密码列表攻击
密码列表攻击是一种网络攻击。攻击者使用预先整理的ID和密码列表，尝试未经授权访问企业或组织的网站。这些ID和密码通常是利用其他网站的漏洞获取的。这种方法也称为“账户列表攻击”或“基于列表的账户入侵”。
攻击者通常从安全防护薄弱的网站或系统中获取这些账号密码列表。例如，攻击者使用窃取的凭据访问电子商务账户后，可能会窃取个人信息或滥用其中存储的信用卡信息。密码列表攻击的受害者可能因未经授权的提款或欺诈交易而遭受经济损失。
密码列表攻击的成因
- 重复使用ID和密码：许多用户在多个服务中重复使用相同的凭据，使攻击者更容易攻破多个账户。
- 网络钓鱼攻击：攻击者可能通过网络钓鱼获取凭据列表，诱骗用户在看似可信的虚假网站上输入凭据。
与其他网络攻击的区别
密码列表攻击经常与以下攻击类型混淆：
- 暴力破解攻击：通过尝试所有可能的组合，系统地猜测密码。
- 字典攻击：使用预定义的常用密码或单词组合库，例如姓名或短语。
- 密码喷洒攻击：使用同一个密码同时尝试登录多个账户，以规避账户锁定机制。
密码列表攻击尤其难以检测，因为与暴力破解攻击相比，此类攻击针对每个账户的登录尝试次数更少。
真实事件示例
- 二维码支付系统：2019年7月，日本的“7pay”二维码支付服务因遭到未经授权的访问而蒙受经济损失，疑似涉及密码列表攻击，最终导致该服务关闭。
- 银行存款：2020年9月，不法分子利用窃取的凭据，通过NTT Docomo的“Docomo Account”服务从银行账户中非法提款。
密码列表攻击的影响
- 未经授权的提款和支付欺诈：凭据被盗可能导致银行账户遭到未经授权的访问或信用卡被滥用。
- 数据泄露：受害者的敏感个人信息或企业信息可能遭到泄露。
- 社交媒体冒充：未经授权访问社交媒体账户后，攻击者可能通过发布虚假帖子或消息损害受害者的声誉。
- 服务提供商的法律责任：企业可能因安全措施不完善而承担民事和刑事责任，并为控制损失付出高昂成本。
- 公众信任受损：安全事件可能损害公司声誉，并降低用户对其服务的信任。
防范密码列表攻击
个人和组织都必须采取相应策略，防范此类攻击：
- 避免重复使用凭据：用户应为每项服务使用不同的用户ID和密码，服务提供商则应向用户说明这一做法。
- 使用WAF监控登录尝试：利用Web应用防火墙（WAF）检测可疑登录活动，例如来自同一IP的多次尝试或来自异常位置的尝试。
- 实施双重身份验证（2FA）：增加额外的身份验证步骤（例如通过电子邮件发送一次性密码），有助于在凭据泄露的情况下防止未经授权的访问。
