En enkelt stjålen adgangskode forårsager ikke umiddelbart kaos. Den kan være lagret i en lækket database eller pakket sammen med tusindvis af andre poster. Nogle gange bliver den handlet, videresolgt, testet mod andre tjenester eller brugt uger senere i en phishingkampagne, der ser ud til at være uden forbindelse til det oprindelige databrud.

Når en virksomhed opdager, at en af dens konti er eksponeret, kan legitimationsoplysningen allerede have været gennem flere hænder. Det er det, der gør virksomhedslegitimationsoplysninger på dark web så svære at administrere. Databruddet kan ske ét sted, dataene kan dukke op et andet sted, og det efterfølgende angreb kan ramme et helt andet system.

Når disse legitimationsoplysninger dukker op på dark web, er databruddet allerede sket et sted. Det, der bliver synligt der, er den næste risiko: hvem kan finde dataene, hvem kan genbruge dem, og hvor hurtigt virksomheden kan reagere. Virksomhedslegitimationsoplysninger på dark web er en værdifuld ressource for cyberkriminelle, så din virksomhed skal være forberedt, hvis den bliver ramt af et databrud.

Sådan bliver virksomhedslegitimationsoplysninger stjålet

Der kan gå dage, uger eller endda måneder, før en virksomhed opdager, at legitimationsoplysninger er lækket. De kan være fanget via en falsk login-side, hentet fra en inficeret enhed, eksponeret i et databrud hos en leverandør eller genbrugt fra en gammel privat konto og ender ofte på markedspladser på dark web, hvor stjålne data købes i store mængder.

Phishing

Phishing-e-mails er fortsat en almindelig vej til tyveri af legitimationsoplysninger. En medarbejder kan havne på en side, der ligner en velkendt SaaS-platform, åbne en dokumentanmodning, der beder om at logge ind, eller følge en besked, der ser ud til at komme fra en betroet tjeneste. Når legitimationsoplysningen er indtastet, kan angriberen forsøge at bruge den med det samme eller gemme den til senere. Et enkelt vellykket phishingangreb kan eksponere alle de systemer, som den kompromitterede konto har adgang til.

Ransomware

Andre lækager er mindre synlige. Under ransomware-hændelser kan angribere stjæle filer, før de krypterer systemerne, herunder kontolister, konfigurationsfiler, adgangskoder og adgangsregistre. Et databrud i forsyningskæden kan eksponere legitimationsoplysninger via en leverandør, en underleverandør, en softwareudbyder eller en managed service-partner, selv når virksomhedens egne systemer ikke var det første sted, der blev kompromitteret.

Genbrugte adgangskoder

Når medarbejdere bruger den samme adgangskode på tværs af private og arbejdsrelaterede konti, kan et databrud uden for virksomheden stadig blive et problem for forretningen. Angribere behøver ikke først at bryde ind i arbejdssystemet. De kan teste allerede lækkede legitimationsoplysninger på snesevis af tjenester og se, hvor de stadig virker – et angreb kendt som credential stuffing.

Infostealer-malware

Medarbejderes enheder kan også blive en kilde til eksponering. Infostealer-malware er bygget til at indsamle gemte adgangskoder, browsersessioner, cookies, autofylddata og andre følsomme oplysninger fra en enhed. Hvis den enhed bruges til arbejde, selv lejlighedsvis, kan en personlig kompromittering give angribere adgang til virksomhedens konti, værktøjer eller kommunikationskanaler.

Når legitimationsoplysningen dukker op i et kriminelt datasæt eller en kilde på dark web, kan det oprindelige tyveri allerede være dage, uger eller måneder gammelt. Virksomheden har ikke kun at gøre med en lækket adgangskode. Den har at gøre med usikkerhed: hvor legitimationsoplysningen kom fra, hvem der har set den, om den blev testet, og hvad der ellers kan være blevet eksponeret sammen med den.

Hvad der sker, efter legitimationsoplysninger er blevet stjålet

Når legitimationsoplysninger er blevet stjålet, forbliver de sjældent ét sted. De kan blive føjet til et større databrud-datasæt, delt privat, solgt i store mængder eller brugt af forskellige grupper til forskellige formål. Nogle angribere vil have direkte adgang til konti. Andre vil have lister over gyldige virksomheds-e-mails, adgangskoder, sessionsdata eller adminkonti, som de kan videresælge.

Værdien afhænger af, hvad legitimationsoplysningen giver adgang til:

  • Et almindeligt medarbejderlogin kan hjælpe med phishing eller intern rekognoscering
  • En genbrugt adgangskode kan åbne flere konti
  • En admin-legitimationsoplysning kan give adgang til indstillinger, kundedata, faktureringsoplysninger eller brugeradministration
  • Et login til en finanskonto kan understøtte betalingssvindel
  • SaaS-legitimationsoplysninger kan eksponere dokumenter, beskeder, projektdata eller kunderegistre

Virksomhedsdata på dark web bliver farlige, fordi de kan bruges til at udføre destruktive handlinger. En legitimationsoplysning kan åbne en konto, men selv delvise poster kan hjælpe angribere med at forstå, hvem de skal udgive sig for at være, hvilke kunder de skal målrette mod, hvilke finansprocesser de skal efterligne, eller hvilke medarbejdere de skal presse næste gang. Det, der ser ud som en lækket database for virksomheden, kan se ud som en række muligheder for en person, der forbereder svindel, phishing, vishing eller overtagelse af konto.

I vores artikel, der introducerer Proton Data Breach Observatory⁠, skitserede vi, at mange databrud ikke kommer i nyhederne, hvilket skjuler problemets sande omfang. Proton byggede Observatory for at vise, hvor virksomhedsdata lækker til dark web, og for at hjælpe organisationer med at forstå nye risici fra eksponering i den virkelige verden.

Hvilke virksomhedsdata er mest værdifulde på dark web

De mest værdifulde virksomhedsdata på dark web er ikke begrænset til adgangskoder eller betalingsoplysninger. Angribere leder ofte efter enhver information, der hjælper dem med at få adgang til konti, udgive sig for at være medarbejdere, målrette mod kunder eller forstå, hvordan en virksomhed fungerer.

Protons Data Breach Observatory⁠ viser, hvor forskelligartede eksponerede virksomhedsdata kan være – fra navne og e-mailadresser til kontaktdetaljer, adgangskoder og andre poster, der kan understøtte yderligere angreb. Selv delvise oplysninger kan blive nyttige, når de kombineres med data fra andre lækager.

De virksomhedsdata, der er mest værdifulde for angribere, omfatter typisk:

  • Legitimationsoplysninger til login: E-mailadresser, adgangskoder, sessionscookies og godkendelsestokener kan give angribere en direkte vej ind i virksomhedens konti. Risikoen er større, når medarbejdere genbruger adgangskoder på tværs af værktøjer, eller når MFA ikke er aktiveret.
  • Medarbejderoplysninger: Navne, jobtitler, arbejds-e-mails, telefonnumre og organisatoriske detaljer kan hjælpe angribere med at identificere, hvem de skal målrette mod, og hvordan de får en besked til at virke troværdig. Disse data kan understøtte phishing, identitetsmisbrug og forsøg på kompromittering af virksomheds-e-mail.
  • Kundedata: Navne, kontaktdetaljer, adresser, kontooplysninger og købshistorik kan bruges til svindel, identitetstyveri, phishing eller social engineering. Selv når disse data ikke indeholder adgangskoder, kan de hjælpe angribere med at gøre svindelnumre mere personlige og overbevisende.
  • Finansielle oplysninger og betalingsoplysninger: Fakturaer, bankoplysninger, faktureringsposter, skattedokumenter og betalingsdata kan understøtte fakturasvindel, svindel med omdirigering af betalinger eller forsøg på at udgive sig for at være leverandører og partnere.
  • Interne virksomhedsdokumenter: Kontrakter, leverandørlister, projektfiler, strategidokumenter og driftsregistre giver måske ikke umiddelbar adgang til konti, men de kan afsløre, hvordan virksomheden fungerer, hvem den er afhængig af, og hvor angribere kan finde svagheder.

Genbrugte adgangskoder, lækkede legitimationsoplysninger og forudsigelige kombinationer er den nemmeste vej ind i en virksomhedskonto – ingen exploit kræves, bare en liste og tålmodighed. Men andre eksponerede data hjælper stadig angribere med at bygge mere målrettede angreb. Når først virksomhedsoplysninger dukker op på dark web, er risikoen ikke kun, at en enkelt konto kan blive kompromitteret. De samme data kan genbruges, kombineres og udnyttes længe efter det oprindelige databrud.

Hvad du skal gøre, hvis du finder dine virksomhedslegitimationsoplysninger på dark web

Der findes ikke et præcist skøn over tab, der specifikt skyldes aktivitet på dark web, men det spiller en rolle i en langt større cyberkriminalitetsøkonomi. En akademisk gennemgang, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nyt vindue), anslår de samlede globale tab som følge af cyberkriminalitet til cirka 500 mia. USD om året, med et sandsynligt interval mellem 100 mia. og 1 billion USD. Dark web-fora og markedspladser bidrager til dette økosystem ved at gøre stjålne legitimationsoplysninger, personoplysninger og virksomhedsoplysninger lettere at handle med, kombinere og genbruge.

Hvis virksomhedslegitimationsoplysninger findes på dark web, skal din første prioritet være at reducere risikoen for, at angribere stadig kan bruge dem. En legitimationsoplysning, der blev eksponeret for måneder siden, kan stadig være gyldig, hvis adgangskoden ikke er blevet ændret, hvis multi-faktor-godkendelse (MFA) mangler, eller hvis den samme adgangskode er blevet genbrugt på tværs af andre værktøjer.

1. Identificér, hvilke konti, medarbejdere og systemer der kan være berørt

Nulstil de eksponerede adgangskoder, tilbagekald aktive sessioner, og kontrollér, om de samme eller lignende adgangskoder er blevet brugt andre steder. Hvis kontoen er forbundet med e-mail, fillagring, finanssystemer, kundedata eller adminpaneler, skal den behandles som højere risiko, og den seneste aktivitet skal gennemgås for mistænkelige logins, videresendelsesregler, ændringer i tilladelser eller usædvanlige downloads.

Hvis de eksponerede legitimationsoplysninger omfatter personoplysninger, skal du vurdere, om hændelsen skal indberettes til den relevante tilsynsmyndighed – ICO(nyt vindue) i Storbritannien, den nationale databeskyttelsesmyndighed i hver EU-medlemsstat. Både i henhold til britisk og EU’s GDPR er det ikke alle brud på persondatasikkerheden, der skal indberettes, men organisationer skal underrette, når bruddet sandsynligvis udgør en risiko for personers rettigheder og friheder. ICO’s vejledning om at indberette et databrud(nyt vindue)⁠ kan hjælpe virksomheder med at vurdere hændelsen og forstå indberetningsprocessen.

2. Gennemtving MFA, hvor det er muligt

Sørg for at fokusere på værktøjer, der indeholder følsomme virksomhedsdata såsom e-mail, adminkonti og cloudplatforme. Hvis MFA allerede var aktiveret, skal godkendelsesmetoden og gendannelsesmulighederne gennemgås for at sikre, at angribere ikke kan omgå den via kompromitterede sikkerhedskopikoder, svage gendannelses-e-mailkonti eller social engineering.

3. Underret berørte interne brugere

Derefter skal du informere de teammedlemmer, der er blevet berørt, og give klare instruktioner om, hvad der skal ændres, og hvad der skal holdes øje med. Når først legitimationsoplysninger dukker op på dark web, kan angribere bruge dem til credential stuffing, phishing, identitetsmisbrug eller forsøg på at bevæge sig fra en kompromitteret konto ind i andre virksomhedssystemer.

4. Gennemgå dine adgangskontroller

Fjern ubrugte konti, opdater tilladelser, kontrollér delte legitimationsoplysninger, og sørg for, at medarbejderne bruger unikke adgangskoder til hver virksomhedstjeneste. En adgangskodeadministrator kan hjælpe teams med at generere stærkere adgangskoder, opbevare dem sikkert, dele adgang uden at afsløre selve adgangskoden og give administratorer bedre indsigt i risikabel adfærd med adgangskoder.

5. Fortsæt overvågningen for yderligere eksponering

Afslutningsvis skal du fortsætte overvågningen for fremtidig eksponering. Data fra dark web kan dukke op igen, blive pakket om eller kombineres med andre lækager længe efter det oprindelige databrud. At finde eksponerede legitimationsoplysninger tidligt giver virksomheden en bedre chance for at nulstille adgangen, før angribere forvandler lækkede data til overtagelse af konto, svindel eller en bredere sikkerhedshændelse. En adgangskodeadministrator til virksomheder som Proton Pass for Business gør det lettere ved at identificere sårbare konti og levere advarsler om databrud ét sted, så eksponering dukker op, uden at nogen behøver at lede efter den.

Sådan hjælper Pass Monitor med at opdage eksponering af legitimationsoplysninger

Eksponering på dark web er ofte forsinket og fragmenteret. En lækket e-mailadresse kan dukke op i ét datasæt, en adgangskode i et andet og relaterede personoplysninger et helt tredje sted. Overvågning hjælper med at afdække disse signaler tidligere, før eksponerede legitimationsoplysninger i al stilhed genbruges til overtagelse af konto, phishing eller svindel.

Med en adgangskodeadministrator til virksomheder som Proton Pass for Business⁠ kan teams gemme legitimationsoplysninger i krypterede adgangskodebokse, generere unikke adgangskoder, autofylde login, dele adgang sikkert, administrere adgangsnøgler og bruge indbygget tofaktorgodkendelse. Adminfunktioner som politikker, rapportering, logfiler, gruppeadministration, SCIM-provisionering og SSO-integration hjælper med at holde adgangen kontrolleret, efterhånden som virksomheden vokser.

Vores værktøj til overvågning af det mørke net er en funktion i Proton Pass for Business, der hjælper med at identificere sårbare virksomhedskonti og modtage varsler om databrud ét samlet sted. Det omfatter overvågning af det mørke net, tjek af adgangskodesundhed og varsler om inaktiv 2FA.

Pass Monitor kan advare brugere, når personlige oplysninger kompromitteres i en datalækage, og identificere genbrugte eller svage adgangskoder. Adgangskodesundhed vurderer, hvor lang tid det ville tage at knække en adgangskode, så et team kan se forskellen på en adgangskode, der knækkes på få sekunder, og en, der ville tage årevis.

Den fremhæver også konti, hvor 2FA er inaktivt – et vigtigt ekstra sikkerhedslag og ofte forskellen på, om en lækket adgangskode er en gene eller et databrud. I stedet for at vente på at få besked om et databrud, når det er for sent, kan du give din virksomhed de værktøjer, den har brug for til at beskytte sig selv.

Overvåg din virksomheds legitimationsoplysninger på det mørke net med en adgangskodeadministrator til virksomheder⁠.