Les attaques de type « credential stuffing » reposent souvent sur des informations d’identification de compte (nom d’utilisateur et mot de passe) volées dans le cadre d’une violation de données antérieure, et sont utilisées pour obtenir un accès non autorisé aux comptes d’utilisateurs sur un autre site Web. Ce type d’opération, exécutée par des attaques à grande échelle dirigées par des robots contre le flux de connexion, constitue un problème de plus en plus répandu pour les entreprises. L’analyse client en cours d’Auth0 a révélé ce qui suit :
Quotidiennement, Auth0 dénombre en moyenne 175 000 adresses IP uniques considérées comme suspectes.
Les acteurs de menaces peuvent utiliser jusqu’à 65 000 adresses IP au cours d’une seule attaque.

Lors d’une attaque, le « credential stuffing » peut représenter jusqu’à 65 % du trafic vers le service d’authentification d’Auth0.
Lors d’une attaque de type « credential stuffing », le trafic d’un site Web peut atteindre jusqu’à 180 fois le volume habituel, le trafic lié à l’attaque elle-même représentant 90 % de l’activité globale.

La détection de bot d’Auth0 met en corrélation de nombreuses sources de données pour identifier et atténuer les attaques conduites par un robot avant la connexion et s’appuie sur un ensemble de signaux de risque et d’évaluateurs destinés à identifier
des indicateurs d’activité suspecte. Cette approche multicouches, également appelée défense en profondeur, met en jeu de multiples fonctions de sécurité, dont la détection de bot, qui limitent efficacement le nombre de tentatives de « credential stuffing » ainsi que de nombreuses autres attaques.

À un niveau supérieur, la détection de bot d’Auth0 analyse les adresses IP afin de détecter les événements non suspects, tels que les connexions réussies, les événements suspects (par exemple un grand nombre de tentatives de connexion échouées sur plusieurs comptes), et les données de réputation IP, qui sont utilisées pour identifier les acteurs de menaces connus. Lorsqu’un trafic suspect est détecté, une étape CAPTCHA est requise pour toute demande de connexion. Le système est conçu pour atténuer la majorité des attaques de bot ciblant le flux de connexion ou d’enregistrement. Lors du lancement, Auth0 prendra en charge les clients utilisant ses fonctionnalités de Connexion universelle, et ajoutera la prise en charge d’autres expériences dans les mois à venir.

Les attaques automatisées gagnent tous les jours en sophistication, et ces robots à grande échelle sont conçus pour réagir à tout type de contrôle afin d’échapper à la détection. Auth0 a constaté que les acteurs de menaces sont en mesure de modifier, et modifient effectivement leurs stratégies d’attaque en seulement cinq minutes pour contourner un contrôle de sécurité. Plus de 80 % des entreprises déclarent qu’il est difficile de détecter, de résoudre ou de corriger les attaques de type « credential stuffing », d’où un coût moyen de plus de 6 millions de dollars par an par entreprise, et que l’impact peut être considérable sur les ressources informatiques, les prises de contrôle de comptes et la réputation de la marque.