Jedno odcizené heslo hned nezpůsobí chaos. Může být uložené v uniklé databázi nebo zabalené do balíčku s tisíci dalších záznamů. Někdy se s ním obchoduje, dál se prodává, testuje se proti jiným službám nebo se použije až za několik týdnů v phishingové kampani, která s původním únikem informací zdánlivě nesouvisí.
Než firma zjistí, že je jeden z jejích účtů prozrazen, mohou přihlašovací údaje už projít několika rukama. Právě proto je tak obtížné firemní přihlašovací údaje na dark webu spravovat. K úniku informací může dojít na jednom místě, data se mohou objevit jinde a útok, který následuje, může cílit na zcela jiný systém.
Než se tyto přihlašovací údaje objeví na dark webu, k úniku informací už někde došlo. To, co se tam objeví, je další riziko: kdo může data najít, kdo je může zneužít a jak rychle dokáže firma zareagovat. Firemní přihlašovací údaje na dark webu jsou pro kyberzločince cenným zdrojem, a proto musí být vaše firma připravena na situaci, kdy ji postihne únik informací.
Jak se kradou firemní přihlašovací údaje
Může trvat dny, týdny, nebo dokonce měsíce, než firma zjistí, že jí unikly přihlašovací údaje. Mohou být získány přes falešnou přihlašovací stránku, vytaženy z infikovaného zařízení, prozrazeny při úniku informací u dodavatele nebo zneužity ze starého osobního účtu, a často skončí na tržištích na dark webu, kde se odcizená data kupují ve velkém.
Phishing
Phishingové e-maily zůstávají běžnou cestou ke krádeži přihlašovacích údajů. Zaměstnanec se může dostat na stránku, která vypadá jako známá platforma SaaS, otevřít žádost o dokument, která po něm chce přihlášení, nebo následovat zprávu, jež vypadá, že pochází od důvěryhodné služby. Jakmile jsou přihlašovací údaje zadány, útočník je může zkusit použít okamžitě, nebo si je uložit na později. Jediný úspěšný phishingový útok může prozradit všechny systémy, ke kterým má kompromitovaný účet přístup.
Ransomware
Jiné úniky jsou méně viditelné. Během ransomwarových incidentů mohou útočníci ukrást soubory ještě před zašifrováním systémů, včetně seznamů účtů, konfiguračních souborů, hesel a záznamů o přístupech. Únik informací v dodavatelském řetězci může prozradit přihlašovací údaje přes dodavatele, smluvního partnera, poskytovatele softwaru nebo partnera spravovaných služeb, a to i tehdy, když první bod kompromitace nebyly vlastní systémy firmy.
Opakovaně použitá hesla
Když zaměstnanci používají stejné heslo pro osobní i pracovní účty, může se i únik informací mimo firmu stát problémem pro firmu. Útočníci nemusejí nejprve proniknout do pracovního systému. Mohou otestovat už uniklé přihlašovací údaje u desítek služeb a zjistit, kde stále fungují. Tento útok se nazývá credential stuffing.
Malware typu infostealer
Zdrojem prozrazení se mohou stát i zařízení zaměstnanců. Infostealer je malware vytvořený tak, aby ze zařízení shromažďoval uložená hesla, relace prohlížeče, cookies, data automatického vyplňování a další citlivé informace. Pokud se takové zařízení používá k práci, i jen občas, může osobní kompromitace dát útočníkům přístup k firemním účtům, nástrojům nebo komunikačním kanálům.
Než se přihlašovací údaje objeví ve zločineckém datasetu nebo zdroji na dark webu, může být původní krádež už dny, týdny nebo měsíce stará. Firma se nepotýká jen s uniklým heslem. Potýká se s nejistotou: odkud přihlašovací údaje pocházejí, kdo je viděl, zda byly testovány a co dalšího s nimi mohlo být prozrazeno.
Co se stane poté, co jsou přihlašovací údaje odcizeny
Jakmile jsou přihlašovací údaje odcizeny, málokdy zůstanou na jednom místě. Mohou být přidány do většího datasetu z úniku informací, sdíleny v soukromí, prodány ve velkém nebo použity různými skupinami k různým účelům. Někteří útočníci chtějí přímý přístup k účtu. Jiní chtějí seznamy platných firemních e-mailů, hesel, dat relací nebo účtů správců, které mohou dále prodat.
Hodnota závisí na tom, co přihlašovací údaje odemknou:
- Základní přihlášení zaměstnance může pomoci při phishingu nebo interním průzkumu.
- Opakovaně použité heslo může odemknout několik účtů.
- Přihlašovací údaje správce mohou poskytnout přístup k nastavení, zákaznickým datům, fakturačním údajům nebo správě uživatelů.
- Přihlášení k finančnímu účtu může podpořit platební podvod.
- Přihlašovací údaje k SaaS mohou prozradit dokumenty, zprávy, data projektů nebo zákaznické záznamy.
Firemní data na dark webu se stávají nebezpečnými, protože je lze zneužít k ničivým akcím. Přihlašovací údaje mohou odemknout účet, ale i částečné záznamy mohou útočníkům pomoci pochopit, za koho se vydávat, na které zákazníky cílit, které finanční procesy napodobit nebo na které zaměstnance dále tlačit. Co firmě připadá jako uniklá databáze, může někomu, kdo připravuje podvod, phishing, vishing nebo převzetí účtu, připadat jako sada příležitostí.
V našem článku, který představuje Proton Data Breach Observatory, jsme nastínili, že se mnoho úniků informací neobjeví ve zprávách, což skrývá skutečný rozsah problému. Proton vytvořil Observatory, aby ukázal, kde firemní data unikají na dark web, a pomohl organizacím pochopit nová rizika vyplývající z reálného prozrazení.
Jaká firemní data jsou na dark webu nejcennější
Nejcennější firemní data na dark webu se neomezují jen na hesla nebo platební údaje. Útočníci často hledají jakékoli informace, které jim pomohou získat přístup k účtům, vydávat se za zaměstnance, cílit na zákazníky nebo pochopit, jak firma funguje.
Proton Data Breach Observatory ukazuje, jak rozmanitá mohou prozrazená firemní data být, od jmen a e-mailových adres po kontaktní údaje, hesla a další záznamy, které mohou podpořit další útoky. I částečné informace mohou být užitečné, když se zkombinují s daty z jiných úniků.
Nejcennější firemní data pro útočníky obvykle zahrnují:
- Přihlašovací údaje: E-mailové adresy, hesla, cookies relací a ověřovací tokeny mohou útočníkům poskytnout přímou cestu do firemních účtů. Riziko je vyšší, když zaměstnanci používají stejná hesla v různých nástrojích nebo když není aktivováno MFA.
- Informace o zaměstnancích: Jména, pracovní pozice, pracovní e-maily, telefonní čísla a organizační údaje mohou útočníkům pomoci určit, na koho cílit a jak zajistit, aby zpráva vypadala věrohodně. Tato data mohou podpořit phishing, vydávání se za jinou osobu a pokusy o kompromitaci firemního e-mailu.
- Zákaznická data: Jména, kontaktní údaje, adresy, informace o účtu a historie nákupů mohou být zneužity k podvodům, krádeži identity, phishingu nebo sociálnímu inženýrství. I když tato data neobsahují hesla, mohou útočníkům pomoci udělat podvody osobnější a přesvědčivější.
- Finanční a platební informace: Faktury, bankovní údaje, fakturační záznamy, daňové dokumenty a platební data mohou podpořit fakturační podvody, podvody s přesměrováním plateb nebo pokusy vydávat se za dodavatele a partnery.
- Interní firemní dokumenty: Smlouvy, seznamy dodavatelů, soubory projektů, strategické dokumenty a provozní záznamy nemusejí poskytnout okamžitý přístup k účtu, ale mohou prozradit, jak firma funguje, na kom závisí a kde mohou útočníci najít slabá místa.
Opakovaně použitá hesla, uniklé přihlašovací údaje a předvídatelné kombinace jsou nejjednodušší cestou do firemního účtu. Není potřeba žádný exploit, stačí jen seznam a trpělivost. Ale i další prozrazená data pomáhají útočníkům vytvářet cílenější útoky. Jakmile se firemní informace objeví na dark webu, riziko nespočívá jen v tom, že může být kompromitován jeden účet. Stejná data lze zneužít, kombinovat a využívat dlouho po původním úniku informací.
Co dělat, když najdete firemní přihlašovací údaje na dark webu
Přesný odhad ztrát způsobených konkrétně aktivitou na dark webu sice neexistuje, ale hraje roli v mnohem větší ekonomice kyberkriminality. Akademická studie Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nové okno) odhaduje celkové globální škody způsobené kyberkriminalitou na přibližně 500 miliard USD ročně, přičemž pravděpodobné rozpětí je mezi 100 miliardami a 1 bilionem USD. Fóra a tržiště na dark webu přispívají k tomuto ekosystému tím, že usnadňují obchodování, kombinování a opětovné použití odcizených přihlašovacích údajů, osobních dat a firemních informací.
Pokud se firemní přihlašovací údaje objeví na dark webu, vaší první prioritou musí být snížit šanci, že je útočníci budou moci stále použít. Přihlašovací údaje prozrazené před měsíci mohou být stále platné, pokud nebylo změněno heslo, chybí vícefaktorové ověření (MFA) nebo bylo stejné heslo použito i v jiných nástrojích.
1. Zjistěte, kterých účtů, zaměstnanců a systémů se to může týkat
Resetujte prozrazená hesla, odvolejte aktivní relace a zkontrolujte, zda se stejná nebo podobná hesla nepoužívají i jinde. Pokud je účet propojen s e-mailem, úložištěm souborů, finančními systémy, zákaznickými daty nebo panely pro správce, považujte ho za rizikovější a projděte nedávnou aktivitu, zda neobsahuje podezřelá přihlášení, pravidla pro přeposílání, změny oprávnění nebo neobvyklá stahování.
Pokud se prozrazené přihlašovací údaje týkají osobních údajů, posuďte, zda je nutné incident nahlásit příslušnému dozorovému orgánu, ve Spojeném království ICO(nové okno), v každém členském státě EU pak národnímu úřadu pro ochranu osobních údajů. Podle GDPR Spojeného království i EU platí, že ne každý únik osobních údajů je nutné hlásit, ale organizace musí únik oznámit, pokud pravděpodobně představuje riziko pro práva a svobody lidí. Pokyny hlášení úniku(nové okno) od ICO mohou firmám pomoci incident posoudit a pochopit proces ohlašování.
2. Zaveďte MFA všude, kde je to možné
Zaměřte se především na nástroje, které obsahují citlivá firemní data, jako je e-mail, účty správců a cloudové platformy. Pokud už bylo MFA aktivováno, projděte způsob ověření a možnosti obnovy, abyste se ujistili, že jej útočníci nemohou obejít pomocí kompromitovaných záložních kódů, slabých e-mailových účtů pro obnovení nebo sociálního inženýrství.
3. Informujte dotčené interní uživatele
Dále je třeba informovat dotčené členy týmu a dát jim jasné pokyny, co změnit a na co si dávat pozor. Jakmile se přihlašovací údaje objeví na dark webu, mohou je útočníci použít k credential stuffingu, phishingu, vydávání se za jinou osobu nebo k pokusům přesunout se z jednoho kompromitovaného účtu do dalších firemních systémů.
4. Prověřte řízení přístupu
Odstraňte nepoužívané účty, aktualizujte oprávnění, zkontrolujte sdílené přihlašovací údaje a ujistěte se, že zaměstnanci používají jedinečná hesla pro každou firemní službu. Správce hesel může týmům pomoci vytvářet silnější hesla, bezpečně je ukládat, sdílet přístup bez prozrazení samotného hesla a poskytnout správcům lepší přehled o rizikovém chování při práci s hesly.
5. Sledujte další možné prozrazení
Nakonec sledujte i budoucí možné prozrazení. Data z dark webu se mohou znovu objevit, být přebalena nebo zkombinována s jinými úniky dlouho po původním úniku informací. Včasné odhalení prozrazených přihlašovacích údajů dává firmě lepší šanci obnovit přístup dřív, než útočníci promění uniklá data v převzetí účtu, podvod nebo rozsáhlejší bezpečnostní incident. Správce hesel pro firmy, jako je Proton Pass for Business, to usnadňuje tím, že identifikuje ohrožené účty a doručuje upozornění na úniky informací na jednom místě, takže se prozrazení objeví, aniž by je někdo musel hledat.
Jak Pass Monitor pomáhá odhalit prozrazení přihlašovacích údajů
Prozrazení na dark webu bývá často opožděné a roztříštěné. Uniklá e-mailová adresa se může objevit v jednom datasetu, heslo v jiném a související osobní údaje někde jinde. Sledování pomáhá tyto signály odhalit dřív, než jsou prozrazené přihlašovací údaje v tichosti zneužity k převzetí účtu, phishingu nebo podvodu.
S správcem hesel pro firmy, jako je Proton Pass for Business, mohou týmy ukládat přihlašovací údaje do šifrovaných trezorů hesel, generovat jedinečná hesla, automaticky vyplňovat přihlášení, bezpečně sdílet přístup, spravovat přístupové klíče a používat vestavěné dvoufázové ověření. Funkce pro správce, jako jsou zásady, reporty, logy, správa skupin, zřizování uživatelů přes SCIM a integrace SSO, pomáhají udržet přístup pod kontrolou, jak firma roste.
Náš nástroj pro sledování temného webu je funkce v Proton Pass for Business, která vám pomůže odhalit ohrožené firemní účty a dostávat upozornění na úniky informací na jednom místě. Zahrnuje sledování temného webu, kontrolu síly hesel a upozornění na neaktivní 2FA.
Pass Monitor umí upozornit uživatele, když dojde ke kompromitaci osobních údajů při úniku dat, a odhalit opakovaně používaná nebo slabá hesla. Síla hesla odhaduje, jak dlouho by trvalo heslo prolomit, takže tým vidí rozdíl mezi heslem, které padne za pár sekund, a heslem, jehož prolomení by trvalo roky.
Upozorňuje také na účty, kde není aktivní 2FA, což je důležitá dodatečná vrstva zabezpečení a často rozdíl mezi tím, kdy uniklé heslo znamená jen nepříjemnost, a skutečným únikem informací. Místo čekání, až se o úniku dat dozvíte, když už je pozdě, dejte své firmě nástroje, které potřebuje k ochraně.
Sledujte své firemní přihlašovací údaje na temném webu pomocí firemního správce hesel.
