Перебор аккаунтов.

Атака, использующая различия в ответах приложения, чтобы определить, какие аккаунты, e-mail или телефоны существуют в целевой системе. Относится к категории Идентификация и доступ в кибербезопасности.

Атака, использующая различия в ответах приложения, чтобы определить, какие аккаунты, e-mail или телефоны существуют в целевой системе.

Перебор аккаунтов эксплуатирует то, что приложение по-разному реагирует на существующий и несуществующий аккаунт: разные сообщения об ошибке при входе, регистрации или сбросе пароля, разница во времени отклика, разные HTTP-статусы. Перебирая большое число кандидатов, атакующий получает список действительных учётных записей, по которым затем проводятся фишинг, credential stuffing или password spraying. Уязвимость часто встречается в формах входа («пользователь не найден» против «неверный пароль»), сброса пароля («проверьте почту» против «аккаунт не найден») и регистрации («e-mail уже зарегистрирован»). Защита включает единые сообщения об ошибках, постоянное время отклика, общие уведомления, rate limiting по IP и аккаунту, CAPTCHA при злоупотреблении и MFA для смягчения последствий.

Защита от Перебор аккаунтов обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: Перебор пользователей, Перебор идентификаторов.