サイトは、偽のユーザー名を使用した自動ログイン試行にどのように応答する必要がありますか？
この数週間、サイトで1時間あたり15〜30回の無効なログイン試行の一貫したストリームを見てきました。それらの多くは、誰も実際に登録することのない無意味なユーザー名であり、多くの場合、典型的なスパム関連キーワードが含まれています。それらはすべて異なるIPアドレスから取得されるため、リクエストをIPでブロック/調整することはできません。
実際のユーザー名を使用していないため、実際のアカウントへの不正アクセスについては心配していません。そして、それがブルートフォースログインを試みている私のサイトのメンバーである場合、サイトから有効なユーザー名を簡単に盗むことができるので、そのような悪意のある動作についても心配していません。しかし、この種の活動のポイントは何ですか？これらすべてのログインを試みることで、これを行うボットオペレーターは何を得る必要がありますか？
しかし、この種の活動のポイントは何ですか？
あなたの推測は誰のものと同じくらい良いです-おそらくオペレータは他の場所で作成されたスパムアカウントのセットに誤ってアクセスしようとしていますか？ （または、想定されていたがサイトで作成されるが、何らかの理由で失敗したもの）
編集： ...最初の質問に話しかける：
サイトは、偽のユーザー名を使用した自動ログイン試行にどのように応答する必要がありますか？
ログインしようとしているアカウントが存在するかどうかを潜在的な攻撃者に通知するのは得策ではありません...そうでなければ、特別な応答は必要ありません（悪いリクエストの量がパフォーマンスに影響を与えない限り）。
典型的な「無効なユーザー名またはパスワード」+「アカウント取得プロセスを開始するためにメールアドレスを入力してください」フォームが提供されます。
ブルートフォースが機能します。期間。それは彼らがあなたのサイトを危険にさらすことを意味しませんが、彼らが十分なサイトでこれを試みるならば、彼らはどこかに侵入しようとします。多くのWebサイトの設計や構築が不十分であり、このような攻撃が行われているのは残念な事実です。基本的には、同じ原則のスパムです。スパム送信者は機能するため、スパムを送信します。たとえ数百万のメールを送信したときに応答するのはユーザーの0.01％だけであり、それが突然多くのユーザーになり、大量のお金に変換されます。
ユーザー名またはIPに何らかの種類のパターンがある場合、明らかにそれらの要求をブロックし始めます。それ以外の場合は、サイトが適切に構築されており、この種の攻撃に対して脆弱ではないという信念を持っているだけです。
私も自分のサイトでこの種の行動を見ています。証明するのは難しいですが、ボットがサイトをクロールし、フォームを埋めて、送信されたものが何らかの形で公開されることを期待しているだけだと思います。ボットは、ブログのコメントフォームからアカウント登録フォームに伝えることができないという点であまり賢くはないようです。
サイトの他のフォームで同様のアクティビティが見られる場合、これはあなたに起こっていることです。私の提案は、隠されたキャプチャをフォームに追加することです。たとえば、CSS（display：none）を介して人間のユーザーから隠されている「URL」という名前のテキストボックス（URLフィールドは素晴らしいスパマーの餌）を追加します。このフィールドが送信時に入力されている場合は、無視できることがわかります。ボットを処理する方法は他にもたくさんありますが、非常に多くの場合、単純なことがトリックを行います。