Uma única palavra-passe roubada não causa logo o caos. Pode estar armazenada numa base de dados divulgada ou incluída num pacote com milhares de outros registos. Por vezes é negociada, revendida, testada noutros serviços ou utilizada semanas mais tarde numa campanha de phishing que parece não ter qualquer relação com o incidente original.

Quando uma empresa se apercebe de que uma das suas contas está exposta, a credencial já pode ter passado por várias mãos. É isso que torna as credenciais empresariais na dark web tão difíceis de gerir. O incidente pode ocorrer num local, os dados podem aparecer noutro e o ataque que se segue pode visar um sistema completamente diferente.

Quando essas credenciais aparecem na dark web, o incidente já aconteceu algures. O que fica visível aí é o risco seguinte: quem consegue encontrar os dados, quem os pode reutilizar e com que rapidez a empresa consegue reagir. As credenciais empresariais na dark web são um recurso valioso para os cibercriminosos, por isso a empresa tem de estar preparada para a eventualidade de ser afetada por uma fuga de dados.

Como são roubadas as credenciais empresariais

Pode levar dias, semanas ou mesmo meses até uma empresa se aperceber de que houve uma fuga de credenciais. Podem ser capturadas através de uma página de início de sessão falsa, extraídas de um dispositivo infetado, expostas num incidente com um fornecedor ou reutilizadas a partir de uma conta pessoal antiga, acabando frequentemente em mercados da dark web onde os dados roubados são comprados em massa.

Phishing

Os e-mails de phishing continuam a ser uma via comum para o roubo de credenciais. Um colaborador pode chegar a uma página que parece uma plataforma SaaS conhecida, abrir um pedido de documento que lhe pede para iniciar sessão ou seguir uma mensagem que parece vir de um serviço de confiança. Assim que a credencial é introduzida, o atacante pode tentar utilizá-la de imediato ou guardá-la para mais tarde. Um único ataque de phishing bem-sucedido pode expor todos os sistemas a que a conta comprometida tem acesso.

Ransomware

Outras fugas são menos visíveis. Durante os incidentes de ransomware, os atacantes podem roubar ficheiros antes de encriptar os sistemas, incluindo listas de contas, ficheiros de configuração, palavras-passe e registos de acesso. Um incidente na cadeia de abastecimento pode expor credenciais através de um fornecedor, subcontratado, prestador de software ou parceiro de serviços geridos, mesmo quando os sistemas da própria empresa não foram o primeiro ponto de compromisso.

Palavras-passe reutilizadas

Quando os colaboradores utilizam a mesma palavra-passe em contas pessoais e profissionais, um incidente fora da empresa pode continuar a transformar-se num problema para o negócio. Os atacantes não precisam de entrar primeiro no sistema de trabalho. Podem testar credenciais já divulgadas em dezenas de serviços e ver onde continuam a funcionar, um ataque conhecido como «credential stuffing».

Malware infostealer

Os dispositivos dos colaboradores também podem tornar-se uma fonte de exposição. O malware infostealer foi criado para recolher palavras-passe guardadas, sessões de navegador, cookies, dados de preenchimento automático e outras informações sensíveis de um dispositivo. Se esse dispositivo for usado para o trabalho, mesmo que ocasionalmente, um compromisso pessoal pode dar aos atacantes acesso a contas empresariais, ferramentas ou canais de comunicação.

Quando a credencial aparece num conjunto de dados criminoso ou numa fonte da dark web, o roubo original pode já ter dias, semanas ou meses. A empresa não está apenas a lidar com uma palavra-passe divulgada. Está a lidar com a incerteza: de onde veio a credencial, quem a viu, se foi testada e que outras informações podem ter sido expostas com ela.

O que acontece depois de as credenciais serem roubadas

Depois de roubadas, as credenciais raramente ficam num só lugar. Podem ser adicionadas a um conjunto de dados de incidentes maior, partilhadas em privado, vendidas em massa ou utilizadas por grupos diferentes para fins diferentes. Alguns atacantes querem acesso direto a contas. Outros querem listas de e-mails empresariais válidos, palavras-passe, dados de sessão ou contas de administrador que possam revender.

O valor depende do que a credencial desbloqueia:

  • Um início de sessão básico de um colaborador pode ajudar no phishing ou no reconhecimento interno.
  • Uma palavra-passe reutilizada pode abrir várias contas.
  • Uma credencial de administrador pode dar acesso a definições, dados de clientes, informações de faturação ou gestão de utilizadores.
  • Um início de sessão numa conta financeira pode permitir a fraude com pagamentos.
  • As credenciais de SaaS podem expor documentos, mensagens, dados de projetos ou registos de clientes.

Os dados empresariais na dark web tornam-se perigosos porque podem ser usados para ações destrutivas. Uma credencial pode desbloquear uma conta, mas mesmo registos parciais podem ajudar os atacantes a perceber quem devem personificar, que clientes devem visar, que processos financeiros devem imitar ou que colaboradores devem pressionar a seguir. O que para a empresa parece uma base de dados divulgada pode parecer um conjunto de oportunidades para quem prepara fraude, phishing, vishing ou tomada de conta.

No nosso artigo de apresentação do Observatório de Incidentes de Dados⁠ da Proton, explicámos que muitos incidentes não chegam às notícias, o que oculta a verdadeira dimensão do problema. A Proton criou o Observatório para mostrar onde os dados empresariais estão a ser divulgados na dark web e para ajudar as organizações a compreender os riscos emergentes da exposição no mundo real.

Que dados empresariais são mais valiosos na dark web

Os dados empresariais mais valiosos na dark web não se limitam a palavras-passe ou detalhes de pagamento. Os atacantes procuram frequentemente qualquer informação que os ajude a aceder a contas, personificar colaboradores, visar clientes ou compreender como funciona uma empresa.

O Observatório de Incidentes de Dados⁠ da Proton mostra como os dados empresariais expostos podem ser variados, desde nomes e endereços de e-mail a detalhes de contacto, palavras-passe e outros registos que podem alimentar novos ataques. Mesmo informações parciais podem tornar-se úteis quando combinadas com dados de outras fugas.

Os dados empresariais mais valiosos para os atacantes incluem normalmente:

  • Credenciais de início de sessão: endereços de e-mail, palavras-passe, cookies de sessão e tokens de autenticação podem dar aos atacantes um caminho direto para as contas empresariais. Este risco é maior quando os colaboradores reutilizam palavras-passe entre ferramentas ou quando a MFA não está ativada.
  • Informações dos colaboradores: nomes, cargos, e-mails de trabalho, números de telefone e detalhes organizacionais podem ajudar os atacantes a identificar quem devem visar e como fazer com que uma mensagem pareça legítima. Estes dados podem servir de apoio a tentativas de phishing, personificação e compromisso de e-mail empresarial.
  • Dados dos clientes: nomes, detalhes de contacto, endereços, informações de conta e histórico de compras podem ser usados para fraude, roubo de identidade, phishing ou engenharia social. Mesmo quando estes dados não incluem palavras-passe, podem ajudar os atacantes a tornar as burlas mais pessoais e convincentes.
  • Informações financeiras e de pagamento: faturas, dados bancários, registos de faturação, documentos fiscais e dados de pagamento podem servir de base a fraude com faturas, burlas de redirecionamento de pagamentos ou tentativas de personificar fornecedores e parceiros.
  • Documentos empresariais internos: contratos, listas de fornecedores, ficheiros de projeto, documentos de estratégia e registos operacionais podem não dar acesso imediato a contas, mas podem revelar como funciona a empresa, de quem depende e onde os atacantes podem encontrar pontos fracos.

Palavras-passe reutilizadas, credenciais divulgadas e combinações previsíveis são as formas mais fáceis de entrar numa conta empresarial, sem necessidade de explorar vulnerabilidades, apenas uma lista e paciência. Mas outros dados expostos continuam a ajudar os atacantes a criar ataques mais direcionados. Quando as informações empresariais aparecem na dark web, o risco não é apenas o de uma conta ficar comprometida. Os mesmos dados podem ser reutilizados, combinados e explorados muito depois do incidente original.

O que fazer se encontrar as credenciais da empresa na dark web

Embora não exista uma estimativa precisa das perdas causadas especificamente pela atividade na dark web, esta desempenha um papel numa economia do cibercrime muito mais vasta. Uma análise académica, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nova janela), estima os danos globais totais do cibercrime em aproximadamente 500 mil milhões de dólares por ano, com um intervalo provável entre 100 mil milhões e 1 bilião de dólares. Os fóruns e mercados da dark web contribuem para este ecossistema ao tornar as credenciais roubadas, os dados pessoais e as informações empresariais mais fáceis de negociar, combinar e reutilizar.

Se forem encontradas credenciais empresariais na dark web, a primeira prioridade deve ser reduzir a probabilidade de os atacantes ainda as poderem usar. Uma credencial exposta há meses pode continuar a ser válida se a palavra-passe não tiver sido alterada, se faltar a autenticação multifator (MFA) ou se a mesma palavra-passe tiver sido reutilizada noutras ferramentas.

1. Identificar que contas, colaboradores e sistemas podem estar afetados

Reponha as palavras-passe expostas, revogue as sessões ativas e verifique se foram usadas as mesmas palavras-passe ou outras semelhantes noutros locais. Se a conta estiver ligada a e-mail, armazenamento de ficheiros, sistemas financeiros, dados de clientes ou painéis de administração, trate-a como de maior risco e reveja a atividade recente à procura de inícios de sessão suspeitos, regras de encaminhamento, alterações de permissões ou transferências invulgares.

Se as credenciais expostas envolverem dados pessoais, avalie se o incidente tem de ser comunicado à autoridade de controlo competente — a ICO(nova janela) no Reino Unido ou a autoridade nacional de proteção de dados de cada Estado-Membro da UE. Ao abrigo do GDPR do Reino Unido e da UE, nem todos os incidentes com dados pessoais têm de ser comunicados, mas as organizações têm de notificar quando o incidente for suscetível de constituir um risco para os direitos e liberdades das pessoas. As orientações da ICO sobre comunicar um incidente(nova janela)⁠ podem ajudar as empresas a avaliar o incidente e a compreender o processo de notificação.

2. Impor a MFA sempre que possível

Concentre-se sobretudo nas ferramentas que contêm dados empresariais sensíveis, como o e-mail, as contas de administrador e as plataformas na nuvem. Se a MFA já estiver ativada, reveja o método de autenticação e as opções de recuperação para garantir que os atacantes não a conseguem contornar através de códigos de cópia de segurança comprometidos, de contas de e-mail de recuperação pouco seguras ou de engenharia social.

3. Notificar os utilizadores internos afetados

De seguida, é preciso informar os membros da equipa afetados e dar instruções claras sobre o que alterar e a que estar atento. Assim que as credenciais aparecem na dark web, os atacantes podem usá-las para credential stuffing, phishing, personificação ou tentativas de passar de uma conta comprometida para outros sistemas da empresa.

4. Rever os controlos de acesso

Remova as contas não utilizadas, atualize as permissões, verifique as credenciais partilhadas e certifique-se de que os colaboradores usam palavras-passe únicas para cada serviço da empresa. Um gestor de palavras-passe pode ajudar as equipas a gerar palavras-passe mais fortes, a guardá-las em segurança, a partilhar o acesso sem revelar a própria palavra-passe e a dar aos administradores melhor visibilidade sobre comportamentos de risco relacionados com palavras-passe.

5. Manter a monitorização de novas exposições

Por último, mantenha a monitorização de exposições futuras. Os dados na dark web podem reaparecer, ser reagrupados ou combinados com outras fugas muito depois do incidente original. Encontrar credenciais expostas cedo dá à empresa melhores hipóteses de repor o acesso antes de os atacantes transformarem dados divulgados em tomada de conta, fraude ou um incidente de segurança mais amplo. Um gestor de palavras-passe para empresas como o Proton Pass for Business facilita esta tarefa ao identificar contas vulneráveis e ao enviar alertas de incidentes de dados num único lugar, para que a exposição venha ao de cima sem que ninguém tenha de a procurar.

Como o Pass Monitor ajuda a detetar a exposição de credenciais

A exposição na dark web é muitas vezes tardia e fragmentada. Um endereço de e-mail divulgado pode aparecer num conjunto de dados, uma palavra-passe noutro e informações pessoais relacionadas noutro local. A monitorização ajuda a detetar esses sinais mais cedo, antes de as credenciais expostas serem discretamente reutilizadas em tomadas de conta, phishing ou fraude.

Com um gestor de palavras-passe para empresas como o Proton Pass for Business⁠, as equipas podem guardar credenciais em cofres de palavras-passe encriptados, gerar palavras-passe únicas, preencher automaticamente os inícios de sessão, partilhar acesso em segurança, gerir chaves de acesso e utilizar a autenticação de dois fatores integrada. Funcionalidades de administração como políticas, relatórios, registos, gestão de grupos, aprovisionamento SCIM e integração com SSO ajudam a manter o acesso controlado à medida que a empresa cresce.

A nossa ferramenta de monitorização da dark web é uma funcionalidade do Proton Pass for Business que o ajuda a identificar contas empresariais vulneráveis e a receber alertas de incidentes de dados num só lugar. Inclui monitorização da dark web, verificações da integridade da palavra-passe e alertas de 2FA inativa.

O Pass Monitor pode alertar os utilizadores quando informações pessoais são comprometidas numa fuga de dados e identificar palavras-passe reutilizadas ou fracas. A integridade da palavra-passe estima quanto tempo seria necessário para quebrar uma palavra-passe, para que uma equipa possa ver a diferença entre uma palavra-passe que é quebrada em segundos e outra que levaria anos.

Também destaca as contas em que a 2FA está inativa, uma camada adicional de segurança importante e, muitas vezes, a diferença entre uma palavra-passe exposta ser um incómodo e ser um incidente. Em vez de esperar até ser demasiado tarde para saber de um incidente de dados, dê à sua empresa as ferramentas de que precisa para se proteger.

Monitorize as credenciais da sua empresa na dark web com um gestor de palavras-passe para empresas⁠.