Hvordan stjålet påloggingsinformasjon fra bedrifter havner på det mørke nettet – og hva du kan gjøre med det

Et enkelt stjålet passord skaper ikke umiddelbart kaos. Det kan være lagret i en lekket database eller pakket sammen med tusenvis av andre oppføringer. Noen ganger omsettes det, videreselges det, testes mot andre tjenester eller brukes uker senere i en nettfiskingskampanje som virker urelatert til det opprinnelige bruddet.

Når en virksomhet innser at en av kontoene er eksponert, kan påloggingsinformasjonen allerede ha vært innom flere hender. Det er dette som gjør virksomheters påloggingsinformasjon på det mørke nettet så vanskelig å administrere. Bruddet kan skje ett sted, dataene kan dukke opp et annet sted, og angrepet som følger kan rette seg mot et helt annet system.

Når disse påloggingsdetaljene dukker opp på det mørke nettet, har bruddet allerede skjedd et sted. Det som blir synlig der, er den neste risikoen: hvem som kan finne dataene, hvem som kan gjenbruke dem, og hvor raskt virksomheten kan reagere. Virksomheters påloggingsinformasjon på det mørke nettet er en verdifull ressurs for nettkriminelle, så virksomheten din må være forberedt i tilfelle den blir rammet av et databrudd.

Hvordan påloggingsinformasjon fra virksomheter blir stjålet

Det kan ta dager, uker eller til og med måneder før en virksomhet oppdager at påloggingsinformasjon har lekket ut. Den kan fanges opp via en falsk påloggingsside, hentes fra en infisert enhet, avsløres i et brudd hos en leverandør eller gjenbrukes fra en gammel personlig konto – og ender ofte opp på markedsplasser på det mørke nettet der stjålne data kjøpes i stort omfang.

Nettfisking

Nettfiskingse-poster er fortsatt en vanlig vei til tyveri av påloggingsinformasjon. En ansatt kan havne på en side som ser ut som en kjent SaaS-plattform, åpne en dokumentforespørsel som ber dem logge på, eller følge en melding som ser ut til å komme fra en klarert tjeneste. Når påloggingsinformasjonen er angitt, kan angriperen prøve å bruke den umiddelbart eller lagre den til senere. Et enkelt vellykket nettfiskingsangrep kan eksponere alle systemer den kompromitterte kontoen har tilgang til.

Løsepengevirus

Andre lekkasjer er mindre synlige. Under løsepengevirus-hendelser kan angripere stjele filer før de krypterer systemer, blant annet kontolister, konfigurasjonsfiler, passord og tilgangslogger. Et brudd i forsyningskjeden kan eksponere påloggingsinformasjon via en leverandør, underleverandør, programvareleverandør eller partner for administrerte tjenester, selv når virksomhetens egne systemer ikke var det første punktet som ble kompromittert.

Gjenbrukte passord

Når ansatte bruker samme passord på tvers av personlige kontoer og jobbkontoer, kan et brudd utenfor virksomheten fortsatt bli et problem for virksomheten. Angripere trenger ikke å bryte seg inn i jobbsystemet først. De kan teste påloggingsinformasjon som allerede er lekket, mot dusinvis av tjenester og se hvor den fortsatt fungerer – et angrep kjent som «credential stuffing».

Infostealer-skadelig programvare

Ansattes enheter kan også bli en kilde til eksponering. Infostealer-skadelig programvare er laget for å samle inn lagrede passord, nettleserøkter, informasjonskapsler, autofyll-data og annen sensitiv informasjon fra en enhet. Hvis enheten brukes til jobb, selv bare av og til, kan en personlig kompromittering gi angripere tilgang til virksomhetskontoer, verktøy eller kommunikasjonskanaler.

Når påloggingsinformasjonen dukker opp i et kriminelt datasett eller en kilde på det mørke nettet, kan det opprinnelige tyveriet allerede være dager, uker eller måneder gammelt. Virksomheten har ikke bare med et lekket passord å gjøre. Den har med usikkerhet å gjøre: hvor påloggingsinformasjonen kom fra, hvem som har sett den, om den ble testet, og hva annet som kan ha blitt eksponert sammen med den.

Hva skjer etter at påloggingsinformasjon er stjålet

Når påloggingsinformasjon først er stjålet, holder den sjelden til på ett sted. Den kan legges til i et større brudddatasett, deles privat, selges i stort omfang eller brukes av ulike grupper til ulike formål. Noen angripere vil ha direkte kontotilgang. Andre vil ha lister over gyldige virksomhets-e-postadresser, passord, øktdata eller administratorkontoer de kan videreselge.

Verdien avhenger av hva påloggingsinformasjonen låser opp:

• En vanlig ansattpålogging kan hjelpe med nettfisking eller intern rekognosering
• Et gjenbrukt passord kan åpne flere kontoer
• En administratorpålogging kan gi tilgang til innstillinger, kundedata, faktureringsinformasjon eller brukeradministrasjon
• En pålogging til en finanskonto kan brukes til betalingssvindel
• Påloggingsinformasjon til SaaS kan eksponere dokumenter, meldinger, prosjektdata eller kundeoppføringer

Virksomhetsdata på det mørke nettet blir farlige fordi de kan brukes til å utføre ødeleggende handlinger. En påloggingsinformasjon kan låse opp en konto, men selv delvise oppføringer kan hjelpe angripere med å forstå hvem de skal utgi seg for å være, hvilke kunder de skal målrette seg mot, hvilke økonomiprosesser de skal etterligne, eller hvilke ansatte de skal presse neste gang. Det som ser ut som en lekket database for virksomheten, kan se ut som en samling muligheter for noen som forbereder svindel, nettfisking, vishing eller kontoovertakelse.

I artikkelen vår som introduserer Proton Data Breach Observatory⁠, skisserte vi at mange brudd ikke kommer i nyhetene, noe som skjuler det sanne omfanget av problemet. Proton bygde Observatory for å vise hvor virksomhetsdata lekker ut på det mørke nettet, og for å hjelpe organisasjoner med å forstå nye risikoer fra reell eksponering.

Hvilke virksomhetsdata er mest verdifulle på det mørke nettet

De mest verdifulle virksomhetsdataene på det mørke nettet er ikke begrenset til passord eller betalingsdetaljer. Angripere ser ofte etter all informasjon som hjelper dem med å få tilgang til kontoer, utgi seg for ansatte, målrette seg mot kunder eller forstå hvordan en virksomhet drives.

Protons Data Breach Observatory⁠ viser hvor varierte eksponerte virksomhetsdata kan være, fra navn og e-postadresser til kontaktdetaljer, passord og andre oppføringer som kan støtte videre angrep. Selv delvis informasjon kan bli nyttig når den kombineres med data fra andre lekkasjer.

Virksomhetsdataene som er mest verdifulle for angripere, omfatter vanligvis:

• Påloggingsinformasjon: E-postadresser, passord, øktinformasjonskapsler og autentiseringstokener kan gi angripere en direkte vei inn i virksomhetskontoer. Denne risikoen er høyere når ansatte gjenbruker passord på tvers av verktøy, eller når MFA ikke er aktivert.
• Ansattinformasjon: Navn, stillingstitler, jobb-e-postadresser, telefonnumre og organisasjonsdetaljer kan hjelpe angripere med å finne ut hvem de skal målrette seg mot, og hvordan de kan få en melding til å virke legitim. Disse dataene kan støtte forsøk på nettfisking, etterligning og kompromittering av bedrifts-e-post.
• Kundedata: Navn, kontaktdetaljer, adresser, kontoinformasjon og kjøpshistorikk kan brukes til svindel, identitetstyveri, nettfisking eller sosial manipulering. Selv når disse dataene ikke inneholder passord, kan de hjelpe angripere med å gjøre svindel mer personlig og overbevisende.
• Finansiell informasjon og betalingsinformasjon: Fakturaer, bankdetaljer, faktureringsregistre, skattedokumenter og betalingsdata kan støtte fakturasvindel, svindel med omdirigering av betalinger eller forsøk på å utgi seg for leverandører og partnere.
• Interne virksomhetsdokumenter: Kontrakter, leverandørlister, prosjektfiler, strategidokumenter og driftsregistre gir kanskje ikke umiddelbar kontotilgang, men de kan avsløre hvordan virksomheten fungerer, hvem den er avhengig av, og hvor angripere kan finne svakheter.

Gjenbrukte passord, lekket påloggingsinformasjon og forutsigbare kombinasjoner er de enkleste veiene inn i en virksomhetskonto – ingen sårbarhet kreves, bare en liste og tålmodighet. Men andre eksponerte data hjelper fortsatt angripere med å bygge mer målrettede angrep. Når virksomhetsinformasjon først dukker opp på det mørke nettet, er risikoen ikke bare at én konto kan bli kompromittert. De samme dataene kan gjenbrukes, kombineres og utnyttes lenge etter det opprinnelige bruddet.

Hva du bør gjøre hvis du finner virksomhetens påloggingsinformasjon på det mørke nettet

Mens det ikke finnes noe presist anslag for tap som skyldes aktivitet på det mørke nettet spesifikt, spiller det en rolle i en mye større nettkriminalitetsøkonomi. En akademisk gjennomgang, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nytt vindu), anslår de totale globale tapene fra nettkriminalitet til omtrent 500 milliarder USD per år, med et sannsynlig intervall mellom 100 milliarder USD og 1 billion USD. Forum og markedsplasser på det mørke nettet bidrar til dette økosystemet ved å gjøre det enklere å omsette, kombinere og gjenbruke påloggingsinformasjon, personopplysninger og virksomhetsinformasjon som er stjålet.

Hvis virksomhetens påloggingsinformasjon blir funnet på det mørke nettet, må din første prioritet være å redusere sjansen for at angripere fortsatt kan bruke den. En påloggingsinformasjon som ble eksponert for måneder siden, kan fortsatt være gyldig hvis passordet ikke er endret, hvis tofaktorautentisering (MFA) mangler, eller hvis det samme passordet er gjenbrukt på andre verktøy.

1. Identifiser hvilke kontoer, ansatte og systemer som kan være berørt

Tilbakestill de eksponerte passordene, tilbakekall aktive økter, og sjekk om de samme eller lignende passordene er brukt andre steder. Hvis kontoen er koblet til e-post, fillagring, økonomisystemer, kundedata eller administratorpaneler, bør du behandle den som høyere risiko og gjennomgå nylig aktivitet for mistenkelige pålogginger, videresendingsregler, endringer i tillatelser eller uvanlige nedlastinger.

Hvis den eksponerte påloggingsinformasjonen involverer personopplysninger, må du vurdere om hendelsen må rapporteres til relevant tilsynsmyndighet, ICO(nytt vindu) i Storbritannia, den nasjonale datatilsynsmyndigheten i hver EU-medlemsstat. Både etter britisk og EU-GDPR er ikke alle personopplysningsbrudd rapporteringspliktige, men organisasjoner må varsle når bruddet sannsynligvis innebærer en risiko for folks rettigheter og friheter. ICOs veiledning for å rapportere et brudd(nytt vindu)⁠ kan hjelpe virksomheter med å vurdere hendelsen og forstå rapporteringsprosessen.

2. Krev MFA der det er mulig

Sørg for å fokusere på verktøy som inneholder sensitive virksomhetsdata, som e-post, administratorkontoer og skyplattformer. Hvis MFA allerede var aktivert, bør du gjennomgå autentiseringsmetoden og gjenopprettingsalternativene for å sikre at angripere ikke kan omgå den via kompromitterte sikkerhetskopikoder, svake gjenopprettings-e-postkontoer eller sosial manipulering.

3. Varsle berørte interne brukere

Deretter må du informere teammedlemmer som er berørt, og gi klare instruksjoner om hva som skal endres, og hva de skal være oppmerksomme på. Når påloggingsinformasjon dukker opp på det mørke nettet, kan angripere bruke den til «credential stuffing», nettfisking, etterligning eller forsøk på å bevege seg fra én kompromittert konto til andre virksomhetssystemer.

4. Gå gjennom tilgangskontrollene dine

Fjern ubrukte kontoer, oppdater tillatelser, sjekk delt påloggingsinformasjon, og sørg for at ansatte bruker unike passord for hver virksomhetstjeneste. En passordapp kan hjelpe team med å generere sterkere passord, lagre dem sikkert, dele tilgang uten å eksponere selve passordet, og gi administratorer bedre innsikt i risikoadferd knyttet til passord.

5. Fortsett å overvåke for ytterligere eksponering

Til slutt, fortsett å overvåke for fremtidig eksponering. Data på det mørke nettet kan dukke opp igjen, pakkes om eller kombineres med andre lekkasjer lenge etter det opprinnelige bruddet. Å finne eksponert påloggingsinformasjon tidlig gir virksomheten en bedre sjanse til å tilbakestille tilgangen før angripere gjør lekkede data om til kontoovertakelse, svindel eller en større sikkerhetshendelse. En passordapp for virksomheter som Proton Pass for Business gjør dette enklere ved å identifisere sårbare kontoer og levere varsler om databrudd på ett sted, slik at eksponering kommer til overflaten uten at noen må lete etter den.

Hvordan Pass Monitor bidrar til å oppdage eksponert påloggingsinformasjon

Eksponering på det mørke nettet er ofte forsinket og fragmentert. En lekket e-postadresse kan dukke opp i ett datasett, et passord i et annet, og tilknyttet personinformasjon et helt annet sted. Overvåking hjelper med å avdekke disse signalene tidligere, før eksponert påloggingsinformasjon i det stille gjenbrukes til kontoovertakelse, nettfisking eller svindel.

Med en passordapp for virksomheter som Proton Pass for Business⁠ kan team lagre påloggingsinformasjon i krypterte passordhvelv, generere unike passord, autofylle pålogginger, dele tilgang sikkert, administrere passnøkler og bruke innebygd tofaktorautentisering. Administratorfunksjoner som retningslinjer, rapportering, logger, gruppeadministrasjon, SCIM-provisjonering og SSO-integrasjon bidrar til å holde tilgangen kontrollert etter hvert som virksomheten vokser.

Vårt verktøy for overvåking av det mørke nettet er en funksjon i Proton Pass for Business som hjelper deg med å identifisere sårbare bedriftskontoer og motta varsler om databrudd på ett sted. Det inkluderer overvåking av det mørke nettet, passordhelsesjekker og varsler om inaktiv 2FA.

Pass Monitor kan varsle brukere når personopplysninger blir kompromittert i en datalekkasje, og identifisere gjenbrukte eller svake passord. Passordhelse anslår hvor lang tid det vil ta å knekke et passord, slik at et team kan se forskjellen mellom et passord som faller på sekunder, og et som ville ta år.

Den fremhever også kontoer der 2FA er inaktiv, et viktig ekstra sikkerhetslag, og ofte forskjellen mellom at et lekket passord er en ulempe og at det er et brudd. I stedet for å vente på å få vite om et databrudd før det er for sent, gi bedriften verktøyene den trenger for å beskytte seg.

Overvåk bedriftens påloggingsinformasjon på det mørke nettet med en passordapp for bedrifter⁠.