網路攻擊與防禦實務
某個Web服務遭到來自許多不同IP位址、各自使用不同使用者帳號與密碼組合的大量登入嘗試，其中一部分成功了。被嘗試的組合，大多與從其他服務外洩的組合一致。這種攻擊的名稱是下列何者？
- A密碼噴灑攻擊（把少數常用密碼依序嘗試在許多帳號上的攻擊）
- B撞庫攻擊（credential stuffing）
- C暴力破解攻擊（對一個帳號依序嘗試所有可能字元組合的攻擊）
查看答案與解析
正確答案：B. 撞庫攻擊（credential stuffing）
撞庫攻擊是使用從其他服務外洩的帳號與密碼組合，嘗試登入另一個服務的攻擊，在多個服務重複使用相同密碼的使用者會受害。由於對每個帳號的嘗試次數少，以每個帳號的失敗次數鎖定的對策難以防範，來源IP位址也很分散。對策是請使用者使用多因素驗證、拒絕註冊已知外洩的密碼，以及監控登入成功與失敗的趨勢和自動化存取的特徵。
- A. 密碼噴灑攻擊是把少數常用密碼嘗試在許多帳號上，並不是直接使用外洩的組合。
- B. 正確。是瞄準密碼重複使用、嘗試外洩之帳號與密碼組合的攻擊。
- C. 暴力破解攻擊是對一個帳號嘗試所有組合，並不使用外洩的組合。