撞库

简介

撞库(Credential Stuffing)指攻击者拿着从某个网站数据泄露得来的账号密码组合,批量去其他网站尝试登录。由于很多人多个网站用同一套密码,撞库成功率惊人。[1]

防御

根本对策是不同网站用不同密码(配合密码管理器)+ 开启双因素认证。网站侧可做异常登录检测、限流、设备指纹识别。社工库就是泄露凭据的集散地。