近期，CyberNews发布报告，详细披露了超过160亿条凭据泄露的信息。这些数据汇集自信息窃取恶意软件日志和历史数据泄露事件，为使用数字身份保护用户和服务的组织提供了重要参考。虽然这并非单一的数据泄露事件，但如此庞大的数据集被汇总且易于获取，显著扩大了威胁面。
此次泄露波及众多平台，其中包括与Apple、Google、Facebook、Microsoft等主要服务以及企业SaaS平台相关的凭据。这增加了攻击者在消费者和企业环境中成功接管账户的可能性。
真正的风险：大规模自动化
凭据泄露并非新问题。如今的不同之处在于，凭据滥用已形成产业化运作。信息窃取程序会悄无声息地从受感染的端点收集凭据，随后将其打包出售或批量公开。正如我们今年早些时候发布的内部研究所指出的，在F5客户的所有登录尝试中，近三分之一使用了泄露的凭据。其中许多来自合法用户，他们在不知情的情况下重复使用了已泄露的凭据，为账户接管（ATO）攻击埋下了隐患。
正是在这种情况下，自动化会放大威胁。机器人不会休息，也不会输错字符，还能以极高的精准度在数千个网站上测试数十亿个凭据。正如我们的《2025 年高级持续性机器人报告》所示，机器人流量目前已占所有Web和API流量的10%以上，而凭据填充和账户接管（ATO）是其中最常见的攻击流程之一。
为何此次泄露现在尤为重要
CyberNews的报告凸显了一个关键转变：滥用凭据的门槛已大幅降低。如今，已有160亿条凭据在流通，攻击者无需再攻破您的系统，只需找到匹配的凭据即可。随着住宅代理网络和机器人即服务平台的兴起，即使技术水平不高的攻击者也能发起成效显著的攻击活动。
这不仅是安全问题，更是业务风险。账户接管（ATO）会导致欺诈、客户流失、品牌受损和监管风险。限速或CAPTCHA等传统防御措施已不足以应对。
即使部署了多重身份验证（MFA），组织也无法完全避免此类风险。原因何在？攻击者仍会以登录页面为目标，以便：
- 在出售被盗凭据前验证其有效性。
- 通过向用户大量发送推送通知，发起MFA疲劳攻击。
- 利用密码重置或基于短信的恢复等回退流程。
- 收集行为数据，以优化未来的攻击。
简而言之，只要登录页面暴露在互联网上，就会面临机器人的攻击，而无论是否启用MFA，机器人都会发起攻击。我们在《F5 Labs身份威胁报告》中深入分析了各种绕过MFA的技术。
组织必须采取的措施
假定密码已泄露：如果仅依赖密码，应假定密码已经泄露。
增强现有的多重身份验证：虽然MFA可增强安全性，但更复杂的机器人仍可能绕过它。这些机器人不仅会攻击登录端点，还会混入合法流量，使检测更具挑战性。因此，区分良性机器人与恶意活动变得更加重要。
F5 Distributed Cloud Bot Defense采用专有的先进信号收集和混淆技术，并结合确定性机器人分类，无需依赖评分模型。威胁情报专家可扩展安全团队的能力，在不影响用户体验的情况下，实时检测并缓解凭据填充攻击。
F5 Distributed Cloud Bot Defense概述。
宣传教育并发出提醒：用户需要了解凭据重复使用的风险。组织应持续监控来自第三方的大规模泄露凭据数据集，或订阅汇总数据泄露信息的商业或开源威胁情报源。一旦发现用户凭据出现在数据泄露数据集中，应主动通知相关用户，并指导其重置密码。
协作与共享：跨行业共享威胁情报至关重要。越快识别并响应新出现的机器人活动模式，就越能有效保护整个生态系统
准备好采取行动了吗？
预约F5专家进行机器人管理评估。
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。