
TRENDS 2019 | TRENDS SECURITY | NEWS | TRENDS INFRASTRUKTUR | BUSINESS | FAVORITEN DER REDAKTION | INFRASTRUKTUR | IT-SECURITY
Die Trends zur Cybersicherheit im Jahr 2019: Bots legen das Internet lahm
Wer seine Unternehmens- und Kundendaten umfassend schützen will, muss Cyberkriminellen immer einen Schritt voraus sein. Das ist jedoch nur möglich, wenn Unternehmen die kurz- und langfristigen Entwicklungen im Bereich Cybersicherheit kennen. Worauf sollte man 2019 also vorbereitet sein? Intelligentere Bots, komplexe Clouds, IoT-Risiken und Datenregulierungen werden im kommenden Jahr die vorherrschenden Themen sein. Akamai zeigt…
NEWS | E-COMMERCE | GESCHÄFTSPROZESSE | IT-SECURITY | SERVICES | TIPPS
Lukratives Weihnachtsgeschäft für Cyberkriminelle
Mit Beginn der Black-Friday-Woche fällt auch der Startschuss für Kreditkartenbetrug, Denial-of-Service-Angriffe & Co. Süßer die Kassen nie klingeln – das Weihnachtsgeschäft soll 2018 erstmals die 100-Milliarden-Euro-Marke durchbrechen. Stärkster Umsatztreiber ist laut Handelsverband Deutschland (HDE) auch in diesem Jahr der E-Commerce, der allein in November und Dezember gut ein Viertel seines Jahresumsatzes erzielt. Davon wollen auch…
NEWS | IT-SECURITY | KOMMENTAR | SERVICES | STRATEGIEN | TIPPS
Angriff auf Uber wirft sicherheitstechnische und rechtliche Fragen auf
Bei einem Daten-Hack auf den amerikanischen Fahrdienst Uber wurden über 600.000 persönliche Daten von über 57 Millionen Kunden und Fahrern kompromittiert. Der Angriff auf die User-Daten fand bereits 2016 statt. Anstatt den Vorfall den zuständigen Behörden zu melden und Kunden zu informieren, zahlte Uber ein Lösegeld von über 100.000 US-Dollar und versuchte den Datendiebstahl zu…
TRENDS 2019 | TRENDS WIRTSCHAFT | TRENDS SECURITY | NEWS | BUSINESS | FAVORITEN DER REDAKTION | IT-SECURITY
Cyberresilienz: Erhebliche Defizite bei der Notfallplanung
Mehr als die Hälfte der deutschen Unternehmen testen ihre Notfallpläne nicht. Automatisierung verbessert die Erkennung und Eindämmung von Cyberangriffen in Deutschland um 46 Prozent. Die Ergebnisse der vierten, jährlichen Benchmark-Studie zur Cyberresilienz, vom Ponemon Institute durchgeführt und von IBM Resilient gesponsert, sind veröffentlicht worden. In »The 2019 Cyber Resilient Organization« wird untersucht, inwieweit Unternehmen…
AUSGABE 3-4-2019 | NEWS | CLOUD COMPUTING | IT-SECURITY
Studie »The Future of Multi-Cloud« – Die Multi-Cloud zukunftssicher schützen
Technologien verändern sich immer schneller. So wird es für IT-Verantwortliche immer schwieriger, die richtigen zukunftsfähigen Sicherheitslösungen zu implementieren. Welche Trends in den kommenden Jahren dabei zu berücksichtigen sind, zeigt die aktuelle Studie »The Future of Multi-Cloud« (FOMC) der Foresight Factory.
AUSGABE 3-4-2019 | SECURITY SPEZIAL 3-4-2019 | NEWS | IT-SECURITY | SERVICES | STRATEGIEN
Cybersicherheit – Einheitliche Tools für das Unified Threat Management
Ein globales Cyber-Sicherheitskonzept verbindet Monitoring, Angriffserkennung und Analyse sowie Incident Response dynamisch miteinander. Damit werden Advanced Persistent Threats bereits in einer frühen Phase erkannt.
NEWS | INFRASTRUKTUR | IT-SECURITY | TIPPS | WHITEPAPER
Cyber Resilience im Energiesektor: In fünf Schritten zur widerstandsfähigen IT-Infrastruktur
Energieversorger werden immer häufiger zum Ziel von Hackerangriffen. Sind diese erfolgreich, können große Bereiche des gesellschaftlichen Lebens zusammenbrechen. Als kritische Infrastruktur (KRITIS) ist der Energiesektor daher gesetzlich dazu verpflichtet, sich besonders gut zu schützen. Diese Herausforderung lässt sich sukzessive mit Sustainable Cyber Resilience meistern. Dirk Schrader, CISSP, CISM, ISO/IEC 27001 Practitioner bei Greenbone Networks…
TRENDS 2019 | TRENDS SECURITY | NEWS | TRENDS INFRASTRUKTUR | TRENDS CLOUD COMPUTING | TRENDS GESCHÄFTSPROZESSE | TRENDS SERVICES | STRATEGIEN
IT-Trends des Jahres 2019: DSGVO-Compliance, Privacy by Design, Multi-Faktor-Authentifizierung, BYOx-Security und Security-Automation
Studie: Digitalisierung ausbaufähig, intelligente Technologien im Kommen. Ihren Erfolg bei der Digitalisierung stufen Unternehmen in Deutschland, Österreich und der Schweiz wie im Vorjahr durchschnittlich als mittelmäßig ein [1]. Angesichts der großen Anstrengungen in diesem Bereich und der hohen Ausgaben für die Digitalisierung ist diese Bilanz ernüchternd. Als technologischer Trend zeigt sich, dass mehr als zwei…
TRENDS 2019 | TRENDS WIRTSCHAFT | NEWS | BLOCKCHAIN | BUSINESS | TRENDS MOBILE | DIGITALISIERUNG | TRENDS SERVICES | GESCHÄFTSPROZESSE | INFOGRAFIKEN | LÖSUNGEN | SERVICES
54 Prozent erwarten, dass Bargeld in wenigen Jahren nicht mehr gebräuchlich sein wird
63 % der Befragten gaben an, dass sie weder Betrug noch Diebstahl fürchten, wenn sie mit Karte oder kontaktlos bezahlen. Die First Data GmbH, ein Anbieter im Bereich Payment-Lösungen und Zahlungsverkehr in Deutschland, hat seine erste, deutschlandweite Verbraucherstudie veröffentlicht. Die Analyse basiert auf einer bundesweiten, repräsentativen Befragung unter mehr als 2.000 Konsumenten. Die Studie untersucht…
NEWS | IT-SECURITY | KOMMENTAR | TIPPS
Trägheit bei IT-Security macht Microsoft-Office-Schwachstelle zum Einfallstor für Cyberangriffe
Jörg von der Heydt, Channel Director DACH bei Skybox Security, kommentiert die Microsoft-Office-Schwachstelle CVE-2017-8570 und mögliche Lösungsansätze. Spätestens mit der Einführung der DSGVO hat in Europa eine gewisse Sensibilisierung gegenüber Datenschutz und Sicherheitsrisiken eingesetzt – ob privat oder im beruflichen Umfeld. Dennoch zeigen europäische Arbeitnehmer weltweit die geringste Disziplin, wenn es um die Cybersicherheit in…
NEWS | IT-SECURITY | KOMMUNIKATION | STRATEGIEN | TIPPS
Checkliste: So sollten Unternehmen im Fall einer Cyberattacke kommunizieren
Ein Fragenkatalog hilft dabei, schnelle und zielgerichtete Reaktionen auf erfolgreiche Cyberangriffe vorzubereiten. Die Wahrscheinlichkeit für Unternehmen, Opfer einer Cyberattacke zu werden, ist so hoch wie nie, denn mit ihren modernen Angriffsmethoden sind Hacker immer häufiger erfolgreich. Deshalb genügt es nicht länger, nur Cyber-Security-Maßnahmen zu implementieren. Es gilt, sich auch für das oft Unvermeidbare zu rüsten:…