Credential stuffing

Qué es el credential stuffing

El credential stuffing es la prueba automatizada de combinaciones de usuario y contraseña que ya fueron filtradas en otro servicio, contra los accesos de un servicio distinto, hasta encontrar las que funcionan.

La premisa que lo sostiene es de comportamiento, no técnica: mucha gente reutiliza la misma contraseña en varios sitios. El atacante no necesita romper nada. Necesita una lista y paciencia.

El detalle que cambia todo el análisis es este: las credenciales que se prueban son válidas en algún lado. Eso separa a este ataque de cualquier intento de adivinación y define cómo se detecta.

No es fuerza bruta, y la diferencia decide la detección

Los dos ataques se ven parecidos en un tablero y se comportan al revés. Confundirlos es la razón más frecuente por la que un equipo cree estar cubierto y no lo está.

• Fuerza bruta — el atacante no sabe la contraseña y la busca. Muchos intentos contra la misma cuenta, tasa de acierto muy baja. Deja un rastro evidente: una cuenta con decenas de fallos seguidos.
• Credential stuffing — el atacante ya tiene la contraseña y busca dónde funciona. Uno o dos intentos por cuenta, repartidos sobre cientos de miles de cuentas distintas, con una tasa de acierto comparativamente alta.

De ahí sale la consecuencia práctica. Un bloqueo tras cinco intentos fallidos por cuenta es un control diseñado contra la fuerza bruta. Ante un ataque que hace un intento por cuenta, ese umbral no se alcanza nunca, en ninguna cuenta, y el tablero de seguridad no muestra nada raro.

La señal existe, pero no está donde se la está buscando. No aparece en una cuenta: aparece en el agregado. Un volumen de intentos de acceso muy por encima de lo normal, con una proporción de fallos también anómala, distribuido sobre cuentas que no tienen relación entre sí. Mirando cuenta por cuenta, es invisible. Mirando el total de la hora, salta.

Cómo corre el ataque, paso a paso

La secuencia está industrializada y casi ninguno de sus pasos requiere habilidad técnica particular.

1. Conseguir la lista. Combinaciones de correo y contraseña provenientes de filtraciones acumuladas de otros servicios. Circulan agregadas, consolidadas y ordenadas, y las más grandes son recopilaciones de muchas filtraciones anteriores.
2. Elegir el objetivo y estudiar su acceso. Cómo responde el formulario, si distingue entre usuario inexistente y contraseña incorrecta, qué mensajes devuelve. Esa diferencia de respuestas es información que el atacante usa.
3. Distribuir el origen. Proxies residenciales, rotación de direcciones, variación de huella del navegador y del cliente. El objetivo es que ningún origen concentre suficientes intentos como para llamar la atención.
4. Probar una o dos combinaciones por cuenta. Nunca más. El límite es deliberado: mantiene cada cuenta por debajo de cualquier umbral de bloqueo.
5. Separar las que funcionan. El resultado es una lista corta de credenciales confirmadas en ese servicio, mucho más valiosa que la lista original.
6. Usarlas o venderlas. El uso directo es un account takeover. La venta traslada la explotación a otro actor, a veces meses después, lo que separa el ataque de su consecuencia y complica la investigación.

El paso 4 es el que vuelve inútil al control estándar. Todo lo demás es escala.

Dónde aparece en un recorrido de identidad

El credential stuffing golpea el acceso, no el alta. Aparece donde hay una contraseña que validar.

• Login de usuarios existentes — el objetivo directo, y la ruta hacia un account takeover.
• Recuperación de acceso — los mismos datos filtrados alimentan las respuestas de seguridad y los datos de contacto que un flujo de recuperación pide.
• Interfaces de acceso menos vigiladas — aplicaciones antiguas y puntos de entrada que quedaron fuera de las reglas del canal principal.

Ninguno de estos momentos involucra verificación de identidad. El credential stuffing no ataca la comprobación de quién es una persona: ataca lo que la organización aceptó como sustituto de esa comprobación.

El servicio atacado nunca fue vulnerado

Vale la pena decirlo explícito porque cambia la conversación interna después de un incidente: cuando el credential stuffing tiene éxito, el sistema atacado no tuvo ninguna falla de seguridad. No hubo intrusión, no hubo vulnerabilidad explotada y no hubo fuga de datos propia.

Lo que ocurrió es que una persona usó su contraseña en dos lugares y uno de los dos fue comprometido. El servicio que recibe el ataque hereda el riesgo de un servicio con el que no tiene relación.

Eso tiene dos consecuencias. La primera es que endurecer la política de contraseñas propia, exigiendo más caracteres o rotación periódica, no cubre este ataque: la contraseña filtrada ya cumple esa política. La segunda es que el único control que ataca la causa es dejar de depender de un secreto que la persona puede reutilizar.

A quién afecta y qué cuesta

El ataque se dirige a cualquier servicio con acceso por usuario y contraseña, y el valor del objetivo define si el atacante lo prueba.

• Retail y comercio electrónico — cuentas con medios de pago guardados y con programas de puntos, que son los objetivos más frecuentes porque el saldo casi nunca se mira.
• Apuestas y gaming — cuentas con fondos y con verificación de identidad ya realizada, lo que las vuelve reutilizables para otros fraudes.
• Servicios financieros — menos expuestos al acceso directo por tener doble factor, pero igualmente afectados por el costo de la avalancha de intentos.
• Servicios de suscripción y contenido — reventa de accesos, que es un fraude de bajo valor unitario y volumen alto.

Hay un costo que aparece antes que cualquier fraude y que suele ser el primero en notarse: la infraestructura. Un ataque de esta forma genera un pico de intentos de acceso que degrada el rendimiento, dispara alertas, satura registros y a veces afecta a usuarios legítimos por medidas de contención aplicadas de urgencia.

Qué controles lo detienen

La defensa se reparte entre la capa de red, la capa de acceso y el diseño de la credencial. Los tres tramos se compran en lugares distintos.

• Limitación de tasa por origen y por grupo de origen — no por cuenta, que es donde el ataque se esconde. Se implementa en el borde, en la red de distribución de contenido o en el cortafuegos de aplicación. No lo provee un proveedor de identidad.
• Gestión de bots — análisis de huella del cliente, detección de automatización y desafíos progresivos. Es una categoría de producto propia, con fabricantes especializados.
• Detección de anomalías en el agregado — vigilar la proporción de accesos exitosos sobre el total y la curva de intentos por hora, en lugar de mirar cuenta por cuenta. Es el control que hace visible lo que el umbral no ve, y muchas veces es trabajo de analítica interna, no de un producto comprado.
• Contraste contra corpus de credenciales filtradas — rechazar en el registro y en el cambio de contraseña cualquier clave que figure en filtraciones conocidas. Existen servicios públicos y comerciales que exponen ese contraste sin recibir la contraseña en claro. Es la medida de mejor relación entre costo y efecto, y no la vende un proveedor de biometría.
• Respuestas uniformes en el formulario de acceso — que el sistema no distinga entre usuario inexistente y contraseña incorrecta, ni en el mensaje ni en el tiempo de respuesta. Le quita al atacante la información del paso 2.
• Segundo factor no dictable — convierte una credencial válida en insuficiente. Un factor que la persona puede leer y dictar sigue siendo vulnerable al phishing, pero contra credential stuffing cualquier segundo factor ya es una barrera real, porque el ataque es automatizado y no tiene a nadie a quien pedirle el código.
• Señales de dispositivo y de sesión — dispositivo nunca visto, geolocalización incoherente, secuencia de navegación imposible para una persona.
• Escalamiento en la operación sensible — volver a pedir presencia en el momento de la transferencia o del canje, no solo en el acceso.
• Eliminar la contraseña — un acceso sin contraseña no tiene nada que rellenar. Es el único control que ataca la causa en lugar de la consecuencia.

Los dos controles de mayor efecto inmediato, la limitación de tasa en el borde y la gestión de bots, se compran a fabricantes de infraestructura y de seguridad web. Un equipo que espere resolver credential stuffing con su proveedor de identidad va a cubrir el tramo posterior al acceso, no el pico de tráfico que lo precede.

Cómo lo aborda VU

VU trabaja sobre la credencial y sobre lo que ocurre después del acceso. La capa de red la cubre otro tipo de fabricante.

Autentica soporta autenticación sin contraseña con siete factores disponibles: rostro, TOTP, OTP por SMS, OTP por correo, enlace mágico, contraseña y documento de identidad. Un acceso que no usa contraseña deja sin objeto a una lista de contraseñas filtradas, que es la definición del ataque.

Donde la contraseña se mantiene, el segundo factor es lo que impide que una credencial válida alcance. Contra un ataque automatizado, incluso los factores más débiles frente al phishing funcionan, porque no hay una persona del otro lado a quien pedirle el código.

Protege contra el fraude evalúa señales de riesgo sobre el dispositivo y la sesión, que es lo que separa un acceso con credenciales correctas hecho por su titular de uno hecho por quien las compró.