Ataque de Credential Stuffing

Cómo Funciona Ataque de Credential Stuffing

El credential stuffing se basa en la realidad de que los usuarios frecuentemente reutilizan las mismas credenciales en múltiples sitios. Los atacantes obtienen pares de usuario/contraseña filtrados de brechas de datos (ej., Collection #1-5, rockyou2021) y automatizan intentos de inicio de sesión en miles de sitios web objetivo. La escala del ataque va desde miles hasta millones de intentos por día usando botnets distribuidos para evadir la limitación de velocidad.

Ejemplos Reales

Impacto y Evaluación de Riesgo

El credential stuffing causa toma de control de cuentas, fraude financiero, brechas de datos y daño a la marca. Los ataques exitosos conducen a pérdidas financieras directas (compras no autorizadas, robo de tarjetas de regalo), costos indirectos (disputas por fraude, contracargos) y pérdida de confianza del cliente. Las organizaciones enfrentan sanciones regulatorias por controles de seguridad inadecuados bajo GDPR, CCPA y otras leyes de protección de datos. Las pérdidas por fraude de cuentas alcanzaron los $20,300 millones a nivel global en 2023, siendo el credential stuffing el vector de ataque principal.

Cómo Detectar Ataque de Credential Stuffing

Monitorear los logs de autenticación en busca de patrones que indiquen ataques automatizados: alto volumen de inicios de sesión desde una sola IP, inicios de sesión rápidos geográficamente imposibles, picos de relación de inicios de sesión fallidos a exitosos, e inicios de sesión simultáneos en múltiples cuentas. Rastrear huellas digitales de dispositivos únicos vs. acceso a cuentas. Alertar sobre intentos de inicio de sesión usando credenciales de listas de brechas conocidas. Analizar patrones de comportamiento del usuario: temporización consistente, ausencia de telemetría del navegador, encabezados idénticos entre solicitudes. Usar análisis de activación de CAPTCHA para identificar comportamiento de bots.

Cómo Prevenir Ataque de Credential Stuffing

Requerir autenticación multifactor (MFA) — esta es la defensa individual más efectiva, neutralizando el 99% de los intentos de credential stuffing. Implementar huellas digitales de dispositivos y biometría de comportamiento para detectar herramientas automatizadas. Desplegar limitación de velocidad inteligente (por IP, por cuenta, por dispositivo). Aplicar políticas de contraseñas únicas y verificar las nuevas contraseñas contra listas de brechas conocidas usando servicios como HaveIBeenPwned. Usar un WAF con detección de bots para identificar herramientas de credential stuffing. Implementar autenticación progresiva: requerir verificación adicional para patrones de inicio de sesión inusuales, dispositivos nuevos o acciones de alto riesgo. Educar regularmente a los usuarios sobre la reutilización de contraseñas y la importancia de contraseñas únicas por servicio.

Ejemplos de Código

import requests
from typing import Optional

def check_password_breach(email: str, password: str) -> Optional[dict]:
    """Check if credentials appear in known breaches via HaveIBeenPwned API"""
    api_url = 'https://haveibeenpwned.com/api/v3/breachedaccount'
    
    try:
        # Check email for breaches (returns list of breaches if found)
        response = requests.get(
            f'{api_url}/{email}',
            headers={'User-Agent': 'YourApp/1.0'},
            timeout=5
        )
        
        if response.status_code == 200:
            breaches = response.json()
            return {
                'found': True,
                'breach_count': len(breaches),
                'message': 'Email found in known breaches'
            }
        
        return {'found': False}
        
    except requests.RequestException:
        return {'found': False}

# Usage in registration flow
if check_password_breach(user_email, user_password)['found']:
    raise ValueError('Email has been compromised in past breaches. Please use a different email.')

const jwt = require('jsonwebtoken');
const speakeasy = require('speakeasy');

async function handleLogin(email, password, ipAddress) {
  // Step 1: Check credentials
  const user = await User.findOne({ email });
  if (!user || !await user.verifyPassword(password)) {
    await logFailedAttempt(email, ipAddress);
    throw new Error('Invalid credentials');
  }

  // Step 2: Check for suspicious activity
  const recentAttempts = await getRecentLoginAttempts(user.id);
  if (recentAttempts.length > 3) {
    // Require MFA for suspicious logins
    if (!user.mfaEnabled) {
      return {
        status: 'mfa_required',
        message: 'Suspicious activity detected. Please enable 2FA.',
        forceSetup: true
      };
    }
  }

  // Step 3: MFA verification (if enabled)
  if (user.mfaEnabled) {
    return {
      status: 'mfa_required',
      userId: user.id,
      message: 'Enter your 2FA code'
    };
  }

  // Step 4: Successful login - issue JWT
  await resetFailedAttempts(email);
  const token = jwt.sign(
    { userId: user.id, email: user.email },
    process.env.JWT_SECRET,
    { expiresIn: '1h' }
  );
  
  return { status: 'success', token, user: safeUser(user) };
}

Preguntas Frecuentes

Ataques Relacionados