// Glossario IT
Credential Stuffing
Un attacco automatizzato che prova coppie di username e password rubate da altri servizi su un sito diverso.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
Il credential stuffing sfrutta il fatto che molte persone riusano la stessa password su più servizi: un attaccante prende elenchi di credenziali rubate da un data breach avvenuto su un sito e le prova automaticamente su altri servizi, sperando che una parte degli utenti abbia riusato la stessa combinazione di username e password.
Perché conta
È diventato uno degli attacchi più efficaci ed economici da eseguire su larga scala, proprio perché non richiede di indovinare nulla: sfrutta solo la scarsa igiene nella gestione delle password degli utenti. L'MFA e strumenti che rilevano pattern di accesso anomali (molti tentativi di login falliti da posizioni geografiche insolite) sono le contromisure più efficaci contro questo tipo di attacco.
In pratica
Le contromisure più efficaci sono l'autenticazione a più fattori, i limiti ai tentativi di accesso con blocco temporaneo, il rilevamento di login da posizioni o dispositivi anomali e il controllo delle nuove password contro elenchi di credenziali già compromesse. Per gli utenti, un password manager elimina il riuso delle password. Riferimento: OWASP, Credential stuffing.