数据泄露经常发生，无法避免；最重要的是，您需要随时保护自己，将可能的损失降到最低。
凭证填充攻击是一种网络攻击形式，涉及将偷来的凭证 “填充” 到多个网站。
像机器人这样的工具可以让攻击者进行自动填充，让他们可以在短时间内针对几十个网站测试数百万个登录凭证。
以下是您需要知道的关于这种攻击的内容，尤其是，您可以保护自己的简单方法。
凭证填充是指将大量被盗的密码和用户名塞入多个网站。攻击者依靠在暗网上兜售的庞大的泄漏数据；他们的目标是利用以前泄露的数百万个登录名和用户名组合来渗透到其他网站。
攻击者之所以能成功，依赖的是一个普遍存在的人为错误 — — 即 在多个网站上使用相同的用户名和/或密码。根据研究，高达85%的用户在不同账户上循环使用密码。
而正是这种人为错误，让攻击者可以利用一个网站泄露的登录凭证进入其他网站和服务。
成功率相当低，只有0.1%到2%左右。这意味着，每测试一百万个登录凭证，只有大约1000个凭证可以用来进入其他网站。但是，让攻击者的努力变得值得的是，他们可以将每一个被他们成功渗透的账户变成收集数据的金矿。
假设他们设法入侵了大约1000个账户，这些账户都有银行信息或信用卡凭证，他们就可以抽走资金或利用这些信息进行其他形式的欺诈。其他个人身份信息(PII)，如 身份证号码或税务信息，可以用来实施犯罪，如身份盗窃 —— 就是用您的身份干坏事，让您背锅。
攻击者会将他们在每个账户中发现的任何信息货币化，这使得尽管登录凭证即便匹配率很低，攻击也是很值得的。
当然，攻击者不会手动将偷来的登录凭证逐一输入不同的网站，因为他们需要数以百万计（甚至数十亿计）的偷来的登录凭证才值得进行攻击。
相反，这些泄露数据会被加载到僵尸网络中，发起自动登录尝试。然后，他们会使用进一步的工具来逃避检测。
一个僵尸网络每小时可以进行数千次登录尝试。例如，2016年的一次凭证填充攻击使用的僵尸网络，每小时在多个网站上发送超过27万次登录请求。
虽然许多网站使用安全措施来检测恶意登录尝试，但黑客已经找到了规避这些措施的方法。
一个代理列表被用来反弹请求，并掩盖源头，或者简单地说，使登录请求看起来像是来自不同的位置。他们还使用其他工具，使其看起来像是多次登录尝试来自不同的浏览器。
这样做的原因是，只来自一种类型的浏览器的多次登录尝试（例如，每小时一千次）看起来很可疑，并且有更大的机会被标记为欺诈。