Come finiscono le credenziali aziendali rubate sul dark web e cosa fare al riguardo

Una singola password rubata non causa immediatamente il caos. Potrebbe essere archiviata in un database oggetto di una perdita o inclusa in un pacchetto con migliaia di altri record. A volte viene scambiata, rivenduta, testata su altri servizi o utilizzata settimane dopo in una campagna di phishing che sembra non avere alcun legame con la violazione originale.

Quando un’azienda si accorge che uno dei suoi account è esposto, la credenziale può essere già passata attraverso diverse mani. È questo che rende le credenziali aziendali sul dark web così difficili da gestire. La violazione può avvenire in un luogo, i dati possono comparire altrove e l’attacco che ne segue può prendere di mira un sistema completamente diverso.

Quando quelle credenziali compaiono sul dark web, la violazione è già avvenuta da qualche parte. Ciò che diventa visibile lì è il rischio successivo: chi può trovare i dati, chi può riutilizzarli e quanto rapidamente l’azienda può reagire. Le credenziali aziendali sul dark web sono una risorsa preziosa per i cybercriminali, quindi la tua azienda deve essere preparata nel caso in cui venga colpita da una violazione dei dati.

Come vengono rubate le credenziali aziendali

Possono passare giorni, settimane o addirittura mesi prima che un’azienda si accorga che le credenziali sono trapelate. Possono essere catturate tramite una pagina di login falsa, estratte da un dispositivo infetto, esposte in una violazione di un fornitore o riutilizzate da un vecchio account personale, finendo spesso su marketplace del dark web dove i dati rubati vengono acquistati in blocco.

Phishing

Le email di phishing restano una via comune per il furto di credenziali. Un dipendente può atterrare su una pagina che sembra una piattaforma SaaS familiare, aprire una richiesta di documenti che gli chiede di accedere o seguire un messaggio che sembra provenire da un servizio attendibile. Una volta inserita la credenziale, l’attaccante può provare a usarla immediatamente o conservarla per dopo. Un singolo attacco di phishing riuscito può esporre ogni sistema a cui l’account compromesso può accedere.

Ransomware

Altre perdite sono meno visibili. Durante gli incidenti di ransomware, gli attaccanti possono rubare file prima di crittografare i sistemi, incluse liste di account, file di configurazione, password e registri di accesso. Una violazione della catena di fornitura può esporre le credenziali tramite un fornitore, un appaltatore, un fornitore di software o un partner di servizi gestiti, anche quando i sistemi dell’azienda stessa non sono stati il primo punto di compromissione.

Password utilizzate più volte

Quando i dipendenti usano la stessa password per account personali e di lavoro, una violazione esterna all’azienda può comunque diventare un problema aziendale. Gli attaccanti non hanno bisogno di violare prima il sistema di lavoro. Possono testare credenziali già trapelate su decine di servizi e vedere dove funzionano ancora: un attacco noto come credential stuffing.

Malware infostealer

Anche i dispositivi dei dipendenti possono diventare una fonte di esposizione. Il malware infostealer è progettato per raccogliere password salvate, sessioni browser, cookie, dati di riempimento automatico e altre informazioni sensibili da un dispositivo. Se quel dispositivo viene usato per lavoro, anche occasionalmente, una compromissione personale può dare agli attaccanti accesso ad account aziendali, strumenti o canali di comunicazione.

Quando la credenziale compare in un dataset criminale o in una fonte del dark web, il furto originale può risalire già a giorni, settimane o mesi prima. L’azienda non ha a che fare solo con una password trapelata. Ha a che fare con l’incertezza: da dove proviene la credenziale, chi l’ha vista, se è stata testata e cos’altro potrebbe essere stato esposto insieme a essa.

Cosa succede dopo il furto delle credenziali

Una volta rubate, le credenziali raramente restano in un unico posto. Possono essere aggiunte a un dataset di violazione più ampio, condivise privatamente, vendute in blocco o usate da gruppi diversi per scopi diversi. Alcuni attaccanti vogliono un accesso diretto agli account. Altri vogliono elenchi di email aziendali valide, password, dati di sessione o account amministratore che possono rivendere.

Il valore dipende da ciò che la credenziale sblocca:

• Un login di base di un dipendente può essere utile per il phishing o la ricognizione interna
• Una password riutilizzata può aprire più account
• Una credenziale amministratore può dare accesso a impostazioni, dati dei clienti, informazioni di fatturazione o gestione degli utenti
• Un login a un account finanziario può favorire frodi sui pagamenti
• Le credenziali SaaS possono esporre documenti, messaggi, dati di progetto o record dei clienti

I dati aziendali sul dark web diventano pericolosi perché possono essere usati per compiere azioni distruttive. Una credenziale può sbloccare un account, ma anche record parziali possono aiutare gli attaccanti a capire chi impersonare, quali clienti prendere di mira, quali processi finanziari imitare o quali dipendenti mettere sotto pressione in seguito. Quello che per l’azienda sembra un database trapelato, per chi prepara frodi, phishing, vishing o account takeover può sembrare una serie di opportunità.

Nel nostro articolo che introduce il Data Breach Observatory⁠ di Proton, abbiamo spiegato che molte violazioni non finiscono nelle notizie, il che nasconde la vera portata del problema. Proton ha creato l’Osservatorio per mostrare dove i dati aziendali stanno trapelando sul dark web e per aiutare le organizzazioni a comprendere i rischi emergenti dall’esposizione nel mondo reale.

Quali dati aziendali sono più preziosi sul dark web

I dati aziendali più preziosi sul dark web non si limitano a password o dettagli di pagamento. Gli attaccanti cercano spesso qualsiasi informazione che li aiuti ad accedere agli account, impersonare dipendenti, prendere di mira i clienti o capire come opera un’azienda.

Il Data Breach Observatory⁠ di Proton mostra quanto possano essere vari i dati aziendali esposti, dai nomi e indirizzi email ai dettagli di contatto, password e altri record che possono favorire ulteriori attacchi. Anche le informazioni parziali possono diventare utili se combinate con dati provenienti da altre perdite.

I dati aziendali più preziosi per gli attaccanti di solito includono:

• Credenziali di login: indirizzi email, password, cookie di sessione e token di autenticazione possono offrire agli attaccanti un percorso diretto verso gli account aziendali. Questo rischio è maggiore quando i dipendenti riutilizzano le password su più strumenti o quando l’MFA non è attiva.
• Informazioni sui dipendenti: nomi, qualifiche professionali, email di lavoro, numeri di telefono e dettagli organizzativi possono aiutare gli attaccanti a identificare chi prendere di mira e come rendere credibile un messaggio. Questi dati possono favorire tentativi di phishing, impersonificazione e compromissione delle email aziendali.
• Dati dei clienti: nomi, dettagli di contatto, indirizzi, informazioni sull’account e cronologia degli acquisti possono essere usati per frodi, furto di identità, phishing o ingegneria sociale. Anche quando questi dati non includono password, possono aiutare gli attaccanti a rendere le truffe più personali e convincenti.
• Informazioni finanziarie e di pagamento: fatture, dettagli bancari, record di fatturazione, documenti fiscali e dati di pagamento possono favorire frodi sulle fatture, truffe di reindirizzamento dei pagamenti o tentativi di impersonare fornitori e partner.
• Documenti aziendali interni: contratti, elenchi di fornitori, file di progetto, documenti strategici e record operativi possono non fornire un accesso immediato agli account, ma possono rivelare come funziona l’azienda, da chi dipende e dove gli attaccanti possono trovare punti deboli.

Password riutilizzate, credenziali trapelate e combinazioni prevedibili sono i modi più semplici per entrare in un account aziendale: non serve alcun exploit, solo un elenco e pazienza. Ma anche altri dati esposti aiutano gli attaccanti a costruire attacchi più mirati. Una volta che le informazioni aziendali compaiono sul dark web, il rischio non è solo la possibile compromissione di un account. Gli stessi dati possono essere riutilizzati, combinati e sfruttati molto tempo dopo la violazione originale.

Cosa fare se trovi le credenziali della tua azienda sul dark web

Sebbene non esista una stima precisa delle perdite causate specificamente dalle attività sul dark web, queste svolgono un ruolo in un’economia del cybercrime molto più ampia. Una revisione accademica, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nuova finestra), stima i danni globali totali del cybercrime in circa 500 miliardi di $ all’anno, con un intervallo probabile tra 100 e 1.000 miliardi di $. I forum e i marketplace del dark web contribuiscono a questo ecosistema rendendo più facile scambiare, combinare e riutilizzare credenziali rubate, dati personali e informazioni aziendali.

Se le credenziali aziendali vengono trovate sul dark web, la prima priorità deve essere ridurre la possibilità che gli attaccanti possano ancora usarle. Una credenziale esposta mesi fa può essere ancora valida se la password non è stata cambiata, se manca l’autenticazione a più fattori (MFA) o se la stessa password è stata riutilizzata su altri strumenti.

1. Individua quali account, dipendenti e sistemi possono essere interessati

Reimposta le password esposte, revoca le sessioni attive e verifica se le stesse password o password simili sono state usate altrove. Se l’account è collegato a email, archiviazione file, sistemi finanziari, dati dei clienti o pannelli di amministrazione, consideralo a rischio più elevato ed esamina l’attività recente per individuare login sospetti, regole di inoltro, modifiche ai permessi o download insoliti.

Se le credenziali esposte riguardano dati personali, valuta se l’incidente deve essere segnalato all’autorità di controllo competente, l’ICO(nuova finestra) nel Regno Unito, all’autorità nazionale per la protezione dei dati di ciascuno Stato membro dell’UE. In base al GDPR del Regno Unito e dell’UE, non ogni violazione di dati personali è soggetta a segnalazione, ma le organizzazioni devono notificarla quando è probabile che presenti un rischio per i diritti e le libertà delle persone. Le indicazioni dell’ICO su come segnalare una violazione(nuova finestra)⁠ possono aiutare le aziende a valutare l’incidente e a comprendere il processo di segnalazione.

2. Applica l’MFA ovunque possibile

Assicurati di concentrarti sugli strumenti che contengono dati aziendali sensibili, come email, account amministratore e piattaforme cloud. Se l’MFA era già attiva, rivedi il metodo di autenticazione e le opzioni di recupero per assicurarti che gli attaccanti non possano aggirarla tramite codici di backup compromessi, account email di recupero deboli o ingegneria sociale.

3. Informa gli utenti interni interessati

Successivamente, devi informare i membri del team che sono stati colpiti e dare istruzioni chiare su cosa cambiare e a cosa prestare attenzione. Una volta che le credenziali compaiono sul dark web, gli attaccanti possono usarle per il credential stuffing, phishing, impersonificazione o tentativi di passare da un account compromesso ad altri sistemi aziendali.

4. Rivedi i controlli di accesso

Rimuovi gli account inutilizzati, aggiorna i permessi, controlla le credenziali condivise e assicurati che i dipendenti usino password uniche per ogni servizio aziendale. Un gestore di password può aiutare i team a generare password più robuste, archiviarle in modo sicuro, condividere l’accesso senza esporre la password stessa e offrire agli amministratori una maggiore visibilità sui comportamenti rischiosi legati alle password.

5. Continua a monitorare ulteriori esposizioni

Infine, continua a monitorare eventuali esposizioni future. I dati del dark web possono riemergere, essere riconfezionati o combinati con altre perdite molto tempo dopo la violazione originale. Individuare tempestivamente le credenziali esposte offre all’azienda maggiori possibilità di reimpostare l’accesso prima che gli attaccanti trasformino i dati trapelati in account takeover, frodi o un incidente di sicurezza più ampio. Un gestore di password per le aziende come Proton Pass for Business lo rende più semplice, identificando gli account vulnerabili e fornendo avvisi sulle violazioni dei dati in un unico posto, così l’esposizione emerge senza che nessuno debba andarla a cercare.

Come Pass Monitor aiuta a rilevare l’esposizione delle credenziali

L’esposizione sul dark web è spesso ritardata e frammentata. Un indirizzo email trapelato può comparire in un dataset, una password in un altro e le informazioni personali correlate altrove. Il monitoraggio aiuta a far emergere questi segnali in anticipo, prima che le credenziali esposte vengano riutilizzate di nascosto in account takeover, phishing o frodi.

Con un gestore di password per le aziende come Proton Pass for Business⁠, i team possono archiviare le credenziali in cassaforti di password crittografate, generare password uniche, usare il riempimento automatico per i login, condividere l’accesso in modo sicuro, gestire le chiavi di accesso e utilizzare l’autenticazione a due fattori integrata. Funzionalità di amministrazione come policy, report, log, gestione dei gruppi, provisioning SCIM e integrazione SSO aiutano a mantenere gli accessi sotto controllo mentre l’azienda cresce.

Il nostro strumento di monitoraggio del dark web è una funzionalità di Proton Pass for Business che ti aiuta a individuare gli account aziendali vulnerabili e a ricevere gli avvisi sulle violazioni dei dati in un unico posto. Include il monitoraggio del dark web, i controlli sullo stato di integrità delle password e gli avvisi per il 2FA inattivo.

Pass Monitor può avvisare gli utenti quando le informazioni personali vengono compromesse in una perdita di dati e individuare le password riutilizzate o deboli. Lo stato di integrità della password stima quanto tempo servirebbe per violare una password, così un team può vedere la differenza tra una password che cade in pochi secondi e una che richiederebbe anni.

Evidenzia inoltre gli account in cui il 2FA non è attivo, un importante livello di sicurezza aggiuntivo e spesso la differenza tra una password divulgata che rappresenta un semplice inconveniente e una vera violazione. Invece di aspettare di scoprire una violazione dei dati quando ormai è troppo tardi, fornisci alla tua azienda gli strumenti necessari per proteggersi.

Monitora le credenziali della tua azienda sul dark web con un gestore di password per le aziende⁠.