Eén gestolen wachtwoord veroorzaakt niet meteen chaos. Het kan opgeslagen zijn in een uitgelekte database of gebundeld zijn met duizenden andere records. Soms wordt het verhandeld, doorverkocht, getest tegen andere diensten of weken later gebruikt in een phishingcampagne die niets met de oorspronkelijke schending te maken lijkt te hebben.
Tegen de tijd dat een bedrijf beseft dat een van zijn accounts is blootgesteld, zijn de inloggegevens mogelijk al door verschillende handen gegaan. Dat is wat inloggegevens van bedrijven op het dark web zo moeilijk te beheren maakt. De schending kan op één plek plaatsvinden, de gegevens kunnen ergens anders opduiken, en de aanval die volgt kan zich richten op een heel ander systeem.
Tegen de tijd dat die inloggegevens op het dark web verschijnen, heeft de schending al ergens plaatsgevonden. Wat daar zichtbaar wordt, is het volgende risico: wie de gegevens kan vinden, wie ze kan hergebruiken, en hoe snel het bedrijf kan reageren. Inloggegevens van bedrijven op het dark web zijn een waardevolle bron voor cybercriminelen, dus uw bedrijf moet voorbereid zijn op het moment dat het door een datalek wordt getroffen.
Hoe inloggegevens van bedrijven worden gestolen
Het kan dagen, weken of zelfs maanden duren voordat een bedrijf merkt dat inloggegevens zijn uitgelekt. Ze kunnen worden buitgemaakt via een valse inlogpagina, van een geïnfecteerd apparaat worden gehaald, blootgesteld worden bij een schending bij een leverancier of hergebruikt worden van een oud persoonlijk account. Vaak belanden ze op marktplaatsen op het dark web, waar gestolen gegevens in bulk worden gekocht.
Phishing
Phishing-e-mails blijven een veelvoorkomende route voor het stelen van inloggegevens. Een medewerker kan op een pagina terechtkomen die lijkt op een bekend SaaS-platform, een documentverzoek openen waarin wordt gevraagd om in te loggen, of een bericht volgen dat afkomstig lijkt te zijn van een vertrouwde dienst. Zodra de inloggegevens zijn ingevoerd, kan de aanvaller ze meteen proberen te gebruiken of opslaan voor later. Eén succesvolle phishingaanval kan elk systeem blootleggen waar het gecompromitteerde account toegang toe heeft.
Ransomware
Andere lekken zijn minder zichtbaar. Tijdens ransomware-incidenten kunnen aanvallers bestanden stelen voordat ze systemen versleutelen, waaronder accountlijsten, configuratiebestanden, wachtwoorden en toegangsgegevens. Een schending in de toeleveringsketen kan inloggegevens blootstellen via een leverancier, aannemer, softwareleverancier of beheerde dienstverlener, zelfs wanneer de eigen systemen van het bedrijf niet het eerste punt van compromittering waren.
Hergebruikte wachtwoorden
Wanneer medewerkers hetzelfde wachtwoord gebruiken voor persoonlijke en zakelijke accounts, kan een schending buiten het bedrijf alsnog een zakelijk probleem worden. Aanvallers hoeven niet eerst in het werksysteem in te breken. Ze kunnen al uitgelekte inloggegevens testen bij tientallen diensten en kijken waar ze nog werken, een aanval die bekendstaat als credential stuffing.
Infostealer-malware
Apparaten van medewerkers kunnen ook een bron van blootstelling worden. Infostealer-malware is ontworpen om opgeslagen wachtwoorden, browsersessies, cookies, automatisch aangevulde gegevens en andere gevoelige informatie van een apparaat te verzamelen. Als dat apparaat voor werk wordt gebruikt, zelfs af en toe, kan een persoonlijke compromittering aanvallers toegang geven tot zakelijke accounts, tools of communicatiekanalen.
Tegen de tijd dat de inloggegevens opduiken in een criminele dataset of een bron op het dark web, is de oorspronkelijke diefstal mogelijk al dagen, weken of maanden oud. Het bedrijf heeft niet alleen te maken met een uitgelekt wachtwoord. Het heeft te maken met onzekerheid: waar de inloggegevens vandaan komen, wie ze heeft gezien, of ze zijn getest, en wat er nog meer samen met ze is blootgesteld.
Wat er gebeurt nadat inloggegevens zijn gestolen
Zodra inloggegevens zijn gestolen, blijven ze zelden op één plek. Ze kunnen worden toegevoegd aan een grotere schendingsdataset, privé worden gedeeld, in bulk worden verkocht of door verschillende groepen voor verschillende doeleinden worden gebruikt. Sommige aanvallers willen directe toegang tot accounts. Anderen willen lijsten met geldige zakelijke e-mailadressen, wachtwoorden, sessiegegevens of beheerdersaccounts die ze kunnen doorverkopen.
De waarde hangt af van wat de inloggegevens ontgrendelen:
- Een eenvoudige inlog van een medewerker kan helpen bij phishing of interne verkenning
- Een hergebruikt wachtwoord kan meerdere accounts openen
- Beheerdersinloggegevens kunnen toegang geven tot instellingen, klantgegevens, facturatiegegevens of gebruikersbeheer
- Een inlog voor een financieel account kan betaalfraude ondersteunen
- SaaS-inloggegevens kunnen documenten, berichten, projectgegevens of klantgegevens blootleggen
Bedrijfsgegevens op het dark web worden gevaarlijk omdat ze kunnen worden gebruikt om destructieve acties te ondernemen. Inloggegevens kunnen een account ontgrendelen, maar zelfs gedeeltelijke records kunnen aanvallers helpen begrijpen wie ze moeten imiteren, welke klanten ze moeten targeten, welke financiële processen ze moeten nabootsen of welke medewerkers ze vervolgens onder druk moeten zetten. Wat voor het bedrijf een uitgelekte database lijkt, kan voor iemand die fraude, phishing, vishing of accountovername voorbereidt, een reeks mogelijkheden lijken.
In ons artikel ter introductie van de Proton Data Breach Observatory werd uiteengezet dat veel schendingen het nieuws niet halen, waardoor de werkelijke omvang van het probleem verborgen blijft. Proton bouwde het Observatory om te laten zien waar bedrijfsgegevens op het dark web lekken en om organisaties te helpen de opkomende risico’s van blootstelling in de praktijk te begrijpen.
Welke bedrijfsgegevens zijn het meest waardevol op het dark web
De meest waardevolle bedrijfsgegevens op het dark web beperken zich niet tot wachtwoorden of betalingsgegevens. Aanvallers zoeken vaak naar alle informatie die hen helpt toegang te krijgen tot accounts, medewerkers te imiteren, klanten te targeten of te begrijpen hoe een bedrijf werkt.
De Data Breach Observatory van Proton laat zien hoe uiteenlopend blootgestelde bedrijfsgegevens kunnen zijn, van namen en e-mailadressen tot contactgegevens, wachtwoorden en andere gegevens die verdere aanvallen kunnen ondersteunen. Zelfs gedeeltelijke informatie kan nuttig worden wanneer deze wordt gecombineerd met gegevens uit andere lekken.
De bedrijfsgegevens die voor aanvallers het meest waardevol zijn, omvatten meestal:
- Inloggegevens: e-mailadressen, wachtwoorden, sessiecookies en verificatietokens kunnen aanvallers een directe route naar zakelijke accounts geven. Dit risico is groter wanneer medewerkers wachtwoorden hergebruiken voor verschillende tools of wanneer MFA niet is ingeschakeld.
- Medewerkersinformatie: namen, functietitels, zakelijke e-mailadressen, telefoonnummers en organisatorische gegevens kunnen aanvallers helpen bepalen wie ze moeten targeten en hoe ze een bericht legitiem kunnen laten lijken. Deze gegevens kunnen phishing, imitatie en pogingen om zakelijke e-mails in gevaar te brengen ondersteunen.
- Klantgegevens: namen, contactgegevens, adressen, accountinformatie en aankoopgeschiedenis kunnen worden gebruikt voor fraude, identiteitsdiefstal, phishing of social engineering. Zelfs wanneer deze gegevens geen wachtwoorden bevatten, kunnen ze aanvallers helpen om oplichtingspraktijken persoonlijker en overtuigender te maken.
- Financiële en betalingsgegevens: facturen, bankgegevens, facturatiegegevens, belastingdocumenten en betalingsgegevens kunnen factuurfraude, oplichting met omgeleide betalingen of pogingen om leveranciers en partners te imiteren ondersteunen.
- Interne bedrijfsdocumenten: contracten, leverancierslijsten, projectbestanden, strategiedocumenten en operationele gegevens geven misschien geen directe toegang tot accounts, maar ze kunnen onthullen hoe het bedrijf werkt, van wie het afhankelijk is en waar aanvallers zwakke plekken kunnen vinden.
Hergebruikte wachtwoorden, uitgelekte inloggegevens en voorspelbare combinaties zijn de gemakkelijkste manieren om binnen te komen in een zakelijk account; geen exploit nodig, alleen een lijst en geduld. Maar andere blootgestelde gegevens helpen aanvallers nog steeds gerichtere aanvallen op te bouwen. Zodra bedrijfsinformatie op het dark web verschijnt, is het risico niet alleen dat één account in gevaar kan komen. Dezelfde gegevens kunnen nog lang na de oorspronkelijke schending worden hergebruikt, gecombineerd en misbruikt.
Wat te doen als u uw bedrijfsinloggegevens op het dark web vindt
Er bestaat geen nauwkeurige schatting van verliezen die specifiek door activiteit op het dark web worden veroorzaakt, maar die activiteit speelt wel een rol in een veel grotere economie van cybercriminaliteit. Een academische review, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nieuw venster), schat de totale wereldwijde schade door cybercriminaliteit op ongeveer $ 500 miljard per jaar, met een waarschijnlijke bandbreedte tussen $ 100 miljard en $ 1 biljoen. Forums en marktplaatsen op het dark web dragen bij aan dit ecosysteem door het makkelijker te maken gestolen inloggegevens, persoonlijke gegevens en bedrijfsinformatie te verhandelen, te combineren en te hergebruiken.
Als bedrijfsinloggegevens op het dark web worden gevonden, moet uw eerste prioriteit zijn om de kans te verkleinen dat aanvallers ze nog kunnen gebruiken. Inloggegevens die maanden geleden zijn blootgesteld, kunnen nog steeds geldig zijn als het wachtwoord niet is gewijzigd, multi-factorauthenticatie (MFA) ontbreekt, of hetzelfde wachtwoord is hergebruikt voor andere tools.
1. Bepaal welke accounts, medewerkers en systemen mogelijk getroffen zijn
Reset de blootgestelde wachtwoorden, trek actieve sessies in en controleer of dezelfde of vergelijkbare wachtwoorden elders zijn gebruikt. Als het account verbonden is met e-mail, bestandsopslag, financiële systemen, klantgegevens of beheerderspanelen, behandel het dan als een hoger risico en controleer recente activiteit op verdachte aanmeldingen, doorstuurregels, machtigingswijzigingen of ongebruikelijke downloads.
Als de blootgestelde inloggegevens persoonsgegevens betreffen, beoordeel dan of het incident moet worden gemeld bij de relevante toezichthoudende autoriteit, de ICO(nieuw venster) in het Verenigd Koninkrijk, of de nationale autoriteit voor gegevensbescherming in elke EU-lidstaat. Onder zowel de Britse als de EU-GDPR is niet elke inbreuk op persoonsgegevens meldingsplichtig, maar organisaties moeten melding maken wanneer de schending waarschijnlijk een risico vormt voor de rechten en vrijheden van mensen. De richtlijnen van de ICO over het melden van een schending(nieuw venster) kunnen bedrijven helpen het incident te beoordelen en het meldingsproces te begrijpen.
2. Verplicht MFA waar mogelijk
Zorg ervoor dat u zich richt op tools met gevoelige bedrijfsgegevens, zoals e-mail, beheerdersaccounts en cloudplatforms. Als MFA al was ingeschakeld, controleer dan de verificatiemethode en herstelopties om ervoor te zorgen dat aanvallers deze niet kunnen omzeilen via gecompromitteerde back-upcodes, zwakke herstel-e-mailaccounts of social engineering.
3. Informeer getroffen interne gebruikers
Vervolgens moet u teamleden die getroffen zijn informeren, en duidelijke instructies geven over wat ze moeten wijzigen en waar ze op moeten letten. Zodra inloggegevens op het dark web verschijnen, kunnen aanvallers ze gebruiken voor credential stuffing, phishing, imitatie of pogingen om van het ene gecompromitteerde account naar andere bedrijfssystemen te bewegen.
4. Controleer uw toegangsbeheer
Verwijder ongebruikte accounts, werk machtigingen bij, controleer gedeelde inloggegevens en zorg ervoor dat medewerkers unieke wachtwoorden gebruiken voor elke zakelijke dienst. Een wachtwoordbeheerder kan teams helpen sterkere wachtwoorden te genereren, ze veilig op te slaan, toegang te delen zonder het wachtwoord zelf prijs te geven, en beheerders beter inzicht te geven in riskant wachtwoordgedrag.
5. Blijf monitoren op verdere blootstelling
Blijf tot slot monitoren op toekomstige blootstelling. Gegevens op het dark web kunnen opnieuw opduiken, opnieuw worden verpakt of worden gecombineerd met andere lekken, lang na de oorspronkelijke schending. Als blootgestelde inloggegevens vroeg worden gevonden, maakt het bedrijf meer kans om de toegang te resetten voordat aanvallers uitgelekte gegevens omzetten in accountovername, fraude of een breder beveiligingsincident. Een wachtwoordbeheerder voor bedrijven zoals Proton Pass for Business maakt dat makkelijker door kwetsbare accounts te identificeren en waarschuwingen over datalekken op één plek te bieden, zodat blootstelling aan het licht komt zonder dat iemand ernaar op zoek hoeft te gaan.
Hoe Pass Monitor helpt bij het opsporen van blootgestelde inloggegevens
Blootstelling op het dark web is vaak vertraagd en gefragmenteerd. Een uitgelekt e-mailadres kan in de ene dataset opduiken, een wachtwoord in een andere, en gerelateerde persoonlijke informatie ergens anders. Monitoren helpt die signalen eerder aan het licht te brengen, voordat blootgestelde inloggegevens stilletjes worden hergebruikt bij accountovername, phishing of fraude.
Met een wachtwoordbeheerder voor bedrijven zoals Proton Pass for Business kunnen teams inloggegevens opslaan in versleutelde wachtwoordkluizen, unieke wachtwoorden genereren, inloggegevens automatisch aanvullen, toegang veilig delen, passkeys beheren en ingebouwde tweestapsverificatie gebruiken. Beheerdersfuncties zoals beleid, rapportage, logboeken, groepsbeheer, SCIM-provisioning en SSO-integratie helpen de toegang beheerd te houden naarmate het bedrijf groeit.
Onze darkwebmonitoringstool is een functie in Proton Pass for Business waarmee u kwetsbare bedrijfsaccounts kunt identificeren en op één plek meldingen over datalekken ontvangt. Daarnaast omvat het darkwebmonitoring, wachtwoordgezondheidscontroles en meldingen bij inactieve 2FA.
Pass Monitor kan gebruikers waarschuwen wanneer persoonlijke gegevens bij een datalek in gevaar zijn gebracht en kan hergebruikte of zwakke wachtwoorden opsporen. Wachtwoordgezondheid schat in hoelang het duurt om een wachtwoord te kraken, zodat een team het verschil ziet tussen een wachtwoord dat binnen seconden wordt gekraakt en een wachtwoord dat jaren zou standhouden.
Het markeert ook accounts waarop 2FA niet actief is, een belangrijke extra beveiligingslaag en vaak het verschil tussen een gelekt wachtwoord dat alleen maar lastig is en een echte schending. In plaats van te wachten tot u te laat van een datalek hoort, kunt u uw bedrijf de middelen geven die het nodig heeft om zichzelf te beschermen.
Houd uw bedrijfsinloggegevens op het dark web in de gaten met een wachtwoordbeheerder voor bedrijven.
