Bei Credential-Stuffing-Angriffen werden gestohlene Benutzernamen-Passwort-Kombinationen aus unabhängigen Datenlecks auf Anmeldeseiten von E-Commerce-Websites getestet. Wenn ein Kunde ein Passwort von einer betroffenen Website für sein Einkaufskonto wiederverwendet, testen Angreifer diese Zugangsdaten mithilfe automatisierter Tools in großem Umfang. Erfolgreiche Anmeldungen führen zu Betrug mit gespeicherten Zahlungsmethoden, zum Diebstahl von Treuepunkten und zum Weiterverkauf von Konten. Die „User Exposure API“ von SpyCloud prüft zum Zeitpunkt der Anmeldung, ob die Identität eines Kunden in den von SpyCloud erfassten Daten zu Datenlecks, Malware und Phishing vorkommt, und gibt ein Risikosignal aus, das bei bestätigten Hochrisikobenzugern eine verstärkte Authentifizierung auslöst, ohne dabei den Großteil der unbedenklichen Kunden zu beeinträchtigen.

Treueprogramme und gespeicherte Zahlungskonten haben einen echten finanziellen Wert und sind daher attraktive Ziele für Kontoübernahmen. Die risikoreichsten ATO-Versuche gehen von Angreifern aus, die gestohlene Sitzungs-Cookies anstelle von Anmeldedaten verwenden, da durch die Wiedergabe von Sitzungen die MFA und Betrugsschutzmaßnahmen beim Login vollständig umgangen werden. Die „Session Identity Protection API“ von SpyCloud erkennt, wenn aktive Sitzungs-Cookies eines Kunden auf kriminellen Märkten im Umlauf sind, und macht sie ungültig, bevor der Angreifer ein Treueguthaben abziehen oder eine hinterlegte Zahlungsmethode belasten kann. Dies ist die Betrugsschutzebene, die oberhalb der Authentifizierung und nicht direkt in dieser stattfindet.

Breit angelegte Betrugsschutzmaßnahmen, die alle ungewöhnlich erscheinenden Sitzungen blockieren oder einer Überprüfung unterziehen, verursachen Reibungsverluste für legitime Kunden und führen zu einer höheren Abbruchrate im Warenkorb. SpyCloud sorgt für mehr Präzision: Eine Überprüfung oder eine verstärkte Authentifizierung wird nur bei Nutzern ausgelöst, bei denen in den von SpyCloud wiedergewonnenen Daten eine bestätigte Identitätspreisgabe vorliegt – nicht bei Nutzern, die anhand von Verhaltensmetriken lediglich ungewöhnlich erscheinen. Ein Nutzer, der von einem neuen Gerät aus auf sein Konto zugreift, mag verhaltensmäßig riskant erscheinen, hat aber möglicherweise eine völlig saubere SpyCloud-Expositionshistorie, was bedeutet, dass er keine zusätzlichen Hürden zu überwinden hat. Ein Nutzer, bei dem eine Offenlegung seiner Zugangsdaten auf kriminellen Märkten bestätigt wurde, erhält eine gezielte Aufforderung zur Authentifizierung, selbst wenn seine Verhaltenssignale normal erscheinen.

Infostealer-Malware auf dem privaten Gerät eines Kunden erfasst alle im Browser gespeicherten Anmeldedaten, darunter Zugangsdaten für E-Commerce-Konten, im Browser-Autofill gespeicherte Zahlungsmethoden sowie aktive Sitzungs-Cookies für laufende Einkaufssitzungen. SpyCloud gewinnt die Protokolle der Infostealer-Malware innerhalb weniger Stunden nach ihrer Verbreitung aus kriminellen Quellen zurück. E-Commerce-Plattformen, die SpyCloud nutzen, können erkennen, wenn das Gerät eines Kunden infiziert und dessen Sitzungs-Cookies gestohlen wurden, noch bevor ein Angreifer diese Cookies wiederverwendet. So können die Sitzung gezielt ungültig gemacht und Sicherheitswarnungen an den Kunden gesendet werden, bevor es zu Betrug kommt.

SpyCloud ist ein vorgelagertes Signal zur Identitätsgefährdung, das bestehende Plattformen zur Betrugsentscheidung ergänzt, anstatt sie zu ersetzen. Forter, Signifyd, Riskified und ähnliche Plattformen treffen Entscheidungen über „Akzeptieren“, „Ablehnen“ oder „Überprüfen“ auf der Grundlage von Verhaltens-, Geräte- und Transaktionssignalen. SpyCloud fügt die vorgelagerte Ebene hinzu: die Information, ob die Identität des Kontoinhabers auf kriminellen Märkten als kompromittiert bestätigt wurde. Ein Nutzer mit einem bestätigten SpyCloud-Expositionssignal erhält in der Entscheidungsengine der Betrugsplattform eine erhöhte Risikobewertung, unabhängig davon, ob seine Verhaltenssignale normal erscheinen. Die Integration erfolgt API-basiert und fügt dem bestehenden Entscheidungsmodell ein einziges zusätzliches Risikomerkmal hinzu.