Toma de cuentas: señales en registros

Mucha gente usa la misma clave en varias tiendas. Cuando uno de esos sitios sufre una fuga, los pares de correo y clave terminan en listas que circulan entre delincuentes, y alguien las prueba de forma automática contra otras tiendas: es el relleno de credenciales, la subtécnica T1110.004 de MITRE ATT&CK. El que prueba no adivina nada; cada cuenta recibe uno o dos intentos con la clave que ya traía la lista.

Eso deja una huella propia en los registros. Desde pocos orígenes llegan intentos contra miles de cuentas distintas, casi todos fallan, y una parte grande falla porque el usuario ni siquiera existe en la tienda: la lista salió de otro sitio. Un ataque de adivinación se ve al revés, muchas claves contra una misma cuenta. Y un origen con miles de accesos que casi siempre aciertan suele ser una salida compartida, como la de un operador móvil, por donde entran clientes de verdad.

Abre la consola y ejecuta SELECT * FROM accesos_por_origen. Cada fila resume lo que hizo un origen durante la noche: intentos, cuentas distintas, accesos exitosos y fallos por usuario inexistente. Compara la proporción de éxito entre filas antes de decidir cuáles son del relleno.

En un relleno, la tasa de éxito suele ser baja (en esta noche, menos de uno de cada cien intentos), pero sobre miles de cuentas deja decenas de accesos válidos. Cada uno es una cuenta cuyo dueño reutilizó la clave y que ahora está en manos de otro, haga algo con ella o no. Son esas las que hay que proteger primero. Cuenta solo los orígenes del relleno, no la salida compartida ni al cliente que olvidó su clave.

Ejecuta SELECT * FROM acciones_tras_el_acceso. La mayoría de las cuentas que entran en un relleno no se tocan esa noche: se marcan como válidas y se usan o se venden después. Las que sí se usan dejan una secuencia reconocible, como cambiar el correo para que los avisos ya no lleguen al dueño y canjear los puntos, que en una tienda valen como dinero y se gastan sin tarjeta. Mira también de dónde vino cada acceso: no todo canje de la noche es del relleno.

Mapear la noche a MITRE ATT&CK permite compararla con lo que reportan otros comercios. Son dos momentos distintos: la prueba masiva de la lista contra la página de acceso y, después, el uso de las cuentas que entraron, que para el sistema son cuentas válidas con su clave correcta (T1078).