Ett enskilt stulet lösenord orsakar inte omedelbart kaos. Det kan vara lagrat i en läckt databas eller paketerat med tusentals andra poster. Ibland byts det, säljs vidare, testas mot andra tjänster eller används veckor senare i en nätfiskekampanj som verkar orelaterad till det ursprungliga intrånget.

När ett företag inser att ett av dess konton är exponerat kan inloggningsuppgiften redan ha passerat genom flera händer. Det är just därför företagsinloggningsuppgifter på dark web är så svåra att hantera. Intrånget kan ske på ett ställe, uppgifterna kan dyka upp någon annanstans och attacken som följer kan rikta sig mot ett helt annat system.

När de inloggningsuppgifterna dyker upp på dark web har intrånget redan skett någonstans. Det som blir synligt där är nästa risk: vem kan hitta uppgifterna, vem kan återanvända dem och hur snabbt kan företaget agera. Företagsinloggningsuppgifter på dark web är en värdefull resurs för cyberbrottslingar, så ditt företag behöver vara förberett om det drabbas av ett dataintrång.

Hur företagsinloggningsuppgifter stjäls

Det kan ta dagar, veckor eller till och med månader innan ett företag upptäcker att inloggningsuppgifter har läckt. De kan fångas upp via en falsk inloggningssida, hämtas från en infekterad enhet, exponeras i ett intrång hos en leverantör eller återanvändas från ett gammalt privat konto, och hamnar ofta på marknadsplatser på dark web där stulen data köps i bulk.

Nätfiske

Nätfiskemejl är fortfarande en vanlig väg för stöld av inloggningsuppgifter. En anställd kan hamna på en sida som ser ut som en bekant SaaS-plattform, öppna en dokumentförfrågan som ber dem logga in eller följa ett meddelande som verkar komma från en betrodd tjänst. När inloggningsuppgiften har angetts kan angriparen försöka använda den direkt eller spara den för senare. En enda lyckad nätfiskeattack kan exponera alla system som det komprometterade kontot har åtkomst till.

Ransomware

Andra läckor är mindre synliga. Vid ransomware-incidenter kan angripare stjäla filer innan de krypterar system, bland annat kontolistor, konfigurationsfiler, lösenord och åtkomstloggar. Ett intrång i leverantörskedjan kan exponera inloggningsuppgifter via en leverantör, entreprenör, mjukvaruleverantör eller partner för hanterade tjänster, även när företagets egna system inte var den första punkten som komprometterades.

Återanvända lösenord

När anställda använder samma lösenord både privat och på jobbet kan ett intrång utanför företaget ändå bli ett problem för verksamheten. Angripare behöver inte ta sig in i arbetssystemet först. De kan testa redan läckta inloggningsuppgifter mot dussintals tjänster och se var de fortfarande fungerar, en attack som kallas credential stuffing.

Infostealer-skadlig kod

Även anställdas enheter kan bli en källa till exponering. Infostealer-skadlig kod är byggd för att samla in sparade lösenord, webbläsarsessioner, cookies, autofyllda uppgifter och annan känslig information från en enhet. Om enheten används i arbetet, även tillfälligt, kan en personlig kompromettering ge angripare åtkomst till företagskonton, verktyg eller kommunikationskanaler.

När inloggningsuppgiften dyker upp i ett kriminellt dataset eller en källa på dark web kan själva stölden redan vara dagar, veckor eller månader gammal. Företaget har inte bara att göra med ett läckt lösenord. Det har att göra med osäkerhet: var inloggningsuppgiften kom ifrån, vem som har sett den, om den har testats och vad mer som kan ha exponerats tillsammans med den.

Vad som händer efter att inloggningsuppgifter har stulits

När inloggningsuppgifter väl har stulits stannar de sällan på ett ställe. De kan läggas till i ett större intrångsdataset, delas privat, säljas i bulk eller användas av olika grupper för olika syften. Vissa angripare vill ha direkt åtkomst till konton. Andra vill ha listor över giltiga företagsmejl, lösenord, sessionsdata eller adminkonton som de kan sälja vidare.

Värdet beror på vad inloggningsuppgiften låser upp:

  • En enkel inloggning för en anställd kan hjälpa till vid nätfiske eller intern kartläggning
  • Ett återanvänt lösenord kan öppna flera konton
  • En admininloggningsuppgift kan ge åtkomst till inställningar, kunddata, faktureringsinformation eller användarhantering
  • En inloggning till ett finansiellt konto kan användas för betalningsbedrägerier
  • Inloggningsuppgifter till SaaS kan exponera dokument, meddelanden, projektdata eller kundregister

Företagsdata på dark web blir farlig eftersom den kan användas för att vidta destruktiva åtgärder. En inloggningsuppgift kan låsa upp ett konto, men även ofullständiga uppgifter kan hjälpa angripare att förstå vem de ska imitera, vilka kunder de ska rikta in sig på, vilka ekonomiprocesser de ska härma eller vilka anställda de ska pressa härnäst. Det som ser ut som en läckt databas för företaget kan se ut som en uppsättning möjligheter för någon som förbereder bedrägeri, nätfiske, vishing eller kontokapning.

I vår artikel som introducerar Proton Data Breach Observatory⁠ beskrev vi att många intrång aldrig når nyheterna, vilket döljer den verkliga omfattningen av problemet. Proton byggde Observatory för att visa var företagsdata läcker ut på dark web och för att hjälpa organisationer att förstå nya risker utifrån verklig exponering.

Vilken företagsdata är mest värdefull på dark web

Den mest värdefulla företagsdatan på dark web är inte begränsad till lösenord eller betalningsuppgifter. Angripare letar ofta efter all information som hjälper dem att få åtkomst till konton, imitera anställda, rikta in sig på kunder eller förstå hur ett företag fungerar.

Protons Data Breach Observatory⁠ visar hur varierad exponerad företagsdata kan vara, från namn och e-postadresser till kontaktuppgifter, lösenord och andra uppgifter som kan användas för ytterligare attacker. Även ofullständig information kan bli användbar när den kombineras med data från andra läckor.

Den företagsdata som är mest värdefull för angripare omfattar vanligtvis:

  • Inloggningsuppgifter: E-postadresser, lösenord, sessionscookies och autentiseringstoken kan ge angripare en direkt väg in i företagskonton. Risken är högre när anställda återanvänder lösenord mellan verktyg eller när MFA inte är aktiverat.
  • Anställdas uppgifter: Namn, befattningar, arbetsmejl, telefonnummer och organisatoriska detaljer kan hjälpa angripare att identifiera vem de ska rikta in sig på och hur de ska få ett meddelande att verka legitimt. Dessa uppgifter kan användas för nätfiske, imitation och försök till kompromettering av företagsmejl.
  • Kunddata: Namn, kontaktuppgifter, adresser, kontoinformation och köphistorik kan användas för bedrägeri, identitetsstöld, nätfiske eller social manipulation. Även när dessa data inte innehåller lösenord kan de hjälpa angripare att göra bedrägerier mer personliga och övertygande.
  • Finansiell information och betalningsinformation: Fakturor, bankuppgifter, faktureringsunderlag, skattedokument och betalningsdata kan användas för fakturabedrägerier, bedrägerier med omdirigering av betalningar eller försök att imitera leverantörer och partner.
  • Interna affärsdokument: Avtal, leverantörslistor, projektfiler, strategidokument och verksamhetsunderlag ger kanske inte omedelbar åtkomst till konton, men de kan avslöja hur företaget arbetar, vilka det är beroende av och var angripare kan hitta svagheter.

Återanvända lösenord, läckta inloggningsuppgifter och förutsägbara kombinationer är de enklaste vägarna in i ett företagskonto, ingen exploit krävs, bara en lista och tålamod. Men annan exponerad data hjälper fortfarande angripare att bygga mer riktade attacker. När företagsinformation väl finns på dark web är risken inte bara att ett konto kan komprometteras. Samma data kan återanvändas, kombineras och utnyttjas långt efter det ursprungliga intrånget.

Vad du bör göra om du hittar företagets inloggningsuppgifter på dark web

Det finns ingen exakt uppskattning av förluster som orsakas specifikt av aktivitet på dark web, men den spelar en roll i en mycket större ekonomi för cyberbrottslighet. En akademisk översiktsstudie, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nytt fönster), uppskattar de totala globala skadorna från cyberbrottslighet till cirka 500 miljarder USD per år, med ett troligt intervall mellan 100 miljarder USD och 1 biljon USD. Forum och marknadsplatser på dark web bidrar till detta ekosystem genom att göra det enklare att handla med, kombinera och återanvända stulna inloggningsuppgifter, personuppgifter och företagsinformation.

Om företagets inloggningsuppgifter hittas på dark web måste den första prioriteringen vara att minska risken att angripare fortfarande kan använda dem. En inloggningsuppgift som exponerades för månader sedan kan fortfarande vara giltig om lösenordet inte har ändrats, om flerfaktorsautentisering (MFA) saknas eller om samma lösenord har återanvänts i andra verktyg.

1. Identifiera vilka konton, anställda och system som kan vara påverkade

Återställ de exponerade lösenorden, återkalla aktiva sessioner och kontrollera om samma eller liknande lösenord har använts någon annanstans. Om kontot är kopplat till e-post, fillagring, ekonomisystem, kunddata eller adminpaneler bör det behandlas som en högre risk och den senaste aktiviteten granskas för misstänkta inloggningar, vidarebefordringsregler, behörighetsändringar eller ovanliga nedladdningar.

Om de exponerade inloggningsuppgifterna omfattar personuppgifter bör du bedöma om incidenten behöver rapporteras till den relevanta tillsynsmyndigheten, ICO(nytt fönster) i Storbritannien eller den nationella dataskyddsmyndigheten i varje EU-medlemsstat. Enligt både brittisk GDPR och EU:s GDPR är inte varje personuppgiftsincident anmälningspliktig, men organisationer måste anmäla när intrånget sannolikt innebär en risk för människors rättigheter och friheter. ICO:s vägledning anmäla ett intrång(nytt fönster)⁠ kan hjälpa företag att bedöma incidenten och förstå anmälningsprocessen.

2. Tillämpa MFA där det är möjligt

Se till att fokusera på verktyg som innehåller känsliga företagsdata, till exempel e-post, adminkonton och molnplattformar. Om MFA redan var aktiverat bör du granska autentiseringsmetoden och återställningsalternativen för att se till att angripare inte kan kringgå den via komprometterade reservkoder, svaga återställningskonton för e-post eller social manipulation.

3. Meddela berörda interna användare

Därefter behöver du informera de teammedlemmar som har påverkats och ge tydliga instruktioner om vad som ska ändras och vad man ska hålla utkik efter. När inloggningsuppgifter väl dyker upp på dark web kan angripare använda dem för credential stuffing, nätfiske, imitation eller försök att ta sig från ett komprometterat konto vidare in i andra affärssystem.

4. Granska åtkomstkontrollerna

Ta bort oanvända konton, uppdatera behörigheter, kontrollera delade inloggningsuppgifter och se till att anställda använder unika lösenord för varje företagstjänst. En lösenordshanterare kan hjälpa team att generera starkare lösenord, lagra dem säkert, dela åtkomst utan att avslöja själva lösenordet och ge admin bättre insyn i riskabelt lösenordsbeteende.

5. Fortsätt övervaka för ytterligare exponering

Fortsätt slutligen övervaka för framtida exponering. Data på dark web kan dyka upp igen, paketeras om eller kombineras med andra läckor långt efter det ursprungliga intrånget. Att hitta exponerade inloggningsuppgifter tidigt ger företaget en bättre chans att återställa åtkomsten innan angripare förvandlar läckt data till kontokapning, bedrägeri eller en bredare säkerhetsincident. En lösenordshanterare för företag som Proton Pass for Business gör det enklare genom att identifiera sårbara konton och leverera varningar om dataintrång på ett och samma ställe, så att exponering upptäcks utan att någon behöver leta efter den.

Hur Pass Monitor hjälper till att upptäcka exponerade inloggningsuppgifter

Exponering på dark web är ofta fördröjd och fragmenterad. En läckt e-postadress kan dyka upp i ett dataset, ett lösenord i ett annat och relaterad personlig information någon annanstans. Övervakning hjälper till att få fram dessa signaler tidigare, innan exponerade inloggningsuppgifter tyst återanvänds för kontokapning, nätfiske eller bedrägeri.

Med en lösenordshanterare för företag som Proton Pass for Business⁠ kan team lagra inloggningsuppgifter i krypterade lösenordsvalv, generera unika lösenord, autofylla inloggningar, dela åtkomst på ett säkert sätt, hantera passnycklar och använda inbyggd tvåfaktorsautentisering. Adminfunktioner som policyer, rapportering, loggar, grupphantering, SCIM-etablering och SSO-integrering hjälper till att hålla åtkomsten kontrollerad när företaget växer.

Vårt verktyg för övervakning av dark web är en funktion i Proton Pass for Business som hjälper dig att identifiera sårbara företagskonton och ta emot varningar om dataintrång på ett och samma ställe. Det omfattar övervakning av dark web, kontroller av lösenordshälsa och aviseringar om inaktiva 2FA.

Pass Monitor kan varna användare när personuppgifter komprometteras i en dataläcka och identifiera återanvända eller svaga lösenord. Lösenordshälsa uppskattar hur lång tid det skulle ta att knäcka ett lösenord, så att ett team kan se skillnaden mellan ett lösenord som knäcks på några sekunder och ett som skulle ta år.

Det belyser också konton där 2FA är inaktivt, ett viktigt extra skyddslager och ofta skillnaden mellan att ett läckt lösenord är ett besvär och att det är ett intrång. I stället för att vänta på att få reda på ett dataintrång först när det är för sent kan du ge ditt företag de verktyg som behövs för att skydda sig.

Övervaka företagets inloggningsuppgifter på dark web med en lösenordshanterare för företag⁠.