تصاحب حساب کاربری (ATO) چیست و کپچا چگونه با آن مقابله می‌کند؟

تصاحب حساب کاربری (ATO) چیست؟

تصاحب حساب (ATO) نوعی تهدید است که در آن هکرها اقدام به دسترسی به حساب های آنلاین می‌نمایند. این حمله از طریق بات‌ها و با استفاده از دو تکنیک credential stuffing و credential cracking انجام می‌گیرد. و منجر به نشت داده ها و به خطر افتادن اطلاعات شخصی مشتریان می‌شود.

با انتخاب گذرواژه قوی و یکتا برای هر حساب در صورتیکه یکی از حساب های شما مورد حمله قرار گرفت، سایر حساب ها تحت تاثیر قرار نمی‌گیرند. طبق آمار، 52 درصد از کاربران اینترنت از گذرواژه های یکسان برای چندین حساب استفاده می‌کنند. 13 درصد، نیز برای تمامی حساب های خود از یک گذرواژه استفاده می‌کنند. در ضمن بعضی از کاربران بسیاری از فعالیت های پیشگیرانه امنیتی از جمله استفاده از مرورگر به روز را رعایت نمی‌کنند که آنها را بیشتر در معرض اینگونه حملات قرار می‌دهد.

حمله تصاحب حساب چگونه کار می کند؟

روش های هکرها برای اجرای این نوع حمله ها متفاوت است. اما تقریبا همه آنها یک نقطه مشترک دارند؛ استفاده از بات‌ها به منظور خودکارسازی فرایندها.

معمولا بات‌های مخرب جهت دسترسی به حساب ها، نقاط خاصی هدف قرار می‌دهند. این نقاط شامل فرم های Login، سبد پرداخت و پرداخت ها هستند. درباره مبحث خود هوشیار باشید، و هر چیز غیر معمولی که می‌بینید را یک حمله تلقی کنید.

تکنیک های Credential stuffing و credential cracking

Credential stuffing یا OAT-008 و credential cracking یا OAT-007 دو نوع تهدیدی هستند که هکرها، اقدام به حمله به اطلاعات شما می‌نمایند. و باعث می‌شود که شخصی اطلاعات شما، به خصوص نام کاربری و گذرواژه، را در اختیار بگیرد.

هکرها از بات‌ها به این دلیل استفاده می‌کنند که فرآیند پر کردن و تلاش برای ورود به سیستم، به صورت دستی بسیار کند صورت می‌گیرد. و از نظر زمانی اصلا مناسب و مثمر ثمر نیست. اغلب در این روش ها، به وبسایت یا برنامه، تعداد درخواست های بالایی ارسال می‌گردد.

برای در نظر گرفتن تعداد درخواست های بالا، حمله با تکنیک credential stuffing به DataDome را در نظر بگیرید. هکرها در بازه زمانی دو روزه 5.7 میلیون درخواست را با استفاده از 250 هزار آدرس IP در 8 هزار سیستم خود مختار و 215 کشور به وبسایت ارسال کردند.

در ضمن باید به این نکته اشاره کرد که 30 درصد از ربات های مخرب، جهت شناسایی نشدن، به طور مداوم IP های خود را تغییر می‌دهند. به هر حال ظاهرا با پیشرفت امنیت، راهکارهای هکرها نیز پیشرفت کرده است. هکرها از نرم افزار بسیار پیچیده ای استفاده می کنند. که می‌تواند در session های کاربر پنهان شود، مانند مرورگرها به نظر برسد و رفتار انسان را تقلید کند. راه حل های امنیت سایبری که در تشخیص بات‌ها تخصص ندارند، در برابر پیشرفته ترین بات‌های امروزی شانس کمی دارند.

تفاوت Credential Hacking و Credential Stuffing

حمله Credential Cracking زمانی اتفاق می افتد که یک هکر شما یا شرکت شما را به طور خاص هدف قرار داده است. آنها از منابع مختلف برای تشخیص گذرواژه و دسترسی به حساب شما استفاده می‌کنند. از طرفی Credential Stuffing، زمان اتفاق می‌افتد که هکر به دنبال هدف بزرگتر و سرقت اطلاعات پایگاه داده یک وبسایت و یا برنامه است. که با فروش آن در Dark Web و یا با تطبیق سازی نام کاربری و گذرواژه ها برای سایر حساب ها در صورتی که از گذرواژه یکتا استفاده شده باشد، اقدام به تصاحب سایر حساب ها نماید. برای مثال، نام کاربری و گذرواژه قربانی در PayPal، همان گذرواژه ای است که در Amazon استفاده می کند. در این صورت از این اطلاعات می‌توانند برای سرقت پول و حتی دسترسی به سایر اطلاعات استفاده کنند.

شبکه های اجتماعی و ATO

فقط شبکه های اجتماعی در معرض حملات تصاحب حساب یا ATO نیستند. بلکه هر برنامه یا وبسایتی که امکان ایجاد حساب کاربری در آن وجود دارد، هدف این نوع حمله است. که در صورتی که جزئیات حساب بانکی و یا کارت های اعتباری را ذخیره کند، بیشتر مورد توجه نفوذ گران است.

یکی از راه هایی که می‌توان امنیت سایت را افزایش داد، استفاده از کپچا است. طبق آمار، روزانه حدود 200 میلیون آزمایش کپچا بصورت آنلاین انجام می شود. برای افزایش امنیت سایت خود باید از سرویس کپچای فارسی استفاده کنید. مزیت های استفاده از کپچا زیاد هستند. حفظ درستی نظرسنجی ها، جلوگیری از حملات brute force، جلوگیری از ثبت نام مکرر هکرها در یک سرویس، متوقف کردن جنایتکاران اینترنتی از ارسال هرزنامه و جلوگیری از خرید انبوه بلیط های نمایش توسط هکرها تعدادی از مزیت های استفاده از کپچا هستند.

در ادامه درباره حملات تصاحب کاربری و نقش کپچا، اطلاعاتی را ارائه خواهیم داد.

arcaptcha، سرویس کپچای ایرانی است که برای محافظت از سایت شما در برابر بات‌ها با ابزاری قدرتمند، آماده به کار است.

چرا حمله تصاحب حساب کاربری، تهدیدی مهم است؟

نرخ حملات ATO و پس از ظهور ویروس Covid-19، رشدی عجیب داشته است. میزان رشد این حملات، 378 درصد ارزیابی می‌شود.

اما اگر به دنبال دلیلی برای اهمیت اینگونه حملات هستید باید اضافه کرد که تجارت الکترونیک به سرعت در حال رشد است و اینکه تعداد حساب های تصاحب شده در اینترنت زیاد است.

اهمیت فزاینده تجارت الکترونیک بر کسی پوشیده نیست. در اهمیت این موضوع باید اضافه کرد که، فروش جهانی تجارت الکترونیکی در سال 2020 بیش از 4 تریلیون دلار بوده است. که پیش بینی می شود تا پایان سال 2021 به بیش از 5 تریلیون دلار برسد. با توجه به این آمار بالا در حوزه تجارت الکترونیک، واضح است که هکرها و نفوذ گران برای تصاحب حساب ها سرازیر شوند.

و اما در رابطه با مورد دوم، تحقیقات نشان می‌دهد که داده های بیش از 15 میلیارد حساب در بازارهای مجرمان اینترنتی وجود دارد، که نشان از رشد 300 درصدی نسبت به سال 2018 داشته است.

با توجه به این آمارهای سرسام آور و عجیب، امنیت سایت، اهمیت بیشتری پیدا می‌کند.

کپچا راه حل مبارزه با حملات تصاحب حساب

در تعریف و شیوه کار این نوع حملات بیان گردید که، این حملات به ارسال درخواست های زیاد به سرور وابسته هستند. و چون هر درخواست توسط آدرس IP انجام می‌شود، جهت جلوگیری از حملات تصاحب حساب و تشخیص بات‌ها، بعد از احراز تعداد محدود تلاش های ناموفق ورود به سیستم از سوی یک آدرس IP،  اقدام به نمایش کپچا برای هر کاربری که قصد ورود به سیستم داشته باشد انجام می‌گیرد. معمولا حل مسئله های ارائه شد در کپچا یا یافتن جواب گنجانده شده در کد امنیتی برای ربات ها مشکل است و نتیجه آن شکست حمله است. در ضمن کپچا های جدیدی که مبتنی بر هوش مصنوعی هستند، پیشرفته تر هستند و چالش های به نسبت سخت تری را جهت تشخیص بات‌ها ارائه می‌دهند. از جمله سرویس ­هایی که آرکپچا ارائه می­دهد، تنظیم درجه سختی چالش­ ها می­باشد.