什麼是憑證填充？範例與預防

憑證填充是一種新興的網路威脅類型，利用了使用者常見的行為：在眾多線上帳戶中使用相同的密碼。網路犯罪分子會利用憑證填充弱點，使用遭竊的使用者名稱與密碼組合（通常來自先前的資料外洩事件），並自動在多個平台與服務上大規模嘗試登入。雖然這種攻擊與其他攻擊不同之處在於，它不像駭客入侵系統時所使用的手法那樣涉及複雜技術，但憑證填充之所以奏效，是因為人為錯誤的單純性——主要是使用者未能為自己擁有的每個帳戶設定獨特且安全的密碼。

然而，這類攻擊已讓各行各業的大多數企業不寒而慄。受創最嚴重的是那些管理客戶敏感資訊或金融交易的企業。一次成功的憑證填充攻擊，可能對任何企業造成致命打擊。對企業而言，其影響是多方面的：它們可能因詐欺或未經授權的交易而面臨重大財務損失，隨著品牌信任度下降而承受高昂的聲譽損害，並且如果未能依據資料保護法（例如《一般資料保護規則》(GDPR) 或 California Consumer Privacy Act (CCPA)）妥善保護使用者資料，還可能面臨法律與監管處罰。事實上，在 2018 年和 2019 年，網路釣魚與憑證填充的綜合威脅約占美國所有公開揭露資料外洩事件的一半。

在本文中，我們將更深入探討憑證填充的所有細節，了解其運作方式、與相似攻擊類型的差異，以及與其偵測、預防和回應相關的步驟。

什麼是憑證填充？

憑證填充是一種攻擊，攻擊者使用從某一平台取得的遭竊憑證、使用者名稱和密碼配對，來未經授權存取另一個平台上的帳戶。由於許多使用者會在多個網站重複使用相同憑證，這使其對網路竊賊而言非常有效。

攻擊者通常會使用指令碼或機器人來執行這些攻擊，向數千個不同網站發送數千萬次登入嘗試。一旦攻擊者成功存取帳戶，便可將其用於進一步的惡意活動，例如身分竊盜或詐欺，甚至在 暗網 上交易該帳戶的憑證。

憑證填充與暴力破解攻擊

雖然憑證填充和暴力破解攻擊都屬於網路攻擊類別，但它們實際上都圍繞著同一個問題：對使用者帳戶進行未經授權的登入嘗試。然而，這兩種方法的作法差異，儘管乍看之下非常相似，仍在於各自的實作方式。

• 憑證填充： 憑證填充是一種大規模攻擊。在此，網路犯罪分子會竊取先前 資料外洩. 這些通常會在暗網上出售，或在駭客論壇內交易。攻擊者會使用 bots 等自動化工具，在各種網站與服務上嘗試這些登入組合，寄望使用者在其他網站也使用了相同的憑證，而在大多數情況下，人們確實會在各種應用程式中重複使用密碼。大多數人傾向於在不同應用程式中使用相同的密碼，因此攻擊者只需透過密碼重複使用即可輕易存取帳戶，而幾乎不需要花費太多工夫。在這方面，憑證填充本質上是以量取勝而非以質取勝，因為它仰賴網路釣魚所造成的不良密碼使用習慣，並且只是單純嘗試盡可能破解更多帳戶。
• 暴力破解攻擊： 相較之下，暴力破解攻擊更具針對性且更費工。攻擊者不依賴遭竊的憑證；相反地，他們會嘗試不同的字母、數字與符號組合來猜測使用者的密碼，直到找到正確的密碼為止。這可以手動進行，但更常見的是使用自動化工具，快速產生數百種可能的密碼。暴力破解攻擊針對的是單一帳戶，而非數百個帳戶，因此在攻破大規模外洩事件時效率相對較低。此外，由於會出現大量失敗的嘗試，這類攻擊很可能會較早被發現，就如同 CAPTCHA 畫面或帳戶鎖定機制會阻止攻擊者破解該帳戶一樣。

憑證填充對企業的影響

憑證填充可能對企業造成極具破壞性的影響，帶來一系列與財務穩定、客戶信任及法規遵循相關的後果。

• 金錢損失： 最明顯的影響就是金錢損失。成功的憑證填充攻擊會導致詐欺交易、資料竊取和詐騙。企業也會因緩解成本而遭受重大損失，因為他們需要補償受影響的客戶、透過適當調查追查外洩事件，並實施一定程度的安全性改進。對大型組織而言，這可能在非常短的時間內反映為數百萬美元的損失。
• 聲譽受損： 憑證填充造成的外洩事件會侵蝕客戶信任。任何外洩事件的消息都會迅速傳播，客戶也會失去對公司保護個人資訊能力的信心。這可能導致客戶流失、破壞品牌忠誠度，並抵銷吸引新客戶的努力，而這些都是企業的長期後果。
• 營運中斷：營運中斷是另一項關鍵問題。憑證填充攻擊通常會使公司將核心能力從業務本身轉向管理與調查工作。這會轉化為停機時間、營運費用增加，以及客戶服務壓力上升，因為客服需要回答問題並為受影響的使用者解決問題。強化安全性與修補漏洞的需求，也可能導致業務流程在短時間內放緩。

憑證填充攻擊的常見目標

某些產業會成為目標，因為已取得存取權的資料價值很高，而且攻擊者可以輕易將其變現。

以下是這類攻擊最常見的一些目標：

• 金融機構：對金融機構而言，最具吸引力的攻擊領域之一是憑證填充。線上銀行網站、支付處理商與金融科技服務持有敏感的金融資訊；因此，攻擊者攻擊這些目標的誘因非常高。一旦網路犯罪分子取得帳戶存取權，他們就能竊取資金、進行未經授權的交易，或將這些帳戶出售給其他犯罪分子。由於金融帳戶確實存在被直接盜取的可能性，金融機構經常成為攻擊目標，而憑證填充也常常作為重大金融詐欺的前兆。
• 電子商務網站：另一個最常成為目標的領域是線上商店或電子商務網站。攻擊者鎖定線上零售商，以取得客戶帳戶的存取權，這些帳戶包含付款資訊、配送詳細資料或儲存的信用卡號碼。一旦取得這些資料，攻擊者就能進行未經授權的購買、竊取忠誠度點數，或變更帳戶詳細資料以進一步實施詐欺行為。電子商務平台充滿可被利用的潛在使用者帳戶，這一事實使其更容易受到憑證填充攻擊。
• 社群媒體平台：社群媒體帳號經常成為攻擊目標。攻擊者在入侵社群媒體帳號後，會竊取個人資訊，並進一步利用該帳號散布惡意軟體、網路釣魚連結或其他惡意內容。攻擊者在取得社群媒體帳號的存取權後，可能會持續冒充帳號擁有者，誘使聯絡人交出敏感資訊或成為特定詐騙的受害者。事實上，由於社群媒體在全球廣泛普及，成功的憑證填充攻擊可能會造成相當嚴重的後果。

憑證填充如何運作？

憑證填充是一種系統化、自動化的網路攻擊形式，利用遭入侵的登入憑證在多個平台間被重複使用的情況。此類攻擊通常會依照一系列步驟展開，攻擊者利用現成可得的工具與資源來執行大規模登入嘗試。

以下是憑證填充通常的運作方式：

1. 取得憑證:  在憑證填充攻擊中，取得遭竊登入憑證通常是其第一步，通常以使用者名稱與密碼的組合形式出現。這些帳號通常來自先前的其他資料外洩事件、網路釣魚行動，或是在暗網網站上購得。許多這類憑證會在大規模資料外洩中遭到洩露，有時多達數百萬筆帳號憑證。攻擊者透過這些清單，利用使用者可能在其他地方使用相同登入憑證的可能性。
2. 自動化登入嘗試: 取得這些憑證後，駭客會自動在大量網站和線上應用程式上發起登入嘗試。這些機器人可透過在多種服務中輸入遭竊的使用者名稱/密碼配對，在數秒內執行數千次登入嘗試，例如網路銀行網站、電子商務網站、社群網站等。自動化是憑證填充攻擊的關鍵，因為它讓攻擊者能以最少的力氣，在極短時間內攻擊多個帳戶。其目的在於盡可能測試更多憑證，以找出可成功匹配的憑證。
3. 成功登入：如果任何遭竊憑證與另一個平台上的憑證相符，攻擊者就能未經授權存取該帳戶。這是憑證填充與 暴力破解攻擊 的基本差異所在，因為憑證填充依賴有效的登入憑證，而暴力破解攻擊則會嘗試隨機的密碼組合。由於大多數人會使用相同密碼存取不同平台，且會測試大量憑證，因此找到相符組合的機率相對較高。
4. 進一步利用：一旦攻擊者使用重複使用的帳戶登入後，遭入侵帳戶就可能被用於多種方式加以利用。視遭入侵帳戶的類型而定，他們可能竊取敏感的私人資訊、財務資訊或付款資訊。對電子商務平台而言，他們可能進行未經授權的購買或轉帳。此外，駭客 會出售這些遭入侵帳戶的存取權，或直接利用它們發動進一步攻擊，例如網路釣魚、散布惡意軟體等，以及進行憑證填充嘗試。訂閱帳戶也可能被轉售用於訂閱服務，讓其他人可以利用這些帳戶免費使用付費內容。

如何回應憑證填充事件？

當偵測到憑證填充攻擊時，迅速且果斷的行動是限制損害並保護使用者帳戶的關鍵。

以下是有效回應的方法：

1. 鎖定遭入侵帳戶：在你確認帳戶已遭入侵後，第一個行動應是鎖定遭入侵的帳戶。務必讓受影響的使用者立即變更密碼。在使用者能夠證明身分並重設密碼之前，關閉帳戶存取權以防止進一步利用。
2. 監控異常活動：監控帳戶行為和登入活動的變化。識別警訊，例如登入嘗試激增、來自未知 IP 位址的存取，或可疑交易。使用自動化工具標記異常活動，以支援即時識別弱點。
3. 通知受影響的使用者：保持透明。即時聯繫所有受影響帳戶的使用者，並要求他們在其他曾使用相同密碼的地方一併變更所有密碼。建議使用者啟用 MFA，這將因多一層防護而防止進一步攻擊。
4. 實施安全強化措施：新增更多控制措施，以協助強化對攻擊的防禦。實施 IP 黑名單以封鎖已知惡意來源；CAPTCHA 挑戰以阻擋自動化機器人；以及整體安全監控改進。檢視登入流程並套用速率限制，以阻止大規模自動化攻擊。

如何偵測憑證填充嘗試？

及早偵測憑證填充嘗試，是限制其可能造成損害的關鍵方式，這需要結合進階技術工具、安全協定與警覺性的監控。

因此，組織可透過監控這些跡象並使用相關安全技術，來偵測並回應憑證填充嘗試。

偵測此類攻擊的一些關鍵方法包括：

• 登入失敗次數激增：憑證填充最明顯的指標，就是登入失敗嘗試突然激增。由於攻擊者會在多個帳戶間使用遭竊憑證，其中許多憑證將無法與現有使用者相符，甚至可能已過時，因而導致多次登入失敗。這也是最需要監控的一項，因為這通常表示某個自動化機器人正以非常快的速度大量嘗試使用者名稱與密碼組合。
• 異常的地理位置存取模式：憑證填充攻擊通常包含在極短時間內來自多個地理位置的登入嘗試。為了隱藏其活動，攻擊者可能使用分布於大量地區或國家的機器人。這會造成帳戶顯示來自多個位置的登入情況，而且通常是您不熟悉的位置。因此，請留意顯示這類地理異常的帳戶。
• 機器人使用量增加：這類攻擊通常是透過自動化機器人旨在於短時間內嘗試大量登入。偵測非人類活動對於發現這些攻擊至關重要。流量分析工具可識別機器人式行為，例如極快速的登入嘗試、不尋常的請求模式，或繞過 CAPTCHA 挑戰的活動。機器人偵測解決方案或行為分析可標記異常存取嘗試，讓系統管理員有充足時間採取緩解措施，並在帳戶遭入侵之前封鎖惡意活動。

憑證填充防護最佳實務

建議企業採取各種安全最佳實務，以強化帳戶保護並降低憑證填充弱點。這些措施旨在阻擋自動化登入嘗試、推動良好的密碼實務，並增加多層防禦。

以下是一些防止憑證填充攻擊的最佳實務：

1. 多重要素驗證 (MFA)：對抗憑證填充攻擊最有效的防禦措施是多重要素驗證 (MFA)。多重要素驗證增加了一層保護，因為除了密碼之外，還需要額外的驗證方式，例如輸入傳送到使用者手機的一次性代碼、生物特徵因素（如指紋辨識），或推播通知。即使攻擊者取得有效的登入憑證，若沒有第二個驗證因素，也無法存取任何帳戶。這使攻擊者更難入侵使用者帳戶。
2. 速率限制：這是一種可限制特定時間內來自單一 IP 位址或使用者的登入嘗試次數的技術。企業可藉由限制在極短時間內可進行的登入嘗試次數，大幅降低這些憑證填充攻擊的成效。速率限制會拖慢攻擊者，並使大規模測試憑證變得繁瑣且效率較低。
3. CAPTCHA 挑戰：防禦憑證填充攻擊最有效的方法之一，是在登入流程中加入 CAPTCHA 驗證。CAPTCHA 透過要求使用者解決簡單謎題並完成對人類容易、但對自動化系統困難的任務，用來區分人類與機器人。這可減少機器人以重複方式嘗試登入帳戶的行為，進而降低帳戶遭竄改的機會。當 CAPTCHA 搭配速率限制及其他機器人偵測技術時，效果會更加顯著。
4. 密碼強度原則：這對於防止以憑證填充為基礎的攻擊是必要的。組織必須制定政策，強制使用者建立難以猜測或破解的複雜密碼。例如，組織必須要求同時使用大寫與小寫字母、數字及特殊字元。組織也必須鼓勵經常變更密碼，以避免使用者在一系列帳戶中使用相同的密碼。或許將帳戶遭入侵風險降至最低的最佳單一做法，就是教育使用者建立強固且唯一的密碼。
5. 監控與異常偵測：必須持續監控登入嘗試與使用者行為，因為偵測與回應機制會即時對抗憑證填充攻擊。異常偵測系統也有助於標記可疑模式，例如透過相同 IP 位址進行大量異常登入嘗試，或單一帳戶出現多次登入失敗。有些組織會針對可疑活動使用警示，並通知使用者其帳戶已被鎖定，且在一段期間內需接受更高層級的驗證程序。

憑證填充攻擊：真實案例

在本節中，我們將探討真實世界中的憑證填充攻擊，以及攻擊者使用的方法、對受害者造成的影響，還有為強化安全措施而獲得的經驗教訓。其中最具代表性的案例之一，是 Nintendo 在 2020 年遭受重大憑證填充攻擊，這顯示了重複使用憑證所帶來的風險，以及強大安全實務的重要性。

• Nintendo：在 2020 年，Nintendo 經歷了最具破壞性的憑證填充攻擊之一，駭客利用已遭入侵的登入資料，並使用小眾犯罪軟體工具，在未經授權的情況下存取了數千個使用者帳戶。然而，實際遭入侵的帳戶約為 160,000 個，因為駭客利用了在其他資料外洩事件後已公開的使用者名稱與密碼清單。其中許多人對其 Nintendo Network ID 使用同一組登入資訊，因此攻擊者才能如此輕易地成功登入這些帳戶。
• Spotify： 在 2020 年，Spotify 遭遇了一次大規模的憑證填充攻擊，導致數百萬個帳戶遭到入侵。駭客利用先前資料外洩事件中洩露的使用者名稱和密碼，非法存取 Spotify 使用者的帳戶。這只是眾多憑證填充攻擊中的一起，在這類攻擊中，網路犯罪分子利用許多使用者常見的行為模式：在多個服務上重複使用相同密碼。一旦攻擊者取得外洩的憑證，他們便使用自動化工具和機器人大規模嘗試登入 Spotify 帳戶。大多數 Spotify 使用者重複使用其他已遭入侵服務的密碼，使其帳戶容易遭到接管。
• Deliveroo 困境：另一家食品外送巨頭 Deliveroo 也未能倖免於憑證填充攻擊。客戶帳戶中出現了可疑交易，多名使用者抱怨在全球多個地點出現了不熟悉的訂單。攻擊者正是利用這些憑證入侵不同的使用者帳戶，因為該平台尚未啟用多重要素驗證來保護使用者帳戶。攻擊者能夠如此輕易入侵客戶帳戶，導致財務損失，也造成對品牌信任的流失。正是在這類事件中，進一步提升這些管道上的安全措施之必要性才被揭示出來，其中包括雙因素驗證，以防止未經授權存取帳戶。
• Ticketfly 資料外洩事件：  2018 年，駭客在一次憑證填充攻擊後，取得了約 2,700 萬個 Ticketfly 帳戶的資料。他們利用其網站上的一項弱點，未經授權存取了數千個消費者與活動主辦單位的帳戶。  此次外洩事件使敏感資訊洩露給未經授權的人員，包括使用者名稱、電子郵件地址與雜湊密碼。Ticketfly 資料外洩事件凸顯出，企業需要定期檢視其安全措施、修補漏洞，並敦促使用者實踐良好的密碼衛生習慣。

結論

憑證填充是一種日益增長的網路威脅，企業需要主動防範，才能確保其營運、客戶資料與聲譽安全。由於大多數網路攻擊者現在都在使用來自各種資料外洩事件的遭竊登入憑證，企業面臨更高的帳戶接管、財務損失與營運中斷風險。好消息是，透過採用強大的安全實務與解決方案，這些風險可以大幅降低。

了解憑證填充攻擊的運作方式，以及如何部署 MFA、速率限制、CAPTCHA 挑戰和定期安全監控等防禦機制，有助於降低未經授權存取的可能性。只要有適當的技術作為後盾，企業就能始終領先網路犯罪分子一步，並確保其系統、帳戶與資料安全。