Cum ajung acreditările de business furate pe dark web și ce este de făcut în privință

O singură parolă furată nu provoacă haos imediat. Poate fi stocată într-o bază de date divulgată sau inclusă într-un pachet cu mii de alte înregistrări. Uneori este tranzacționată, revândută, testată pe alte servicii sau folosită săptămâni mai târziu într-o campanie de phishing care pare fără nicio legătură cu încălcarea originală.

Când o afacere își dă seama că unul dintre conturile sale este expus, acreditarea poate să fi trecut deja prin mai multe mâini. De aceea acreditările de business de pe dark web sunt atât de greu de gestionat. Încălcarea poate avea loc într-un loc, datele pot apărea în altul, iar atacul care urmează poate viza un sistem complet diferit.

Când acele acreditări apar pe dark web, încălcarea s-a produs deja undeva. Ceea ce devine vizibil acolo este următorul risc: cine poate găsi datele, cine le poate refolosi și cât de repede poate reacționa afacerea. Acreditările de business de pe dark web sunt o resursă valoroasă pentru infractorii cibernetici, așa că afacerea dumneavoastră trebuie să fie pregătită în cazul în care este afectată de o încălcare de date.

Cum sunt furate acreditările de business

Poate dura zile, săptămâni sau chiar luni până când o afacere observă că acreditările au fost divulgate. Acestea pot fi capturate printr-o pagină de conectare falsă, extrase de pe un dispozitiv infectat, expuse într-o încălcare la un furnizor sau refolosite dintr-un cont personal vechi, ajungând adesea pe piețe din dark web unde datele furate se cumpără în cantități mari.

Phishing

E-mailurile de phishing rămân o cale obișnuită de furt al acreditărilor. Un angajat poate ajunge pe o pagină care pare a fi o platformă SaaS cunoscută, poate deschide o cerere de document care îi solicită să se conecteze sau poate urma un mesaj care pare să vină de la un serviciu aprobat. Odată ce acreditarea este introdusă, atacatorul poate încerca să o folosească imediat sau să o păstreze pentru mai târziu. Un singur atac de phishing reușit poate expune toate sistemele la care are acces contul compromis.

Ransomware

Alte divulgări sunt mai puțin vizibile. În timpul incidentelor de ransomware, atacatorii pot fura fișiere înainte de a cripta sistemele, inclusiv liste de conturi, fișiere de configurare, parole și înregistrări de acces. O încălcare în lanțul de aprovizionare poate expune acreditări prin intermediul unui furnizor, antreprenor, furnizor de software sau partener de servicii gestionate, chiar dacă sistemele proprii ale afacerii nu au fost primul punct de compromitere.

Parole refolosite

Când angajații folosesc aceeași parolă pentru conturi personale și de serviciu, o încălcare din afara companiei poate deveni totuși o problemă de business. Atacatorii nu trebuie să spargă mai întâi sistemul de serviciu. Pot testa acreditări deja divulgate pe zeci de servicii și pot vedea unde mai funcționează, un atac cunoscut sub numele de credential stuffing.

Malware de tip infostealer

Dispozitivele angajaților pot deveni, de asemenea, o sursă de expunere. Malware-ul de tip infostealer este creat pentru a colecta parole salvate, sesiuni de browser, cookie-uri, date de completare automată și alte informații sensibile de pe un dispozitiv. Dacă dispozitivul respectiv este folosit pentru serviciu, chiar și ocazional, compromiterea personală le poate oferi atacatorilor acces la conturi de business, instrumente sau canale de comunicare.

Când acreditarea apare într-un set de date infracțional sau într-o sursă din dark web, furtul original poate avea deja zile, săptămâni sau luni. Afacerea nu are de-a face doar cu o parolă divulgată. Are de-a face cu incertitudinea: de unde a venit acreditarea, cine a văzut-o, dacă a fost testată și ce altceva ar fi putut fi expus odată cu ea.

Ce se întâmplă după ce acreditările sunt furate

Odată furate, acreditările rămân rareori într-un singur loc. Pot fi adăugate la un set de date mai amplu rezultat din încălcări, partajate în privat, vândute în cantități mari sau folosite de grupuri diferite în scopuri diferite. Unii atacatori vor acces direct la conturi. Alții vor liste de e-mailuri de business valide, parole, date de sesiune sau conturi de administrator pe care le pot revinde.

Valoarea depinde de ceea ce deblochează acreditarea:

• O conectare de bază a unui angajat poate ajuta la phishing sau la recunoaștere internă
• O parolă refolosită poate deschide mai multe conturi
• O acreditare de administrator poate oferi acces la setări, date despre clienți, informații de facturare sau gestionarea utilizatorilor
• O conectare la un cont financiar poate susține fraude cu plăți
• Acreditările SaaS pot expune documente, mesaje, date de proiect sau înregistrări despre clienți

Datele de business de pe dark web devin periculoase pentru că pot fi folosite pentru acțiuni distructive. O acreditare poate debloca un cont, dar chiar și înregistrările parțiale îi pot ajuta pe atacatori să înțeleagă pe cine să se dea drept altcineva, ce clienți să vizeze, ce procese financiare să imite sau pe ce angajați să facă presiuni în continuare. Ceea ce pare o bază de date divulgată pentru afacere poate părea un set de oportunități pentru cineva care pregătește fraudă, phishing, vishing sau preluare de cont.

În articolul nostru de prezentare a Observatorului încălcărilor de date⁠ al Proton, am arătat că multe încălcări nu ajung în presă, ceea ce ascunde amploarea reală a problemei. Proton a creat Observatorul pentru a arăta unde se scurg datele de business pe dark web și pentru a ajuta organizațiile să înțeleagă riscurile emergente din expunerea în lumea reală.

Ce date de business sunt cele mai valoroase pe dark web

Cele mai valoroase date de business de pe dark web nu se limitează la parole sau detalii de plată. Atacatorii caută adesea orice informație care îi ajută să acceseze conturi, să se dea drept angajați, să vizeze clienți sau să înțeleagă modul în care funcționează o afacere.

Observatorul încălcărilor de date⁠ al Proton arată cât de variate pot fi datele de business expuse, de la nume și adrese de e-mail până la detalii de contact, parole și alte înregistrări care pot susține atacuri ulterioare. Chiar și informațiile parțiale pot deveni utile atunci când sunt combinate cu date din alte divulgări.

Datele de business cele mai valoroase pentru atacatori includ de obicei:

• Acreditări de conectare: adresele de e-mail, parolele, cookie-urile de sesiune și tokenurile de autentificare le pot oferi atacatorilor o cale directă către conturile de business. Acest risc este mai mare atunci când angajații refolosesc parole pentru mai multe instrumente sau când MFA nu este activat.
• Informații despre angajați: numele, funcțiile, e-mailurile de serviciu, numerele de telefon și detaliile organizatorice îi pot ajuta pe atacatori să identifice pe cine să vizeze și cum să facă un mesaj să pară legitim. Aceste date pot susține încercări de phishing, de uzurpare a identității și de compromitere a e-mailului de business.
• Date despre clienți: numele, detaliile de contact, adresele, informațiile despre cont și istoricul achizițiilor pot fi folosite pentru fraudă, furt de identitate, phishing sau inginerie socială. Chiar dacă aceste date nu includ parole, îi pot ajuta pe atacatori să facă escrocheriile mai personale și mai convingătoare.
• Informații financiare și de plată: facturile, detaliile bancare, înregistrările de facturare, documentele fiscale și datele de plată pot susține fraude cu facturi, escrocherii prin redirecționarea plăților sau încercări de a se da drept furnizori și parteneri.
• Documente interne de business: contractele, listele de furnizori, fișierele de proiect, documentele de strategie și înregistrările operaționale pot să nu ofere acces imediat la conturi, dar pot dezvălui cum funcționează afacerea, de cine depinde și unde pot găsi atacatorii puncte slabe.

Parolele refolosite, acreditările divulgate și combinațiile previzibile sunt cele mai simple căi de intrare într-un cont de business, fără a fi nevoie de un exploit, doar o listă și răbdare. Dar și alte date expuse îi ajută pe atacatori să construiască atacuri mai bine țintite. Odată ce informațiile de business apar pe dark web, riscul nu este doar acela că un cont poate fi compromis. Aceleași date pot fi refolosite, combinate și exploatate mult timp după încălcarea inițială.

Ce să faceți dacă găsiți acreditările de business pe dark web

Deși nu există o estimare precisă a pierderilor cauzate în mod specific de activitatea de pe dark web, aceasta joacă un rol într-o economie a criminalității informatice mult mai amplă. O analiză academică, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(fereastră nouă), estimează pierderile totale globale cauzate de criminalitatea informatică la aproximativ 500 de miliarde USD pe an, cu un interval probabil între 100 de miliarde USD și 1 trilion USD. Forumurile și piețele din dark web contribuie la acest ecosistem făcând ca acreditările furate, datele personale și informațiile de business să fie mai ușor de tranzacționat, combinat și refolosit.

Dacă acreditările de business sunt găsite pe dark web, prima prioritate trebuie să fie reducerea șanselor ca atacatorii să le mai poată folosi. O acreditare expusă acum câteva luni poate fi încă validă dacă parola nu a fost schimbată, dacă lipsește autentificarea multi-factor (MFA) sau dacă aceeași parolă a fost refolosită pentru alte instrumente.

1. Identificați ce conturi, angajați și sisteme pot fi afectate

Resetați parolele expuse, revocați sesiunile active și verificați dacă aceleași parole sau unele similare au fost folosite și în altă parte. Dacă contul se conectează la e-mail, stocare de fișiere, sisteme financiare, date despre clienți sau panouri de administrare, tratați-l ca având un risc mai mare și verificați activitatea recentă pentru conectări suspecte, reguli de redirecționare, modificări de permisiuni sau descărcări neobișnuite.

Dacă acreditările expuse implică date personale, evaluați dacă incidentul trebuie raportat autorității de supraveghere competente, respectiv ICO(fereastră nouă) în Regatul Unit sau autorității naționale de protecție a datelor din fiecare stat membru al UE. Conform GDPR din Regatul Unit și din UE, nu orice încălcare de date personale trebuie raportată, dar organizațiile trebuie să notifice atunci când încălcarea este susceptibilă să prezinte un risc pentru drepturile și libertățile persoanelor. Ghidul ICO privind raportarea unei încălcări(fereastră nouă)⁠ poate ajuta afacerile să evalueze incidentul și să înțeleagă procesul de raportare.

2. Impuneți MFA oriunde este posibil

Concentrați-vă în special pe instrumentele care conțin date sensibile de business, precum e-mailul, conturile de administrator și platformele cloud. Dacă MFA era deja activat, verificați metoda de autentificare și opțiunile de recuperare pentru a vă asigura că atacatorii nu o pot ocoli prin coduri de backup compromise, conturi de e-mail de recuperare slabe sau inginerie socială.

3. Informați utilizatorii interni afectați

În continuare, trebuie să informați membrii echipei care au fost afectați și să le oferiți instrucțiuni clare despre ce trebuie schimbat și la ce trebuie să fie atenți. Odată ce acreditările apar pe dark web, atacatorii le pot folosi pentru credential stuffing, phishing, uzurparea identității sau încercări de a trece de la un cont compromis la alte sisteme de business.

4. Verificați controalele de acces

Eliminați conturile nefolosite, actualizați permisiunile, verificați acreditările partajate și asigurați-vă că angajații folosesc parole unice pentru fiecare serviciu de business. Un manager de parole poate ajuta echipele să genereze parole mai puternice, să le stocheze în siguranță, să partajeze accesul fără a expune parola în sine și să le ofere administratorilor o vizibilitate mai bună asupra comportamentului riscant legat de parole.

5. Continuați monitorizarea pentru alte expuneri

În final, continuați să monitorizați pentru expuneri viitoare. Datele de pe dark web pot reapărea, pot fi reambalate sau combinate cu alte divulgări mult timp după încălcarea inițială. Găsirea din timp a acreditărilor expuse oferă afacerii șanse mai mari de a reseta accesul înainte ca atacatorii să transforme datele divulgate în preluare de cont, fraudă sau un incident de securitate mai amplu. Un manager de parole pentru business precum Proton Pass for Business face acest lucru mai ușor, identificând conturile vulnerabile și trimițând alerte de încălcare de date într-un singur loc, astfel încât expunerea iese la iveală fără ca cineva să o caute.

Cum ajută Pass Monitor la detectarea expunerii acreditărilor

Expunerea pe dark web este adesea întârziată și fragmentată. O adresă de e-mail divulgată poate apărea într-un set de date, o parolă în altul, iar informațiile personale conexe în altă parte. Monitorizarea ajută la scoaterea mai rapidă la iveală a acestor semnale, înainte ca acreditările expuse să fie refolosite în tăcere pentru preluarea contului, phishing sau fraudă.

Cu un manager de parole pentru business precum Proton Pass for Business⁠, echipele pot stoca acreditări în seifuri de parole criptate, pot genera parole unice, pot completa automat datele de conectare, pot partaja accesul în siguranță, pot gestiona chei de acces și pot folosi autentificarea cu doi factori integrată. Funcțiile de administrare precum politicile, raportarea, jurnalele, gestionarea grupurilor, provizionarea SCIM și integrarea SSO ajută la menținerea accesului sub control pe măsură ce afacerea crește.

Instrumentul nostru de monitorizare a dark web este o caracteristică din Proton Pass for Business care vă ajută să identificați conturile vulnerabile de business și să primiți alerte de încălcare de date într-un singur loc. Acesta include monitorizarea dark web, verificări ale stării parolelor și alerte pentru A2F inactiv.

Pass Monitor poate alerta utilizatorii atunci când datele personale sunt compromise într-o divulgare de date și poate identifica parolele reutilizate sau slabe. Starea parolei estimează cât timp ar fi necesar pentru spargerea unei parole, astfel încât o echipă poate vedea diferența dintre o parolă care poate fi spartă în câteva secunde și una care ar dura ani.

De asemenea, evidențiază conturile pentru care A2F este inactiv, un strat suplimentar important de securitate și, adesea, diferența dintre o parolă divulgată care provoacă un simplu inconvenient și una care reprezintă o încălcare. În loc să așteptați să aflați prea târziu despre o încălcare de date, oferiți afacerii dumneavoastră instrumentele de care are nevoie pentru a se proteja.

Monitorizați acreditările de business pe dark web cu ajutorul unui manager de parole pentru business⁠.