Credential Stuffing
Definition
Credential Stuffing spielt Benutzernamen und Passwörter aus anderen Leaks gegen Ihre Anmeldung ab.
Auch genannt: credential-stuffing, Zugangsdaten-Stuffing, Passwort-Wiederverwendung
Zuletzt aktualisiert
Warum es für WordPress wichtig ist
Menschen verwenden Passwörter wieder. Wenn eine andere Website eine Liste verliert, probieren Angreifer dieselben Paare bei WordPress. Sie raten nicht Buchstabe für Buchstabe. Sie prüfen, ob Ihre Benutzer ein Passwort aus einem Leak-Dump recycelt haben.
So zeigt es sich in der Praxis
- Fehlgeschlagene Anmeldungen mit vielen verschiedenen Benutzernamen, jeder nur wenige Male probiert
- Erfolgreiche Anmeldungen, die ruhig wirken (wenige Fehlversuche), wenn das gestopfte Passwort stimmte
- Treffer über Residential-Proxys oder rotierende IPs, die einfache Sperren umgehen
- Geteilte Agentur-Logins, die auch in fremden Leak-Listen auftauchen
Was Sie tun sollten
- Verwenden Sie das WordPress-Admin-Passwort nirgendwo sonst.
- Verlangen Sie 2FA für privilegierte Rollen.
- Erzwingen Sie ein neues Passwort, wenn Sie ein geleaktes Konto vermuten.
- Begrenzen Sie Anmeldungen und prüfen Sie ungewöhnliche Erfolgsorte.
- Behandeln Sie unauffällige Benutzernamen als kleine Bremse, nicht als Hauptkontrolle.
In WP Security Ninja
Der Pro-Anmeldeschutz bremst wiederholte Fehlversuche, und 2FA heißt: ein gestopftes Passwort braucht für privilegierte Rollen noch einen zweiten Faktor. Das Ereignisprotokoll speichert Erfolge und Fehlversuche, damit eine stille Übernahme im Nachhinein leichter auffällt.
Weiterlesen
Brauchen Sie den ganzen Ablauf?
Diese Seite bleibt absichtlich kurz. Die Anleitung (EN) beschreibt Schritte, Beispiele und was Sie auf einer laufenden WordPress-Website prüfen.
Anleitung öffnen (EN)Verwandte Begriffe
Ideas cercanas en el diccionario
- Brute Force Ein Brute-Force-Angriff probiert viele Passwörter oder Tokens, bis eines funktioniert, meist gegen das Anmeldeformular.
- Zwei-Faktor-Authentifizierung (2FA) Zwei-Faktor-Authentifizierung (2FA) verlangt nach dem Passwort einen zweiten Identitätsnachweis, etwa einen App-Code.
- Phishing Phishing bringt Menschen dazu, Zugangsdaten herauszugeben oder Malware zu installieren, indem ein vertrauenswürdiger Absender vorgetäuscht wird.
- Account-Übernahme Account-Übernahme heißt: ein Angreifer kontrolliert ein echtes Benutzerkonto und kann als dieser Benutzer handeln.
