OpenBullet ist ein Werkzeug, das wiederholte Anmeldeprüfungen gegen Websites automatisiert und oft für gestohlene Zugangsdaten missbraucht wird.
Konfigurationen beschreiben, wie die Anmeldung einer Seite antwortet, und Täter richten diese Prüfungen auf Paare aus Nutzername und Passwort, die aus anderen Vorfällen stammen.
So funktioniert es
Der Schaden ist die Kontoubernahme und ausgesperrte Kunden, wenn ein woanders wiederverwendetes Passwort bei Ihnen noch gilt.
Verteidigende sehen Wellen von Anmeldeversuchen in mechanischem Takt, die selten gelingen und sich dann Passwortrücksetzungen oder Zahlungsänderungen zuwenden.
Diese Seite benennt das Werkzeug und den Missbrauch und erklärt nicht, wie man eine Konfiguration schreibt oder wie man Listen von Zugangsdaten beschafft.
Brauchbare Abwehr nimmt an, das Passwort könne anderswo schon bekannt sein, und lässt eine zweite, gegen Betrugsnachrichten widerstehende Prüfung und eine Mengengrenze die Last tragen.
Konkrete Beispiele
- Ein Shop sieht Tausende Anmeldeversuche je Minute, die scheitern, und dann eine Handvoll Erfolge bei Konten, die ein bereits bekannt gewordenes Passwort wiederverwendeten.
- Erfolgreiche Anmeldungen aus der Welle ändern sofort die Auszahlungspost, bevor die echte Kundin es merkt.
- Die Anmeldeprotokolle zeigen in derselben Stunde dasselbe Clientmerkmal über viele Adressen, zuerst Fehlschläge und danach wenige Erfolge.
Schutzmaßnahmen
- Begrenzen und prüfen Sie Anmeldeversuche, die in Masse scheitern, ohne die genauen Schwellen zu veröffentlichen, mit denen Angreifende rechnen sollen.
- Verlangen Sie eine zweite Prüfung, die nicht allein von einem Passwort abhängt, das bereits öffentlich sein kann.
- Benachrichtigen Sie Kunden über eine neue Anmeldung und lassen Sie sie die Sitzung von einem vertrauten Gerät widerrufen.
- Achten Sie auf eine erfolgreiche Anmeldung, der sofort eine Änderung von Auszahlung, Postfach oder Passwort folgt.
Wie CDPCaptcha hilft
Proof of Work erhöht die Kosten automatischer Kontoprüfungen, weil jeder wiederholte Anmeldeversuch zuerst Rechenarbeit leisten muss, bevor er weiterläuft.
CDPCaptcha ist eine selbst gehostete Proof-of-Work-Prüfung im Browser, ohne Cookies, ohne Tracking und ohne Bilderrätsel.
Entwickelt und gehostet in der EU, in Deutschland, wird der Dienst unter https://cdpcaptcha.com/ beschrieben.