Yksi varastettu salasana ei aiheuta heti kaaosta. Se voi olla tallennettuna vuotaneessa tietokannassa tai paketoituna tuhansien muiden tietueiden kanssa. Joskus sillä käydään kauppaa, se myydään eteenpäin, sitä testataan muita palveluita vastaan tai se otetaan käyttöön viikkoja myöhemmin tietojenkalastelukampanjassa, joka näyttää liittymättömältä alkuperäiseen murtoon.
Kun yritys huomaa, että yksi sen tileistä on altistunut, kirjautumistiedot ovat saattaneet jo kulkea useiden käsien kautta. Juuri siksi pimeän verkon yritysten kirjautumistietoja on niin vaikea hallita. Murto voi tapahtua yhdessä paikassa, tiedot voivat ilmestyä toisaalle ja seuraava hyökkäys voi kohdistua täysin eri järjestelmään.
Kun nämä kirjautumistiedot ilmestyvät pimeään verkkoon, murto on jo tapahtunut jossakin. Siellä näkyväksi tulee seuraava riski: kuka tiedot voi löytää, kuka voi käyttää niitä uudelleen ja miten nopeasti yritys pystyy reagoimaan. Pimeän verkon yritysten kirjautumistiedot ovat arvokas resurssi kyberrikollisille, joten yrityksesi on varauduttava siihen, että se voi joutua tietomurron kohteeksi.
Miten yritysten kirjautumistiedot varastetaan
Kestää päiviä, viikkoja tai jopa kuukausia ennen kuin yritys huomaa, että kirjautumistiedot ovat vuotaneet. Ne voidaan kaapata väärennetyn kirjautumissivun kautta, poimia tartunnan saaneesta laitteesta, paljastaa toimittajaan kohdistuneessa murrossa tai käyttää uudelleen vanhasta henkilökohtaisesta tilistä, ja ne päätyvät usein pimeän verkon markkinapaikoille, joissa varastettuja tietoja ostetaan tukuttain.
Tietojenkalastelu
Tietojenkalastelusähköpostit ovat edelleen yleinen reitti kirjautumistietojen varastamiseen. Työntekijä voi päätyä sivulle, joka näyttää tutulta SaaS-alustalta, avata asiakirjapyynnön, joka kehottaa kirjautumaan sisään, tai seurata viestiä, joka näyttää tulevan luotetulta palvelulta. Kun kirjautumistiedot on syötetty, hyökkääjä voi yrittää käyttää niitä heti tai tallentaa ne myöhempää käyttöä varten. Yksi onnistunut tietojenkalasteluhyökkäys voi paljastaa kaikki järjestelmät, joihin vaarantunut tili pääsee käsiksi.
Kiristyshaittaohjelmat
Muut vuodot ovat vähemmän näkyviä. Kiristyshaittaohjelmatapauksissa hyökkääjät voivat varastaa tiedostoja ennen järjestelmien salaamista, mukaan lukien tililuettelot, määritystiedostot, salasanat ja käyttötiedot. Toimitusketjuun kohdistuva murto voi paljastaa kirjautumistietoja toimittajan, urakoitsijan, ohjelmistotoimittajan tai hallitun palvelun kumppanin kautta, vaikka yrityksen omat järjestelmät eivät olisi olleet ensimmäinen altistumisen piste.
Toistuvat salasanat
Kun työntekijät käyttävät samaa salasanaa sekä henkilökohtaisilla että työtileillä, yrityksen ulkopuolinen murto voi silti muodostua yrityksen ongelmaksi. Hyökkääjien ei tarvitse murtautua ensin työjärjestelmään. He voivat testata jo vuotaneita kirjautumistietoja kymmenissä palveluissa ja katsoa, missä ne toimivat edelleen. Tätä hyökkäystä kutsutaan credential stuffingiksi.
Infostealer-haittaohjelmat
Työntekijöiden laitteet voivat myös muodostua altistumisen lähteeksi. Infostealer-haittaohjelmat on suunniteltu keräämään laitteesta tallennettuja salasanoja, selainistuntoja, evästeitä, automaattitäytön tietoja ja muuta arkaluonteista tietoa. Jos laitetta käytetään työhön, vaikka vain satunnaisesti, henkilökohtainen altistuminen voi antaa hyökkääjille pääsyn yrityksen tileihin, työkaluihin tai viestintäkanaviin.
Kun kirjautumistiedot ilmestyvät rikolliseen tietoaineistoon tai pimeän verkon lähteeseen, alkuperäinen varkaus voi olla jo päivien, viikkojen tai kuukausien takainen. Yritys ei ole tekemisissä vain vuotaneen salasanan kanssa. Se on tekemisissä epävarmuuden kanssa: mistä kirjautumistiedot tulivat, kuka on nähnyt ne, onko niitä testattu ja mitä muuta niiden mukana on saattanut paljastua.
Mitä tapahtuu, kun kirjautumistiedot varastetaan
Kun kirjautumistiedot on varastettu, ne pysyvät harvoin yhdessä paikassa. Ne voidaan lisätä suurempaan murtoaineistoon, jakaa yksityisesti, myydä tukuttain tai eri ryhmät voivat käyttää niitä eri tarkoituksiin. Jotkut hyökkääjät haluavat suoran pääsyn tiliin. Toiset haluavat luetteloita kelvollisista yrityssähköposteista, salasanoista, istuntotiedoista tai ylläpitäjätileistä, jotka he voivat myydä edelleen.
Arvo riippuu siitä, mitä kirjautumistiedot avaavat:
- Perustason työntekijän kirjautuminen voi auttaa tietojenkalastelussa tai sisäisessä tiedustelussa
- Toistuva salasana voi avata useita tilejä
- Ylläpitäjän kirjautumistiedot voivat antaa pääsyn asetuksiin, asiakastietoihin, laskutustietoihin tai käyttäjähallintaan
- Taloushallinnon tilin kirjautuminen voi mahdollistaa maksupetoksen
- SaaS-palvelun kirjautumistiedot voivat paljastaa asiakirjoja, viestejä, projektitietoja tai asiakastietoja
Pimeässä verkossa oleva yritysdata muuttuu vaaralliseksi, koska sitä voidaan käyttää tuhoisiin toimiin. Kirjautumistiedot voivat avata tilin, mutta jo pelkät osittaiset tietueet voivat auttaa hyökkääjiä ymmärtämään, ketä kannattaa esittää, mihin asiakkaisiin kohdistaa, mitä talousprosesseja jäljitellä tai keihin työntekijöihin painostaa seuraavaksi. Se, mikä yritykselle näyttää vuotaneelta tietokannalta, voikin näyttää henkilölle, joka valmistelee petosta, tietojenkalastelua, vishingiä tai tilin haltuunottoa, joukolta mahdollisuuksia.
Protonin Data Breach Observatory-palvelua esittelevässä artikkelissamme totesimme, että monet murrot eivät päädy uutisiin, mikä piilottaa ongelman todellisen laajuuden. Proton rakensi Observatorion näyttääkseen, missä yritysdata vuotaa pimeään verkkoon, ja auttaakseen organisaatioita ymmärtämään todellisesta altistumisesta nousevia riskejä.
Mikä yritysdata on arvokkainta pimeässä verkossa
Arvokkain yritysdata pimeässä verkossa ei rajoitu salasanoihin tai maksutietoihin. Hyökkääjät etsivät usein mitä tahansa tietoa, joka auttaa heitä pääsemään tileihin, esiintymään työntekijöinä, kohdistamaan asiakkaisiin tai ymmärtämään, miten yritys toimii.
Protonin Data Breach Observatory näyttää, kuinka moninaista altistunut yritysdata voi olla: nimistä ja sähköpostiosoitteista yhteystietoihin, salasanoihin ja muihin tietueisiin, jotka voivat tukea uusia hyökkäyksiä. Jo osittainen tieto voi olla hyödyllistä, kun se yhdistetään muista vuodoista peräisin oleviin tietoihin.
Hyökkääjille arvokkain yritysdata sisältää yleensä:
- Kirjautumistiedot: Sähköpostiosoitteet, salasanat, istuntoevästeet ja tunnistautumistunnisteet voivat antaa hyökkääjille suoran reitin yrityksen tileihin. Riski on suurempi, jos työntekijät käyttävät samoja salasanoja eri työkaluissa tai jos MFA ei ole käytössä.
- Työntekijätiedot: Nimet, työtehtävät, työsähköpostit, puhelinnumerot ja organisaatiotiedot voivat auttaa hyökkääjiä tunnistamaan, keihin kohdistaa ja miten saada viesti näyttämään uskottavalta. Nämä tiedot voivat tukea tietojenkalastelua, toisen henkilönä esiintymistä ja yrityssähköpostien kaappausyrityksiä.
- Asiakastiedot: Nimiä, yhteystietoja, osoitteita, tilitietoja ja ostohistoriaa voidaan käyttää petoksiin, identiteettivarkauteen, tietojenkalasteluun tai sosiaaliseen manipulointiin. Vaikka nämä tiedot eivät sisältäisi salasanoja, ne voivat auttaa hyökkääjiä tekemään huijauksista henkilökohtaisempia ja vakuuttavampia.
- Talous- ja maksutiedot: Laskut, pankkitiedot, laskutustiedot, verotusasiakirjat ja maksutiedot voivat mahdollistaa laskupetoksia, maksujen uudelleenohjaushuijauksia tai yrityksiä esiintyä toimittajina ja kumppaneina.
- Yrityksen sisäiset asiakirjat: Sopimukset, toimittajaluettelot, projektitiedostot, strategia-asiakirjat ja toiminnan tietueet eivät välttämättä anna välitöntä pääsyä tileihin, mutta ne voivat paljastaa, miten yritys toimii, keistä se on riippuvainen ja mistä hyökkääjät voivat löytää heikkouksia.
Toistuvat salasanat, vuotaneet kirjautumistiedot ja ennakoitavat yhdistelmät ovat helpoimpia reittejä yrityksen tiliin: haavoittuvuutta ei tarvita, vain lista ja kärsivällisyyttä. Mutta muukin altistunut data auttaa hyökkääjiä rakentamaan kohdennetumpia hyökkäyksiä. Kun yritystietoja ilmestyy pimeään verkkoon, riski ei ole vain se, että yksi tili voi vaarantua. Samoja tietoja voidaan käyttää uudelleen, yhdistellä ja hyödyntää kauan alkuperäisen murron jälkeen.
Mitä tehdä, jos yrityksesi kirjautumistiedot löytyvät pimeästä verkosta
Vaikka pimeän verkon toiminnasta aiheutuville tappioille ei ole tarkkaa arviota, sillä on roolinsa paljon suuremmassa kyberrikollisuuden taloudessa. Tieteellinen katsaus Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(uusi ikkuna) arvioi maailmanlaajuisten kyberrikollisuusvahinkojen kokonaismääräksi noin 500 miljardia dollaria vuodessa, ja todennäköinen vaihteluväli on 100 miljardista 1 biljoonaan dollariin. Pimeän verkon foorumit ja markkinapaikat ruokkivat osaltaan tätä ekosysteemiä tekemällä varastetuista kirjautumistiedoista, henkilötiedoista ja yritystiedoista helpommin vaihdettavia, yhdisteltäviä ja uudelleen käytettäviä.
Jos yrityksen kirjautumistietoja löytyy pimeästä verkosta, ensimmäinen prioriteettisi on vähentää mahdollisuutta, että hyökkääjät voivat yhä käyttää niitä. Kuukausia sitten altistuneet kirjautumistiedot voivat olla edelleen voimassa, jos salasanaa ei ole vaihdettu, monivaiheinen tunnistautuminen (MFA) puuttuu tai samaa salasanaa on käytetty uudelleen muissa työkaluissa.
1. Selvitä, mihin tileihin, työntekijöihin ja järjestelmiin vuoto voi vaikuttaa
Vaihda altistuneet salasanat, mitätöi aktiiviset istunnot ja tarkista, onko samoja tai samankaltaisia salasanoja käytetty muualla. Jos tili on yhteydessä sähköpostiin, tiedostotallennukseen, talousjärjestelmiin, asiakastietoihin tai ylläpitopaneeleihin, pidä sitä suurempana riskinä ja käy läpi viimeaikainen toiminta epäilyttävien kirjautumisten, välityssääntöjen, käyttöoikeusmuutosten tai tavallisuudesta poikkeavien latausten varalta.
Jos altistuneisiin kirjautumistietoihin liittyy henkilötietoja, arvioi, onko tapauksesta ilmoitettava asianomaiselle valvontaviranomaiselle: ICO(uusi ikkuna):lle Isossa-Britanniassa tai kansalliselle tietosuojaviranomaiselle kussakin EU:n jäsenvaltiossa. Sekä Ison-Britannian että EU:n GDPR:n mukaan kaikista henkilötietojen tietoturvaloukkauksista ei tarvitse ilmoittaa, mutta organisaatioiden on ilmoitettava, kun loukkaus todennäköisesti aiheuttaa riskin ihmisten oikeuksille ja vapauksille. ICO:n ilmoita tietoturvaloukkauksesta(uusi ikkuna)-ohjeet voivat auttaa yrityksiä arvioimaan tapausta ja ymmärtämään ilmoitusprosessin.
2. Ota MFA käyttöön kaikkialla, missä se on mahdollista
Keskity työkaluihin, jotka sisältävät arkaluonteista yritysdataa, kuten sähköposti, ylläpitäjätilit ja pilvialustat. Jos MFA oli jo käytössä, käy läpi tunnistautumismenetelmä ja palautusvaihtoehdot ja varmista, etteivät hyökkääjät voi ohittaa sitä vaarantuneiden varmuuskopiokoodien, heikkojen palautussähköpostitilien tai sosiaalisen manipuloinnin avulla.
3. Ilmoita altistuneille sisäisille käyttäjille
Seuraavaksi tiedota tiimin jäsenille, joihin tilanne vaikuttaa, ja anna selkeät ohjeet siitä, mitä muuttaa ja mitä tarkkailla. Kun kirjautumistiedot ilmestyvät pimeään verkkoon, hyökkääjät voivat käyttää niitä credential stuffing -hyökkäyksiin, tietojenkalasteluun, toisen henkilönä esiintymiseen tai yrityksiin siirtyä vaarantuneesta tilistä muihin yrityksen järjestelmiin.
4. Käy läpi käyttöoikeuksien hallintasi
Poista käyttämättömät tilit, päivitä käyttöoikeudet, tarkista jaetut kirjautumistiedot ja varmista, että työntekijät käyttävät yksilöllisiä salasanoja jokaisessa yrityksen palvelussa. Salasananhallinta voi auttaa tiimejä luomaan vahvempia salasanoja, tallentamaan ne turvallisesti, jakamaan pääsyn paljastamatta itse salasanaa ja antamaan ylläpitäjille paremman näkyvyyden riskialttiiseen salasanakäyttäytymiseen.
5. Jatka valvontaa uusien altistumisten varalta
Jatka lopuksi valvontaa myös tulevien altistumisten varalta. Pimeän verkon data voi nousta uudelleen esiin, tulla paketoitua uudelleen tai yhdistyä muihin vuotoihin kauan alkuperäisen murron jälkeen. Altistuneiden kirjautumistietojen löytäminen ajoissa antaa yritykselle paremman mahdollisuuden katkaista pääsy ennen kuin hyökkääjät muuttavat vuotaneet tiedot tilin haltuunotoksi, petokseksi tai laajemmaksi tietoturvahäiriöksi. Yritysten salasananhallinta, kuten Proton Pass for Business, helpottaa tätä tunnistamalla haavoittuvia tilejä ja toimittamalla tietomurtohälytykset yhteen paikkaan, jolloin altistumiset nousevat esiin ilman, että kenenkään tarvitsee lähteä etsimään niitä.
Miten Pass Monitor auttaa havaitsemaan kirjautumistietojen altistumisen
Pimeän verkon altistuminen on usein viivästynyttä ja hajanaista. Vuotanut sähköpostiosoite voi ilmestyä yhteen tietoaineistoon, salasana toiseen ja niihin liittyvät henkilötiedot jonnekin muualle. Valvonta auttaa tuomaan nämä signaalit esiin aiemmin, ennen kuin altistuneita kirjautumistietoja käytetään hiljaisesti uudelleen tilin haltuunotossa, tietojenkalastelussa tai petoksessa.
Kun käytössä on yrityksen salasananhallinta, kuten Proton Pass for Business, tiimit voivat tallentaa kirjautumistietoja salattuihin salasanaholveihin, luoda yksilöllisiä salasanoja, täyttää kirjautumiset automaattisesti, jakaa käyttöoikeuksia turvallisesti, hallita pääsyavaimia ja käyttää sisäänrakennettua kaksivaiheista tunnistautumista. Ylläpitäjän ominaisuudet, kuten käytännöt, raportointi, lokit, ryhmien hallinta, SCIM-käyttöönotto ja SSO-integraatio, auttavat pitämään käyttöoikeudet hallinnassa yrityksen kasvaessa.
Pimeän verkon valvontatyökalumme on Proton Pass for Businessin ominaisuus, joka auttaa tunnistamaan yrityksen haavoittuvat tilit ja vastaanottamaan tietomurtoilmoitukset yhdessä paikassa. Se sisältää pimeän verkon valvonnan, salasanaterveyden tarkistukset ja ilmoitukset tileistä, joilla 2FA ei ole käytössä.
Pass Monitor voi varoittaa käyttäjiä, kun henkilötiedot altistuvat tietovuodossa, ja tunnistaa uudelleenkäytetyt tai heikot salasanat. Salasanaterveys arvioi, kuinka kauan salasanan murtaminen kestäisi, joten tiimi näkee eron sekunneissa murtuvan salasanan ja sellaisen välillä, jonka murtaminen kestäisi vuosia.
Se nostaa esiin myös tilit, joilla 2FA ei ole käytössä, mikä on tärkeä lisäturvakerros ja usein ratkaisee sen, onko vuotanut salasana pelkkä harmi vai varsinainen murto. Sen sijaan, että odottaisit tietoa tietomurrosta kunnes on liian myöhäistä, anna yrityksellesi työkalut, joita se tarvitsee suojellakseen itseään.
Valvo yrityksesi kirjautumistietoja pimeässä verkossa yrityksen salasananhallinnalla.
