Cloudflare: хакеры знают почти 50% паролей, введенных в Интернете

Онлайн-доступ к личным данным начинается с простого шага — ввода пароля. Однако использование одного и того же пароля для нескольких сервисов остаётся распространённой ошибкой, создающей серьёзные риски. Анализ Cloudflare показал, что 41% успешных входов на сайты (с защитными механизмами Cloudflare) были выполнены с украденными паролями, что указывает на масштабную проблему повторного использования учётных данных.

С сентября по ноябрь 2024 года специалисты анализировали трафик пользователей и ботов, а также влияние утечек данных на CMS-системы. Оказалось, что утечки затрагивают не только обычных пользователей, но и популярные платформы вроде WordPress, Joomla и Drupal. В частности, 76% попыток входа с утекшими паролями на сайтах WordPress были успешными, причём почти половина входов осуществлена ботами.

Боты играют ключевую роль в автоматизированных атаках, известных как credential stuffing. Боты систематически проверяют сотни тысяч комбинаций логинов и паролей, используя утёкшие данные из баз, подобных Have I Been Pwned. По данным Cloudflare, 95% всех попыток входа с утекшими паролями осуществляются ботами. Это подтверждает, что автоматизированные атаки продолжают оставаться серьёзной угрозой.

(Cloudflare)

CMS-системы особенно уязвимы к таким атакам, поскольку используют стандартные механизмы аутентификации, часто без надлежащей защиты. В результате, даже минимальные меры предосторожности, такие как многофакторная аутентификация (MFA) или ограничение количества попыток входа, могли бы значительно снизить риск взлома. Однако статистика показывает, что только 5% попыток входа с утекшими паролями были заблокированы, что свидетельствует о недостаточной защите.

Несмотря на широкую осведомлённость о киберугрозах, многие пользователи продолжают повторно использовать свои пароли. Исследование Forbes показало, что в среднем один и тот же пароль применяется как минимум в четырёх разных аккаунтах. Поэтому после утечки злоумышленники могут получить доступ сразу к нескольким сервисам, на которых зарегистрирована жертва.

Для защиты от подобных угроз пользователям рекомендуется использовать уникальные сложные пароли для каждого аккаунта и включать многофакторную аутентификацию (MFA). Владельцам сайтов, в свою очередь, следует активировать системы проверки утёкших данных и ограничивать частоту входов, чтобы предотвратить автоматизированные атаки.