Brute Force ו-Credential Stuffing — ניחוש סיסמאות בקנה מידה

שתי מתקפות נפוצות על התחברות, ששתיהן מנצלות סיסמאות חלשות או חוזרות.

Brute Force — ניסוי וטעייה

התוקף מנסה המון סיסמאות אוטומטית עד שאחת עובדת. וריאציות:

• Dictionary attack — רשימת סיסמאות נפוצות.
• Password spraying — סיסמה אחת נפוצה ("Spring2026!") על הרבה חשבונות (מתחמק מנעילה).

Credential Stuffing — ניצול דליפות

התוקף לוקח שמות+סיסמאות שדלפו מאתר אחר ומנסה אותם אצלכם. עובד כי אנשים חוזרים על אותה סיסמה בכמה אתרים. זו הסיבה מספר 1 לפריצות חשבונות.

איך מתגוננים (כמשתמש)

• סיסמה ייחודית לכל אתר + מנהל סיסמאות.
• 2FA — חוסם גם אם הסיסמה דלפה.
• בדקו ב-haveibeenpwned אם דלפתם.

איך מתגוננים (כמפתח)

• הגבלת קצב ונעילה זמנית אחרי כשלונות.
• CAPTCHA בכניסות חשודות.
• בדיקת סיסמאות מול רשימות שדלפו.
• ניטור התחברויות חריגות.

הלקח: סיסמה חוזרת = פצצת זמן. ייחודיות + 2FA פותרים את רוב הבעיה.