Eine Kontoübernahme zeigt sich meist nicht als fehlgeschlagener Login. Der Angreifer hat bereits eine gültige Sitzung (ein gestohlenes Cookie, ein durchgesickertes Token oder Zugangsdaten aus einem anderen Datenleck), und aus Sicht der Plattform sieht es so aus, als hätte der echte Kunde einfach weiter gestöbert.
Was sich tatsächlich ändert
Was sich nicht sauber mitnehmen lässt, sind Gerät und Verhalten unter der Sitzung. Ein Geräte-Fingerprint aus Canvas-Darstellung, WebGL, Audioverarbeitung, Schriften und Hardware-Signalen ist spezifisch für den Rechner und Browser, die ihn erzeugt haben. Wechselt eine Sitzung auf ein anderes Gerät (einen neuen Browser, ein anderes Betriebssystem, ganz andere Hardware), verschiebt sich dieser Fingerprint, auch wenn das Sitzungs-Token selbst noch „gültig“ ist.
Auch das Verhalten verschiebt sich. Tipprhythmus, Mausbewegung und Scrollverhalten lassen sich zwischen verschiedenen Menschen kaum nachbilden, selbst wenn beide dasselbe Konto nutzen.
Woher der Schwellenwert kommt
Skyfense verfolgt die Ähnlichkeit des Fingerprints während einer Sitzung laufend und markiert einen Abfall unter etwa 67 % Ähnlichkeit als wahrscheinliches Zeichen für eine Übernahme. Dieser Wert ist nicht willkürlich. Normale Schwankungen innerhalb einer echten Sitzung (Browser-Updates, kleine Änderungen der Umgebung, Netzwerkwechsel) bleiben deutlich darüber, während ein echter Gerätewechsel deutlich darunter fällt. Sitzungen, die diese Grenze unterschreiten, werden neu bewertet, statt ihnen wegen eines noch gültigen Cookies zu vertrauen.
Das Ergebnis ist eine Prüfung, die nicht davon abhängt, dass der Angreifer beim Login einen Fehler macht, denn oft gibt es gar keinen Login-Schritt.