亞太企業每年因撞庫攻擊遭受高達2850萬美元的損失
阿卡邁（Akamai）與波耐蒙研究所（Ponemon Institute）於今天共同宣佈了一項針對亞太地區的研究結果，有助於地區內的企業機構量化防禦、檢測和彌補撞庫攻擊（credential stuffing attacks）所導致的潛在損失。本次研究所調查的公司預計因遭受撞庫攻擊而導致的損失範圍為284,649美元（假設1%的被盜賬戶造成貨幣損失）至2850萬美元（假設100%的被盜賬戶造成貨幣損失）。
由Akamai發起、Ponemon開展的主題為“亞太地區撞庫造成的損失”（The Cost of Credential Stuffing: Asia Pacific）的研究對538名IT安全從業人員進行了調查，這些被調查人員熟知各個行業的撞庫攻擊，其中包括金融服務、零售和電子商務、旅遊和酒店、媒體、娛樂和遊戲等行業。他們表示撞庫攻擊會造成代價高昂的應用程式宕機、客戶流失以及IT安全投入，而這三項每年所招致的平均成本分別為120萬美元、150萬美元以及110萬美元。
撞庫（credential stuffing）通常是指欺詐者從暗網購買被盜憑據列表（credentials），例如使用者ID和密碼，然後使用殭屍網路在企業機構的登入頁面驗證這些憑據。通常，此類攻擊的最終結果是導致賬戶被盜（account takeover），然後欺詐者利用被盜的已經驗證的憑據來實施欺詐。此種犯罪型別的主要目的通常是進行欺詐性購買、參與欺詐性金融交易及盜取其他機密資訊。
本次研究調查的主要發現包括：
- 應用程式和企業所面臨的挑戰
更為全面的戰略有助於減少雲端的撞庫攻擊：51%的被調查者認為，將應用程式遷移至雲端會增加撞庫帶來的風險。就安全性的許多方面而言，企業機構制定更為全面的雲戰略有助於提升安全團隊在不同的計算平臺上保護日益增多的應用程式（以及支援不同型別客戶端的端點）的能力。
- 防禦、檢測並補救撞庫攻擊的能力
企業機構在應對撞庫攻擊時總是舉步維艱：41%的被調查者表示他們對撞庫攻擊的瞭解不到位。37%的被調查者認為他們未能快速檢測針對其網站的撞庫攻擊並加以補救。
- 撞庫攻擊的巨量化
攻擊會影響大量的使用者賬戶：被調查者表示，一般情況下，每個撞庫攻擊平均會針對954個使用者賬戶。
- 撞庫攻擊造成的後果和損失
企業機構缺乏足夠的預算來解決問題：僅有37%的被調查者認為其公司具備足夠的安全預算來防禦和/或牽制撞庫攻擊。其中有20%的被調查者在此問題上表示不確定，而43%的被調查者表示不同意或強烈反對。
2016年Yahoo公司的資料洩露事件是撞庫威脅嚴重程度的有力佐證。有總計約15億的憑據資料經Yahoo公司洩露並在網際網路上流出，而這類憑據是通過安全性較為薄弱的MD5雜湊演算法（MD5 hashing algorithm）進行保護。這些盜竊事件發生在2012年和2013年，讓犯罪分子有最長4年的時間來衝破薄弱的防禦機制。
報告下載：
ofollow,noindex">https://www.akamai.com/cn/zh/multimedia/documents/white-paper/the-cost-of-credential-stuffing-asia-pacific.pdf