Один украденный пароль не вызывает мгновенного хаоса. Он может храниться в базе данных из утечки или входить в комплект из тысяч других записей. Иногда его продают, перепродают, проверяют на других сервисах или используют недели спустя в фишинговой кампании, никак не связанной с исходной утечкой.
К моменту, когда компания понимает, что один из её аккаунтов раскрыт, учетные данные могут уже пройти через несколько рук. Именно поэтому корпоративные учетные данные в даркнете так сложно контролировать. Утечка может произойти в одном месте, данные — всплыть совсем в другом, а следующая атака — нацелиться на совершенно иную систему.
К моменту, когда эти учетные данные появляются в даркнете, утечка уже где-то произошла. А на виду оказывается следующая угроза: кто может найти эти данные, кто может использовать их повторно и как быстро компания успеет отреагировать. Корпоративные учетные данные в даркнете — ценный ресурс для киберпреступников, поэтому бизнесу важно быть готовым к тому, что утечка данных его затронет.
Как крадут корпоративные учетные данные
Может пройти несколько дней, недель или даже месяцев, прежде чем компания заметит, что учетные данные утекли. Их могут перехватить через поддельную страницу входа, вытащить с заражённого устройства, раскрыть при утечке у поставщика или повторно использовать из старого личного аккаунта — и нередко они оказываются на площадках даркнета, где украденные данные покупают оптом.
Фишинг
Фишинговые письма по-прежнему остаются распространенным способом кражи учетных данных. Сотрудник может попасть на страницу, похожую на знакомую SaaS-платформу, открыть запрос документа с предложением войти в систему или перейти по сообщению, которое якобы пришло от доверенного сервиса. Как только данные для входа введены, злоумышленник может сразу попробовать их использовать или сохранить на будущее. Одна удачная фишинговая атака может раскрыть все системы, к которым есть доступ у взломанного аккаунта.
Программы-вымогатели
Другие утечки заметить сложнее. Во время инцидентов с программами-вымогателями злоумышленники могут украсть файлы до того, как зашифруют системы, включая списки аккаунтов, конфигурационные файлы, пароли и журналы доступа. Утечка в цепочке поставок может раскрыть учетные данные через поставщика, подрядчика, разработчика программного обеспечения или партнера по управляемым услугам — даже если собственные системы компании пострадали не первыми.
Повторно используемые пароли
Когда сотрудники используют один и тот же пароль в личных и рабочих аккаунтах, утечка за пределами компании всё равно может стать проблемой для бизнеса. Злоумышленникам не нужно сначала взламывать рабочую систему. Они могут проверить уже утекшие учетные данные на десятках сервисов и посмотреть, где они всё ещё действуют, — такая атака называется подстановкой учетных данных.
Вредоносные программы-инфостилеры
Источником утечки могут стать и устройства сотрудников. Инфостилеры — это вредоносные программы, созданные для сбора сохранённых паролей, сеансов браузера, файлов cookie, данных автозаполнения и другой конфиденциальной информации с устройства. Если это устройство используется для работы, пусть даже изредка, компрометация личных данных может открыть злоумышленникам доступ к рабочим аккаунтам, инструментам или каналам связи.
К моменту, когда учетные данные всплывают в криминальном наборе данных или в даркнете, с момента кражи могут пройти дни, недели или даже месяцы. Компания имеет дело не только с утекшим паролем. Ей приходится иметь дело с неопределённостью: откуда взялись эти учетные данные, кто их видел, проверяли ли их и что ещё могло быть раскрыто вместе с ними.
Что происходит после кражи учетных данных
Украденные учетные данные редко остаются на одном месте. Их могут добавить в более крупный набор данных из утечки, передать в частном порядке, продать оптом или использовать разные группы в разных целях. Одним злоумышленникам нужен прямой доступ к аккаунту. Другим — списки действующих рабочих адресов электронной почты, паролей, данных сеансов или администраторских аккаунтов, которые можно перепродать.
Ценность зависит от того, что открывают эти учетные данные:
- Обычные данные для входа сотрудника могут помочь с фишингом или внутренней разведкой
- Повторно используемый пароль может открыть несколько аккаунтов
- Администраторские учетные данные могут открыть доступ к настройкам, данным клиентов, платежной информации или управлению пользователями
- Данные для входа в финансовый аккаунт могут помочь в мошенничестве с платежами
- Учетные данные SaaS могут раскрыть документы, сообщения, данные проектов или записи о клиентах
Данные компании в даркнете становятся опасны, потому что их можно использовать для разрушительных действий. Одни учетные данные могут открыть аккаунт, но даже частичные записи помогают злоумышленникам понять, кем притвориться, на каких клиентов нацелиться, какие финансовые процессы имитировать и на каких сотрудников надавить. То, что для компании выглядит как база данных из утечки, для того, кто готовит мошенничество, фишинг, вишинг или захват аккаунта, может выглядеть как набор возможностей.
В статье, посвящённой запуску Обсерватории утечек данных Proton, мы рассказали, что многие утечки не попадают в новости, и это скрывает истинный масштаб проблемы. Proton создала Обсерваторию, чтобы показать, куда данные компаний утекают в даркнет, и помочь организациям увидеть новые риски, связанные с реальными утечками.
Какие данные компании наиболее ценны в даркнете
Самые ценные данные компании в даркнете — это не только пароли или платежная информация. Злоумышленники часто ищут любые сведения, которые помогут им получить доступ к аккаунтам, выдать себя за сотрудников, нацелиться на клиентов или понять, как устроен бизнес.
Обсерватория утечек данных Proton показывает, насколько разнообразными бывают раскрытые данные компаний: от имен и адресов электронной почты до контактной информации, паролей и других записей, которые могут помочь в дальнейших атаках. Даже частичная информация становится полезной, если объединить её с данными из других утечек.
Самые ценные для злоумышленников данные компании обычно включают:
- Данные для входа: адреса электронной почты, пароли, файлы cookie сеанса и токены аутентификации могут открыть злоумышленникам прямой путь в рабочие аккаунты. Риск выше, когда сотрудники используют одни и те же пароли в разных инструментах или когда не включена MFA.
- Информация о сотрудниках: имена, должности, рабочие адреса электронной почты, номера телефонов и сведения об организации помогают злоумышленникам понять, на кого нацелиться и как сделать сообщение правдоподобным. Эти данные могут помочь в фишинге, выдаче себя за других людей и попытках компрометации рабочей почты.
- Данные клиентов: имена, контактная информация, адреса, сведения об аккаунтах и история покупок могут использоваться для мошенничества, кражи личных данных, фишинга или социальной инженерии. Даже если эти данные не содержат паролей, они помогают злоумышленникам сделать мошеннические схемы более персональными и убедительными.
- Финансовая информация и сведения о платежах: счета, банковские реквизиты, данные о выставлении счетов, налоговые документы и платежные данные могут использоваться для мошенничества с выставлением счетов, схем с перенаправлением платежей или попыток выдать себя за поставщиков и партнеров.
- Внутренние рабочие документы: договоры, списки поставщиков, файлы проектов, стратегические документы и рабочие записи могут не давать немедленного доступа к аккаунтам, но раскрывают, как устроена компания, от кого она зависит и где злоумышленники могут найти слабые места.
Повторно используемые пароли, утекшие учетные данные и предсказуемые комбинации — самый простой путь в рабочий аккаунт: никаких эксплойтов, только список и терпение. Но другие раскрытые данные всё равно помогают злоумышленникам готовить более точечные атаки. Как только информация о компании появляется в даркнете, риск не ограничивается возможной компрометацией одного аккаунта. Одни и те же данные можно использовать повторно, объединять и эксплуатировать ещё долго после исходной утечки.
Что делать, если ваши корпоративные учетные данные оказались в даркнете
Хотя точных оценок ущерба именно от активности в даркнете нет, она играет свою роль в гораздо более масштабной экономике киберпреступности. Академическое исследование Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(новое окно) оценивает общий мировой ущерб от киберпреступности примерно в 500 млрд $ в год с вероятным диапазоном от 100 млрд $ до 1 трлн $. Форумы и площадки даркнета поддерживают эту экосистему, упрощая торговлю украденными учетными данными, личными данными и информацией о компаниях, а также их объединение и повторное использование.
Если корпоративные учетные данные обнаружены в даркнете, первая задача — снизить вероятность того, что злоумышленники всё ещё смогут ими воспользоваться. Учетные данные, раскрытые месяцы назад, могут оставаться действительными, если пароль не меняли, не настроена многофакторная аутентификация (MFA) или тот же пароль использовался в других инструментах.
1. Определите, какие аккаунты, сотрудники и системы могли пострадать
Сбросьте раскрытые пароли, отзовите активные сеансы и проверьте, не использовались ли такие же или похожие пароли где-то ещё. Если аккаунт связан с электронной почтой, файловым хранилищем, финансовыми системами, данными клиентов или административными панелями, отнесите его к зоне повышенного риска и проверьте недавнюю активность на предмет подозрительных входов, правил пересылки, изменений прав доступа или необычных скачиваний.
Если раскрытые учетные данные связаны с персональными данными, оцените, нужно ли сообщать об инциденте в соответствующий надзорный орган — ICO(новое окно) в Великобритании или национальный орган по защите данных в каждой стране ЕС. Согласно GDPR Великобритании и ЕС, сообщать нужно не о каждой утечке персональных данных, но организации обязаны уведомлять, когда утечка может создать риск для прав и свобод людей. Руководство ICO сообщить об утечке(новое окно) поможет компаниям оценить инцидент и разобраться в процессе уведомления.
2. Включайте MFA везде, где это возможно
Обязательно уделите внимание инструментам с конфиденциальными рабочими данными: электронной почте, администраторским аккаунтам и облачным платформам. Если MFA уже включена, проверьте метод аутентификации и варианты восстановления доступа, чтобы злоумышленники не могли обойти её с помощью скомпрометированных резервных кодов, слабых резервных адресов электронной почты или социальной инженерии.
3. Уведомите затронутых пользователей внутри компании
Затем сообщите сотрудникам, которых это коснулось, и дайте четкие инструкции, что изменить и на что обращать внимание. Как только учетные данные оказываются в даркнете, злоумышленники могут использовать их для подстановки учетных данных, фишинга, выдачи себя за других или попыток перейти из взломанного аккаунта в другие системы компании.
4. Проверьте средства контроля доступа
Удалите неиспользуемые аккаунты, обновите права доступа, проверьте общие учетные данные и убедитесь, что сотрудники используют уникальные пароли для каждого рабочего сервиса. Менеджер паролей помогает командам создавать более надежные пароли, безопасно их хранить, делиться доступом, не раскрывая сам пароль, и дает администраторам более полную картину рискованного поведения с паролями.
5. Продолжайте мониторинг новых утечек
И наконец, продолжайте мониторинг новых утечек. Данные в даркнете могут всплыть снова, быть переупакованы или объединены с другими утечками спустя много времени после исходного инцидента. Раннее обнаружение раскрытых учетных данных дает компании больше шансов сбросить доступ до того, как злоумышленники превратят утекшие данные в захват аккаунта, мошенничество или более масштабный инцидент безопасности. Корпоративный менеджер паролей, например Proton Pass for Business, упрощает эту задачу: он выявляет уязвимые аккаунты и присылает уведомления об утечках данных в одном месте, так что утечки становятся заметны без необходимости их искать.
Как Pass Monitor помогает выявлять раскрытие учетных данных
Утечки в даркнете часто обнаруживаются с задержкой и по частям. Утекший адрес электронной почты может всплыть в одном наборе данных, пароль — в другом, а связанная с ними личная информация — где-то ещё. Мониторинг помогает выявить эти сигналы раньше, прежде чем раскрытые учетные данные тихо используют для захвата аккаунта, фишинга или мошенничества.
С помощью корпоративного менеджера паролей, например Proton Pass for Business, команды могут хранить учетные данные в зашифрованных хранилищах паролей, создавать уникальные пароли, использовать автозаполнение имен пользователей, безопасно делиться доступом, управлять ключами доступа и применять встроенную двухфакторную аутентификацию. Такие административные функции, как политики, отчетность, журналы, управление группами, подготовка пользователей через SCIM и интеграция с SSO, помогают контролировать доступ по мере роста компании.
Наш инструмент мониторинга даркнета — это функция в Proton Pass for Business, которая помогает выявлять уязвимые аккаунты компании и получать оповещения об утечках данных в одном месте. Он включает мониторинг даркнета, проверку надежности паролей и оповещения о неактивной двухфакторной аутентификации.
Pass Monitor оповещает пользователей, когда персональные данные оказываются раскрыты в результате утечки, а также выявляет повторно используемые и слабые пароли. Надежность паролей показывает, сколько времени потребуется на взлом пароля, поэтому команда видит разницу между паролем, который подбирается за секунды, и тем, на который ушли бы годы.
Кроме того, он отмечает аккаунты, где двухфакторная аутентификация неактивна, — важный дополнительный уровень защиты, который часто определяет, останется ли утечка пароля мелким неудобством или обернется реальным инцидентом. Вместо того чтобы узнавать об утечке данных, когда уже слишком поздно, дайте бизнесу инструменты, необходимые для защиты.
Следите за учетными данными компании в даркнете с помощью корпоративного менеджера паролей.
