Uma única senha roubada não causa o caos imediatamente. Ela pode ser armazenada em um banco de dados vazado ou agrupada com milhares de outros registros. Às vezes, é negociada, revendida, testada em outros serviços ou usada semanas depois em uma campanha de phishing que parece não ter relação com a violação original.
Quando uma empresa percebe que uma de suas contas está exposta, a credencial já pode ter passado por várias mãos. É isso que torna as credenciais de empresas na dark web tão difíceis de gerenciar. A violação pode ocorrer em um lugar, os dados podem aparecer em outro e o ataque que se segue pode ter como alvo um sistema completamente diferente.
Quando essas credenciais aparecem na dark web, a violação já aconteceu em algum lugar. O que se torna visível ali é o próximo risco: quem pode encontrar os dados, quem pode reutilizá-los e com que rapidez a empresa consegue responder. As credenciais de empresas na dark web são um recurso valioso para cibercriminosos, então sua empresa precisa estar preparada caso seja afetada por uma violação de dados.
Como as credenciais de empresas são roubadas
Pode levar dias, semanas ou até meses até que uma empresa perceba que as credenciais vazaram. Elas podem ser capturadas por meio de uma página de início de sessão falsa, extraídas de um dispositivo infectado, expostas em uma violação de fornecedor ou reutilizadas de uma conta pessoal antiga, muitas vezes acabando em mercados da dark web, onde dados roubados são comprados em massa.
Phishing
Os e-mails de phishing continuam sendo uma via comum para o roubo de credenciais. Um funcionário pode chegar a uma página que parece uma plataforma SaaS conhecida, abrir uma solicitação de documento que pede que ele inicie sessão ou seguir uma mensagem que parece vir de um serviço de confiança. Assim que a credencial é inserida, o atacante pode tentar usá-la imediatamente ou armazená-la para depois. Um único ataque de phishing bem-sucedido pode expor todos os sistemas aos quais a conta comprometida tem acesso.
Ransomware
Outros vazamentos são menos visíveis. Durante incidentes de ransomware, os atacantes podem roubar arquivos antes de criptografar os sistemas, incluindo listas de contas, arquivos de configuração, senhas e registros de acesso. Uma violação na cadeia de suprimentos pode expor credenciais por meio de um fornecedor, contratado, provedor de software ou parceiro de serviços gerenciados, mesmo quando os próprios sistemas da empresa não foram o primeiro ponto de comprometimento.
Senhas reutilizadas
Quando os funcionários usam a mesma senha em contas pessoais e de trabalho, uma violação fora da empresa ainda pode se tornar um problema para o negócio. Os atacantes não precisam invadir o sistema de trabalho primeiro. Eles podem testar credenciais já vazadas em dezenas de serviços e ver onde elas ainda funcionam, um ataque conhecido como credential stuffing.
Malware infostealer
Os dispositivos dos funcionários também podem se tornar uma fonte de exposição. O malware infostealer é feito para coletar senhas salvas, sessões de navegador, cookies, dados de preenchimento automático e outras informações sensíveis de um dispositivo. Se esse dispositivo for usado para o trabalho, mesmo que ocasionalmente, um comprometimento pessoal pode dar aos atacantes acesso a contas, ferramentas ou canais de comunicação da empresa.
Quando a credencial aparece em um conjunto de dados criminoso ou em uma fonte da dark web, o roubo original já pode ter dias, semanas ou meses. A empresa não está lidando apenas com uma senha vazada. Está lidando com a incerteza: de onde a credencial veio, quem a viu, se ela foi testada e o que mais pode ter sido exposto junto com ela.
O que acontece depois que as credenciais são roubadas
Depois que as credenciais são roubadas, elas raramente ficam em um só lugar. Podem ser adicionadas a um conjunto de dados de violação maior, compartilhadas em particular, vendidas em massa ou usadas por grupos diferentes para finalidades diferentes. Alguns atacantes querem acesso direto a contas. Outros querem listas de e-mails corporativos válidos, senhas, dados de sessão ou contas de administrador que possam revender.
O valor depende do que a credencial desbloqueia:
- Um início de sessão básico de funcionário pode ajudar em phishing ou reconhecimento interno
- Uma senha reutilizada pode abrir várias contas
- Uma credencial de administrador pode dar acesso a configurações, dados de clientes, informações de cobrança ou gerenciamento de usuários
- Um início de sessão em uma conta financeira pode viabilizar fraudes de pagamento
- Credenciais de SaaS podem expor documentos, mensagens, dados de projetos ou registros de clientes
Os dados corporativos na dark web se tornam perigosos porque podem ser usados para realizar ações destrutivas. Uma credencial pode desbloquear uma conta, mas até registros parciais podem ajudar os atacantes a entender por quem devem se passar, quais clientes devem visar, quais processos financeiros devem imitar ou quais funcionários devem pressionar em seguida. O que parece um banco de dados vazado para a empresa pode parecer um conjunto de oportunidades para quem está preparando fraudes, phishing, vishing ou tomada de conta.
Em nosso artigo de apresentação do Observatório de Violações de Dados da Proton, explicamos que muitas violações não aparecem nas notícias, o que oculta a verdadeira dimensão do problema. A Proton criou o Observatório para mostrar onde os dados corporativos estão vazando para a dark web e ajudar as organizações a entender os riscos emergentes da exposição no mundo real.
Quais dados corporativos são mais valiosos na dark web
Os dados corporativos mais valiosos na dark web não se limitam a senhas ou detalhes de pagamento. Os atacantes costumam procurar qualquer informação que os ajude a acessar contas, se passar por funcionários, visar clientes ou entender como uma empresa opera.
O Observatório de Violações de Dados da Proton mostra como os dados corporativos expostos podem ser variados, de nomes e endereços de e-mail a detalhes de contato, senhas e outros registros que podem viabilizar novos ataques. Até informações parciais podem se tornar úteis quando combinadas com dados de outros vazamentos.
Os dados corporativos mais valiosos para os atacantes geralmente incluem:
- Credenciais de início de sessão: endereços de e-mail, senhas, cookies de sessão e tokens de autenticação podem dar aos atacantes um caminho direto para contas corporativas. Esse risco é maior quando os funcionários reutilizam senhas entre ferramentas ou quando o MFA não está ativado.
- Informações de funcionários: nomes, cargos, e-mails de trabalho, números de telefone e detalhes organizacionais podem ajudar os atacantes a identificar quem devem visar e como fazer uma mensagem parecer legítima. Esses dados podem viabilizar tentativas de phishing, falsificação de identidade e comprometimento de e-mail corporativo.
- Dados de clientes: nomes, detalhes de contato, endereços, informações de conta e histórico de compras podem ser usados para fraudes, roubo de identidade, phishing ou engenharia social. Mesmo quando esses dados não incluem senhas, podem ajudar os atacantes a tornar os golpes mais pessoais e convincentes.
- Informações financeiras e de pagamento: faturas, dados bancários, registros de cobrança, documentos fiscais e dados de pagamento podem viabilizar fraudes com faturas, golpes de redirecionamento de pagamentos ou tentativas de se passar por fornecedores e parceiros.
- Documentos internos da empresa: contratos, listas de fornecedores, arquivos de projetos, documentos de estratégia e registros operacionais podem não dar acesso imediato a contas, mas podem revelar como a empresa funciona, de quem depende e onde os atacantes podem encontrar pontos fracos.
Senhas reutilizadas, credenciais vazadas e combinações previsíveis são as formas mais fáceis de entrar em uma conta corporativa, sem necessidade de exploit, apenas uma lista e paciência. Mas outros dados expostos ainda ajudam os atacantes a criar ataques mais direcionados. Quando as informações corporativas aparecem na dark web, o risco não é apenas que uma conta seja comprometida. Os mesmos dados podem ser reutilizados, combinados e explorados muito depois da violação original.
O que fazer se você encontrar as credenciais da sua empresa na dark web
Embora não haja uma estimativa precisa das perdas causadas especificamente pela atividade na dark web, ela desempenha um papel em uma economia do cibercrime muito maior. Uma revisão acadêmica, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nova janela), estima os danos globais totais do cibercrime em aproximadamente US$ 500 bilhões por ano, com uma faixa provável entre US$ 100 bilhões e US$ 1 trilhão. Fóruns e mercados da dark web contribuem para esse ecossistema, tornando credenciais roubadas, dados pessoais e informações corporativas mais fáceis de negociar, combinar e reutilizar.
Se credenciais corporativas forem encontradas na dark web, sua primeira prioridade deve ser reduzir a chance de que os atacantes ainda possam usá-las. Uma credencial exposta meses atrás ainda pode ser válida se a senha não foi alterada, se a autenticação multifator (MFA) não está habilitada ou se a mesma senha foi reutilizada em outras ferramentas.
1. Identifique quais contas, funcionários e sistemas podem estar afetados
Redefina as senhas expostas, revogue as sessões ativas e verifique se as mesmas senhas ou senhas semelhantes foram usadas em outros lugares. Se a conta estiver conectada a e-mail, armazenamento de arquivos, sistemas financeiros, dados de clientes ou painéis de administrador, trate-a como de maior risco e revise a atividade recente em busca de inícios de sessão suspeitos, regras de encaminhamento, alterações de permissão ou downloads incomuns.
Se as credenciais expostas envolverem dados pessoais, avalie se o incidente precisa ser comunicado à autoridade supervisora competente, a ICO(nova janela) no Reino Unido, ou à autoridade nacional de proteção de dados de cada Estado-membro da UE. De acordo com o GDPR do Reino Unido e da UE, não é toda violação de dados pessoais que precisa ser comunicada, mas as organizações devem notificar quando a violação provavelmente representar um risco para os direitos e liberdades das pessoas. A orientação da ICO sobre como comunicar uma violação(nova janela) pode ajudar as empresas a avaliar o incidente e entender o processo de notificação.
2. Aplique o MFA sempre que possível
Certifique-se de focar nas ferramentas que contêm dados corporativos sensíveis, como e-mail, contas de administrador e plataformas em nuvem. Se o MFA já estava ativado, revise o método de autenticação e as opções de recuperação para garantir que os atacantes não possam contorná-lo por meio de códigos de backup comprometidos, contas de e-mail de recuperação vulneráveis ou engenharia social.
3. Notifique os usuários internos afetados
Em seguida, informe os membros da equipe que foram afetados e dê instruções claras sobre o que mudar e o que observar. Quando as credenciais aparecem na dark web, os atacantes podem usá-las para credential stuffing, phishing, falsificação de identidade ou tentativas de avançar de uma conta comprometida para outros sistemas da empresa.
4. Revise os controles de acesso
Remova contas não usadas, atualize permissões, verifique credenciais compartilhadas e garanta que os funcionários usem senhas exclusivas para cada serviço corporativo. Um gerenciador de senhas pode ajudar as equipes a gerar senhas mais fortes, armazená-las com segurança, compartilhar acesso sem expor a própria senha e dar aos administradores melhor visibilidade sobre comportamentos de senha de risco.
5. Continue monitorando novas exposições
Por fim, continue monitorando exposições futuras. Os dados da dark web podem ressurgir, ser reembalados ou combinados com outros vazamentos muito depois da violação original. Encontrar credenciais expostas cedo dá à empresa uma chance melhor de redefinir o acesso antes que os atacantes transformem dados vazados em tomada de conta, fraude ou um incidente de segurança mais amplo. Um gerenciador de senhas corporativo como o Proton Pass for Business torna isso mais fácil, identificando contas vulneráveis e enviando alertas de violação de dados em um só lugar, para que a exposição apareça sem que ninguém precise ir procurá-la.
Como o Pass Monitor ajuda a detectar a exposição de credenciais
A exposição na dark web costuma ser tardia e fragmentada. Um endereço de e-mail vazado pode aparecer em um conjunto de dados, uma senha em outro e informações pessoais relacionadas em um terceiro lugar. O monitoramento ajuda a revelar esses sinais mais cedo, antes que credenciais expostas sejam silenciosamente reutilizadas em tomada de conta, phishing ou fraude.
Com um gerenciador de senhas corporativo como o Proton Pass for Business, as equipes podem armazenar credenciais em cofres de senhas criptografados, gerar senhas exclusivas, preencher automaticamente os inícios de sessão, compartilhar acesso com segurança, gerenciar passkeys e usar a autenticação de dois fatores integrada. Recursos de administrador, como políticas, relatórios, registros, gerenciamento de grupos, provisionamento SCIM e integração com SSO, ajudam a manter o acesso controlado à medida que a empresa cresce.
Nossa ferramenta de monitoramento da dark web é um recurso do Proton Pass for Business que ajuda você a identificar contas empresariais vulneráveis e receber alertas de violação de dados em um só lugar. Ela inclui monitoramento da dark web, verificações de integridade da senha e alertas de A2F inativo.
O Pass Monitor pode alertar usuários quando informações pessoais são comprometidas em um vazamento de dados e identificar senhas reutilizadas ou fracas. A integridade da senha estima quanto tempo uma senha levaria para ser quebrada, para que a equipe veja a diferença entre uma senha que cai em segundos e uma que levaria anos.
Ele também destaca contas em que o A2F está inativo, uma camada adicional de segurança importante e, muitas vezes, a diferença entre uma senha vazada ser apenas um incômodo e ser uma violação. Em vez de esperar para descobrir sobre uma violação de dados quando já é tarde demais, dê à sua empresa as ferramentas de que ela precisa para se proteger.
Monitore as credenciais da sua empresa na dark web com um gerenciador de senhas para empresas.
