凭据为王，如何看待凭据泄露？
内容提要
信息窃取型恶意软件是企业信息安全团队面临的重大风险之一。企业应采取多种防御措施，如监控泄露凭证数据库、定期更改密码和使用密码管理器。凭证泄露可分为一级、二级和三级，对企业造成不同程度的风险。双因素认证并非万能，威胁行为者有多种绕过方法。
延伸解读
三级分类：理解凭证泄露风险的有效框架
文章引用杰森·哈迪克斯的分类方法，将凭证泄露分为三级：一级源于第三方服务被攻破，二级来自信息窃取型恶意软件直接收集，三级则包含可用的会话cookie。这种分类不仅帮助安全团队区分风险来源，也便于向管理层解释不同泄露途径的严重性。企业可据此评估自身暴露面，例如是否监控了第三方泄露、是否防范了窃取器日志传播，以及是否限制了cookie生存时间。
信息窃取器日志：比密码泄露更危险的组合
二级泄露凭证通过信息窃取型恶意软件直接从用户浏览器中收集，日志不仅包含用户名和密码，还记录主机信息、表单填写数据（如密保问题答案）以及多种密码变种。这意味着攻击者能更精准地冒充受害者，甚至绕过基于密保问题的安全措施。文章指出，一个窃取器日志通常涉及数百个登录账户，显著放大了单次感染的影响范围，企业需警惕此类日志在暗网或通讯平台上的传播。
会话cookie劫持：双因素认证并非终点
三级泄露凭证中的会话cookie若未失效，攻击者可利用其进行会话劫持，从而绕过双因素认证和多因素认证。文章强调，双因素认证并非万能，威胁者可通过社交工程、验证码截获机器人或SIM卡置换等方式绕过。因此，企业应限制应用程序的cookie生存时间（TTL），并在发现含公司凭证的新窃取器日志时立即启动事件调查，因为相关密码很可能仍处于有效状态。
Q&A
信息窃取型恶意软件是如何盗取用户凭证的？
这类恶意软件侵入计算机后，会盗取浏览器中储存的所有登录凭证、活跃会话的cookies及其他数据，然后将窃取的信息发送到远程指挥控制（C2）服务器，某些情况下还会自动销毁以消除痕迹。
泄露凭证的一级、二级、三级分别指什么？
一级泄露指因第三方应用或服务被攻击导致用户密码泄露并在暗网传播；二级泄露指通过信息窃取型恶意软件直接从用户收集的凭证；三级泄露指信息窃取器日志中包含的尚未失效的会话cookie，可被用于会话劫持。
企业如何防御一级凭证泄露？
防御措施包括：监控泄露凭证数据库，追踪公司员工电子邮件账户是否出现；要求员工定期按时间表更改密码；使用密码管理器并制定规则，要求员工为不同应用生成随机密码并存储。
为什么二级泄露凭证对企业风险特别大？
因为信息窃取器日志包含用户浏览器中保存的所有凭证，涉及数百个登录账户，还包含表单填写数据（如密保问题答案），威胁者能利用这些信息攻击受害者、IT支持部门乃至整个公司。
双因素认证能被绕过吗？如何绕过？
能。威胁者会通过社交工程手段操纵员工、利用双因素认证机器人截获一次性密码或验证码，或进行SIM卡置换来绕过多因素认证控制。
如何防御三级泄露凭证导致的会话劫持？
尽可能为企业应用程序限制TTL（生存时间），以降低信息窃取器感染导致的会话cookie有效被分发的风险。
