在登录入口建立防线
凭证填充攻击的拦截点应当设在密码校验之前，而非在攻击者已进入有效账户之后。 虽然多因素认证（MFA）和机器人防护能提供辅助作用，但它们无法替代专门的凭证填充防御机制。最稳妥的策略是结合泄露凭证检查、行为信号分析、设备情报、速率控制，并仅在风险较高时触发升级安全验证。
核心逻辑： 凭证填充防御旨在登录边缘拦截被窃取的“用户名+密码”组合，而 MFA 主要降低密码正确后的损害。举例来说，某零售商在两小时内遭遇 180,000 次 登录尝试，其中仅 0.8% 使用了有效密码，但这小部分请求足以引发欺诈、账户锁定及支持成本飙升。机器人防护虽能阻挡脚本流量，但攻击者可随时切换至住宅代理或廉价人工工厂。分层体系能在早期拦截多数恶意登录，将 MFA 资源集中用于高风险场景。
凭证填充防御的具体运作机制
凭证填充是指攻击者利用从一个服务泄露的凭证，自动化地尝试登录其他服务。这利用了用户跨平台复用密码的习惯。若旧数据泄露中某邮箱和密码仍有效，该组合可能在银行、商店、社交应用或订阅服务上直接通过。
此类防御聚焦于登录流程，识别单个请求看似正常但整体呈现攻击特征的模式。成熟的系统会监控以下信号：
- 来自泄露数据包的已知受损凭证。
- 速度模式如大量账户从关联基础设施发起尝试。
- 设备信誉度及浏览器一致性。
- 住宅代理使用及可疑网络轮换。
- 账户组间的登录失败比率。
- 成功登录异常如新设备、异常位置且快速结账。
这一环节至关重要，因为攻击者并非总是猛烈冲击单一账户，而是将尝试分散至数千个账户、IP 及设备。基础的账户锁定策略容易漏掉这种分布式模式，甚至可能在攻击期间误伤正常用户。
凭证填充防御与 MFA 的差异
MFA 很有价值，但它并非同一层级的控制手段。 MFA 通常在密码被接受后或高风险会话中启动，而凭证填充防御在更早阶段介入，试图在攻击产生有效登录事件、用户警报或支持工单之前将其阻断。
MFA 能阻断多数账户接管，尤其是使用基于应用的验证码、通行密钥或硬件密钥时。不过 MFA 存在弱点：短信验证码可被截获，推送提示易受疲劳攻击滥用，用户可能因不堪其扰而盲目批准通知。安全团队常因一次错误时机的提示破坏整体规划而感到头疼。
MFA 也会干扰用户流程。若每次登录都强制挑战，用户等待时间延长，易导致任务放弃。需要 12 秒 额外验证的购物者可能在结账前离开，丢失手机的银行客户可能被迫联系支持。这些摩擦在高风险访问中值得忍受，但盲目应用会带来痛苦。
基于风险的 MFA 优于全量 MFA。凭证填充防御可将风险信号输入 MFA：已知设备且行为干净可静默通过，使用泄露密码且来自新位置的登录则面临通行密钥挑战、强制重置或会话阻断。
凭证填充防御与机器人防护的对比
机器人防护工具旨在检测自动化行为，它们检查流量模式、浏览器信号、脚本、无头浏览器及请求行为，常使用 JavaScript 挑战、工作量证明、设备检查或 CAPTCHA。
这些工具确实有用。许多凭证填充攻击具有自动化、高噪、重复的特点。机器人防御层可在高流量触及登录基础设施前做削减，降低服务器负载并阻止简单脚本。
但攻击者会进化。他们使用真实浏览器，租用住宅代理，复制移动应用行为，购买 CAPTCHA 破解服务，甚至针对高价值目标使用人工操作员。此时，普通的机器人检测可能看到“虽烦人但并非明显虚假”的流量。
凭证填充防御更关注账户语境。它不只问“这是机器人吗？”，而是问“这次登录尝试是不是符合针对账户的攻击模式？”。这一区别巨大：使用被盗密码的人类仍是威胁，通过轮换连接用真实浏览器输入 2,000 个凭证对，依然是凭证填充。
各控制措施的最佳适用场景
每种方法各有分工，最佳效果来自将正确的工作交给正确的控制层：
- 凭证填充防御： 最适合检测被盗用户名和密码组合的使用、分布式攻击模式及针对账户的滥用。
- MFA： 最适合在密码验证后降低账户接管风险，尤其针对敏感操作和高风险会话。
- 机器人防护： 最适合阻断自动化流量、数据抓取、虚假账户创建及高频率脚本登录尝试。
- 速率限制： 有效但粗暴，可减缓攻击，但在流量高峰时可能拦截真实用户。
- 密码重置策略： 在确认泄露后有用，但触发过于频繁会造成困扰。
成熟配置使用主要三层：机器人防护过滤明显自动化，凭证填充防御评估登录风险，MFA 仅挑战可疑或敏感会话。这能在减少欺诈的同时，避免将每次登录变成折磨。
预防优于事后清理
一旦攻击者触及有效账户，成本迅速上升。他们可能耗尽积分、修改收货地址、下欺诈订单、爬取个人数据或测试存储的支付方式。支持团队随后需处理锁定、愤怒用户、退单及合规报告。
早期拦截不仅能减少欺诈，还能保护基础设施，降低警报噪音，保持分析数据干净。更重要的是，防止攻击者得知哪些凭证有效。若登录系统向攻击者提供反馈，它就会成为其测试管道的一部分。
良好的防御应返回平淡无奇的响应，尽可能避免“密码有效但 MFA 失败”等明确信号。它应基于风险减速、阻断或升级检查，而不向攻击者暴露改进路径。
实操有效的控制手段
安全团队应围绕分层信号构建凭证填充防御。单一信号不够：仅封锁 IP 会被代理轮换绕过，仅用 CAPTCHA 会激怒用户，仅靠 MFA 仍允许密码验证及提示滥用。
有效措施包括：
- 登录和创建密码时的泄露密码筛选。
- 基于设备、位置、行为及账户历史的风险评分。
- 在可见摩擦出现前对可疑流量做的静默挑战。
- 用于抗钓鱼认证的通行密钥。
- 自适应 MFA
