憑證填充攻擊是一種自動化攻擊：把從某項服務竊取的用戶名稱和密碼組合拿到其他服務嘗試。它得手是因為人們重用登入資料，所以被攻擊的網站不必曾發生最初的外洩。中文媒體亦常稱之為「撞庫攻擊」；OWASP 把它列為自動化威脅 OAT-008，保安團隊亦稱之為 account checking、credential replay 或 password list attack。

關鍵要點

憑證填充攻擊重放的是已知的憑證組合，主要不是猜測新密碼。

一個重用的密碼，可能令低價值網站的外洩演變為電郵、購物或金融帳戶失守。

獨有密碼、密碼管理工具、MFA 和通行密鑰能減低用戶一方的風險。

服務方需要多層偵測、封鎖外洩密碼、速率控制和有用的保安通知。

這種攻擊屬於網絡安全指南中的帳戶層。

憑證填充攻擊怎樣運作？

資料外洩、惡意軟件活動、釣魚行動或犯罪市場產生用戶名稱和密碼清單。
攻擊者針對目標服務清理並整理清單。
自動化工具把登入嘗試分散到不同裝置、網絡或時段。
透過回應行為、帳戶頁面或後續操作辨認成功登入的帳戶。
有效帳戶被濫用、轉售、用於詐騙或被發掘更多個人資料。

OWASP 把這種威脅定義為以大量登入嘗試驗證被盜的用戶名稱／密碼組合，組合常來自其他應用程式或公開外洩資料。［1］目標服務即使妥善保護了自己的密碼庫，仍可能收到從別處重用的有效憑證。

自動化不只是快速提交表格。操作者會統一電郵格式、剔除明顯無效紀錄、適應各網站回應，並以混入正常流量的節奏測試。清單夠大時，極低的成功率也能產出有價值帳戶，所以防守方須綜合觀察認證事件，而非孤立判斷每次嘗試。

它與暴力破解、密碼噴灑和釣魚有何分別？

攻擊	輸入	模式	主要弱點
憑證填充攻擊	被盜的用戶名稱／密碼組合	以大量已知組合測試多個帳戶	憑證重用
暴力破解	大量猜測的密碼	對一個帳戶反覆猜測	弱密碼或可猜到的密碼
密碼噴灑	一個或幾個常見密碼	以相同猜測試多個帳戶	常見密碼加薄弱速率控制
釣魚	欺騙性訊息或頁面	誘騙用戶交出機密或批准存取	核實失誤和社交工程

OWASP 防護指引同樣區分：暴力破解對一個帳戶試多個密碼，憑證填充測試來自其他外洩的組合，密碼噴灑把一個弱密碼拿到多個帳戶試。［2］憑證填充可能用上原經釣魚收集的資料，但自動化重放是獨立階段。

為甚麼密碼重用會放大攻擊？

電郵地址普遍被重用作用戶名稱；密碼也重用時，一組憑證就能在無關服務間通用。攻擊者可優先攻擊電郵、零售、串流、旅遊、遊戲和支付網站，毋須在每個目標破解密碼雜湊值。

風險不對稱：冷門論壇的外洩可能暴露能開啟主電郵的組合；電郵失守後，重設郵件又能擴大接管。所以不能只憑帳戶價值決定密碼是否要獨有。

只在外洩的服務改密碼無法遏止擴散。每個重用該組合的帳戶都各自暴露，直至換上獨有憑證；改密碼前已建立的工作階段也可能要另行撤銷。先處理掌控復原、資金、工作資料或可信通訊的帳戶。

用戶怎樣做好憑證填充防護？

每個帳戶使用獨有密碼。 密碼管理工具令這件事切實可行。
按優先次序更換重用的密碼。 由主電郵、金融、雲端、平台和工作帳戶開始。
啟用 MFA 或使用通行密鑰。 被盜密碼用於新登入的價值因而降低。
對可信的外洩通知採取行動。 更改受影響的密碼，以及所有重用過它的地方。
檢查保安活動。 撤銷陌生的工作階段、裝置、應用程式存取和復原方式。
不要批准意外的 MFA 請求。 反覆彈出的請求可能表示攻擊者已取得密碼。

OWASP 憑證填充防護指引稱 MFA 為最有力的通用防禦，並指出通行密鑰令更強認證在現代裝置上切實可行。獨有密碼仍然重要，因為各服務的 MFA 支援和復原途徑不同。

通行密鑰改變了攻擊者的輸入：沒有可拿到其他域名重放的共用密碼字串。用戶仍需保護裝置解鎖、帳戶復原、同步通行密鑰的供應商和有效工作階段。它減低憑證填充風險，但不能消除所有接管途徑。

密碼管理方式可參閱密碼管理工具是否安全及何時應更改密碼。

服務方怎樣阻止憑證填充攻擊？

沒有單一控制足夠。服務應組合使用：

支援 MFA 和通行密鑰，並對高風險操作要求加強認證。
在建立或更改密碼時封鎖常用和已外洩的密碼。
按帳戶、按網絡及更廣泛行為的速率控制。
偵測單一客戶端測試大量帳戶，及分散客戶端測試相關憑證清單。
把裝置和連線訊號當作風險輸入，而非不容置疑的身份證明。
就異常登入、密碼更改、復原設定更改和新增驗證因素發出通知。
事故期間仍可運作的工作階段撤銷、帳戶復原和詐騙審查。
統計嘗試、要求額外驗證、封鎖和成功的認證事件。

NIST 要求把擬設密碼與常見、可預期或已外洩密碼的封鎖清單比對，並在有證據顯示驗證器外洩時要求改密碼。［3］OWASP 建議識別已外洩密碼並多層防禦，因為單靠封鎖 IP 或 CAPTCHA 可能被繞過，或對用戶造成不可接受的損害。

為甚麼限速和 CAPTCHA 不足夠？

攻擊者可把嘗試分散到大量 IP、放慢速度、模仿瀏覽器，並重用把握較高的組合。過嚴的全域限制也可能鎖住正常用戶，甚至變成阻斷服務工具。

CAPTCHA 提高自動化成本，但不會令正確的憑證組合失效。有效控制會跨帳戶、網絡、裝置、時間和敏感操作關聯行為，再按風險增加阻力。

例如，服務可放行熟悉的低風險登入，對出現在跨帳戶模式中的正確密碼要求額外驗證，並封鎖快速測試大量無關用戶的客戶端。這種多層應對比信任單一 IP 更具韌性，也避免單一門檻變成輕易鎖帳戶的工具。

收到憑證填充提示後怎樣做？

透過官方 App 或自行輸入的網址開啟服務。
確認提示描述的是登入嘗試還是成功登入。
撤銷陌生工作階段，把密碼改成獨有密碼。
更改所有重用過同一密碼的其他帳戶。
核實 MFA、復原資料、第三方授權和近期活動。
即使首個提示來自價值較低的服務，也要檢查主電郵和金融帳戶。

如有成功的陌生工作階段，請按完整的帳戶復原清單處理。不要認定每則登入失敗通知都代表裝置中毒；憑證清單可能來自無關的外洩。

總結

憑證填充攻擊自動重放在別處被盜的憑證組合。
它有別於針對單一帳戶猜密碼、用一個密碼噴灑大量帳戶，也有別於以釣魚欺騙用戶。
獨有密碼能把一次外洩的損害局限在一處。
MFA 和通行密鑰降低被盜密碼的價值，但復原和工作階段控制仍然重要。
服務方需要封鎖已外洩密碼、多層速率和異常控制，以及可據以行動的提示。

常見問題

憑證填充等於入侵密碼資料庫嗎？

不等於。憑證可能來自另一次外洩、惡意軟件、釣魚或犯罪市場；目標服務被拿來測試的，是可能本來就正確的憑證。

強密碼能阻止憑證填充嗎？

強度有助抵禦猜測，但這裏關鍵是獨有。再強的密碼若在多個網站重用，一處外洩後仍可被重放。

密碼管理器能防止嗎？

它為每項服務產生並儲存不同密碼，所以有幫助；但無法撤銷已暴露的密碼，也修復不了已被入侵的帳戶，收到外洩通知後仍需行動。

MFA 能徹底解決嗎？

它能攔截許多只靠被盜密碼的新登入；但攻擊者仍可能針對薄弱的復原流程、竊取有效工作階段或誘騙用戶批准請求，所以仍需多層控制。

Passkey 能抵抗憑證填充嗎？

通行密鑰與特定服務綁定，不會產生可重用的共用密碼組合。但普及程度和復原方式不一，用戶仍應檢查工作階段並保護復原方式。

OWASP 怎樣描述憑證填充攻擊？

OWASP 自動化威脅手冊把憑證填充攻擊列為 OAT-008，並與 OAT-007 憑證破解（credential cracking）區分：後者是猜測憑證值，而不是重放被盜的組合。其防護速查表把 MFA 列為最佳防禦，CAPTCHA、IP 緩解措施、指紋識別和外洩密碼檢查則屬補充的分層措施。

為甚麼攻擊者測試遊戲或影音帳戶？

低價值帳戶也可能存有付款方式、虛擬物品、個人資料或重用憑證；有效帳戶還可被轉售或用來接觸聯絡人。

提示是否代表目標服務外洩？

不一定。憑證組合可能從別的網站外洩，再在這裏被測試。請同時檢查收到提示的帳戶和所有重用該密碼的帳戶。

成功陌生登入後第一步是甚麼？

經官方服務撤銷陌生工作階段，把密碼改成獨有密碼，核實復原和 MFA 設定，並保護所有重用舊密碼的其他帳戶。

免責聲明：本文提供一般網絡安全教育，不構成法律、鑑證或專業事故應變建議。

來源

OWASP Automated Threats to Web Applications — OAT-008 Credential Stuffing — https://owasp.org/www-project-automated-threats-to-web-applications/assets/oats/EN/OAT-008_Credential_Stuffing
OWASP Cheat Sheet Series — Credential Stuffing Prevention Cheat Sheet — https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html
NIST SP 800-63B-4 — Password requirements — https://pages.nist.gov/800-63-4/sp800-63b.html

Sources checked 2026 年 10 月 4 日。

延伸閱讀：

甚麼是憑證填充攻擊（Credential Stuffing）？