撞库

撞库(Credential Stuffing)指攻击者使用从别处泄露的『账号—密码』组合,通过自动化工具在目标网站批量尝试登录,利用用户『多站同密』的习惯『撞』开账户。

为何有效

大量用户在多个网站复用同一密码,一旦某站泄露,关联账户即面临连锁风险;自动化可同时尝试成千上万组凭据。

检测与防护

• 同一 IP/设备短时间大量登录失败
• 设备指纹与行为风控
• 速率限制与验证码/无感验证
• 强制多因子认证(MFA)
• 推行密码管理器与唯一强密码