Verringern generische Anmelde- und Reset-Meldungen die Kontoübernahme messbar, wenn Breach-Korpora ohnehin schon verraten, welche Adressen existieren?

Offene Frage

Die Verhinderung von Account-Enumeration bedeutet, einem Nutzer, der seine Adresse falsch eingegeben hat, mitzuteilen: „Falls diese Adresse existiert, wurde eine E-Mail versendet", einem wiederkehrenden Nutzer mit falschem Passwort nichts Genaueres zu sagen als „ungültiger Nutzer oder ungültiges Passwort", und Verzweigungen mit konstanter Laufzeit zu konstruieren. Support-Aufwand und Abbruchquote sind die sichtbaren Kosten. Der Nutzen besteht darin, dass Angreifer nicht günstig eine Liste von Konten auf diesem Dienst erstellen können. Bei Konsumentendiensten weiss ein Angreifer, der über grosse Breach-Korpora verfügt, jedoch bereits, welche Adressen mit hoher Wahrscheinlichkeit fast überall ein Konto haben, und Credential-Stuffing-Werkzeuge probieren die Paare ohnehin durch. Unter welchen Bedingungen ändert das Schliessen der Enumeration dann das Verhalten oder die Ergebnisse für Angreifer: weniger Stuffing-Versuche gegen gültige Konten, weniger gezielte Phishing-Kampagnen, die den Dienst namentlich nennen, niedrigere Übernahmeraten? Konzentriert sich der Nutzen auf Dienste mit kleiner oder sensibler Nutzerbasis (ein internes Werkzeug, eine Nischen-Community, ein Gesundheitsportal), bei denen die Mitgliedschaft selbst das Geheimnis ist?

Was eine nützliche Antwort enthält

Grösse und Zielgruppe des Dienstes; welche Endpunkte zuvor Informationen preisgaben und wie das Leck geschlossen wurde (Meldungen, Statuscodes, Zeitverhalten); Messungen vor und nach der Änderung zu enumerationsartigem Verkehr, Stuffing-Versuchen pro gültigem Konto, Phishing-Meldungen und durch generische Meldungen verursachten Support-Tickets; der Beobachtungszeitraum und wie mit Störfaktoren (gleichzeitig eingeführte Ratenbegrenzung oder MFA) umgegangen wurde; sowie eine Aussage, ob der gemessene Unterschied die Entscheidung verändert hätte. Aus Bedrohungsmodellen abgeleitete Überlegungen ohne Daten sind willkommen, sofern sie als solche gekennzeichnet sind, ebenso wie negative Ergebnisse: ein Dienst, der die Enumeration geschlossen hat und keine Veränderung im Angriffsverkehr feststellte, ist genauso aufschlussreich wie einer, bei dem sich etwas veränderte.