Credential Theft – Tunnukset, salasanat ja tunnusluvut, jotka saadaan phishingin avulla, ovat kauppatavaraa ja muodostavat laajemmankin uhan. Kyberrikollisuus löytää kyllä monia tapoja hyödyntää varastettuja tunnuksia, jos suojaukset eivät ole kohdallaan.
Credential Stuffing – Hyökkääjällä on saanut haltuunsa jonkin järjestelmän käyttäjätunnukset ja salasanat ja syöttää näitä skriptillä toiseen järjestelmään, josko jokin pari toimisi. Jos käyttäjällä on samat kredentiaalit eri järjestelmiin, taktiikka voi toimia.
Brute Force – Hyökkäyksessä tietoturva pyritään murtamaan kokeilemalla järjestelmällisesti kaikki vaihtoehdot käyttäjätunnus-salasana-yhdistelmiksi järjestelmän kirjautumisosiossa.
Cross-site Scripting – Web-sovellukseen selaimessa upotettu koodi, joka tule ulkopuolelta, kts. yllä client-puolen hyökkäykset.
Man-in-the-Middle – Tietoliikenteen välissä kuuntelija ja tunkeutuja. Hyökkääjä välittää kahden kohteen välistä liikennettä ja pystyy kontrolloimaan tietoturvalliseksi oletettua tietojen vaihtoa.
Certificate Spoofing – HTTPS-yhteyden luontivaihessa Man-in-the-Middle voi asettaa yhteyden kryptaukseen oman sertifikaatin, jonka käyttäjän selain hyväksyy, koska hyökkääjä on soluttanut sertifikaatin peukalonjäljen hyväksyttyjen sertifikaattien listaan.
API Attacks – Web-sovellusten API-rajapintaan voidaan kohdistaa kutsuja, jotka yrittävät saada aikaan haittaa tai kerätä liiketoimintakriittistä tietoa: parametrien kokeilulla, evästeiden väärennöksillä, sisällön manipuloinnilla (esim. JSON tokeneiden data).
Protocol Abuse – Palvelunestohyökkäykset nojaavat yleisesti internet-protokollien kättely- tai datasiirtovaiheisiin, jossa palvelin joutuu prosessoimaan ja odottamaan huomattavasti enemmän kuin yhteyden aloittanut hyökkääjä.
Injection – SQL-kyselyssä, komentorivillä tai muussa protokollassa ylimääräisellä datalla yritetty haittavaikutus tai tiedonkeruu. Tiedon syöttötietoon lisätään koodia web-lomakkeen tai muun syöttötavan kautta normaalin tiedon lisäksi, ja pyritään siihen, että sovellus ja palvelin prosessoi lisäyksen tarkistamatta. Erityisesti SQL-injektiot ovat pahamaineinen hyökkäystapa.
Cross-site Forgery Request – HTTPS tai vastaava kysely, jonka alkuperä on väärennetty. XSRF-hyökkäys perustuu siihen, että käyttäjän selaimesta lähtee palvelinpyyntö tai koodi, jonka palvelin olettaa olevan autorisoidulta käyttäjältä, mutta joka todellisuudessa on haittaohjelman tai tunkeutujan toimintaa.
Phishing – Käyttäjätunnusten, luottokorttitietojen tai pankkitunnusten kalastelu vakuuttavan oloisilla viesteillä. Vaikka spam-filtterit toimisivat hyvin, aina löytyy tapa houkutella käyttäjiä luovuttamaan kriittistä tietoa.
Abuse of Functionality – Käyttää web-palvelimen toiminnallisuuksia ja ominaisuuksia haitatakseen ja vääristääkseen palvelimen toimintaa tai kiertääkseen tietoturvamekanismeja.
Malware – Web-palvelimien, -sovelluksien ja muiden internetpalveluiden haavoittuvuutta hyödyntävät ja palvelimeen ujuttautuvat haittaohjelmat.
