Çalınan tek bir parola hemen kaosa yol açmaz. Sızdırılmış bir veritabanında depolanabilir ya da binlerce başka kayıtla birlikte paketlenebilir. Bazen alınıp satılır, yeniden satılır, diğer hizmetlerde denenir veya haftalar sonra asıl ihlalle ilgisiz görünen bir kimlik avı girişiminde kullanılır.

Bir işletme hesaplarından birinin açığa çıktığını fark ettiğinde, kimlik doğrulama bilgisi çoktan birkaç el değiştirmiş olabilir. dark web’deki işletme kimlik doğrulama bilgilerinin yönetimini bu kadar zorlaştıran da budur. İhlal bir yerde yaşanabilir, veriler başka bir yerde ortaya çıkabilir ve ardından gelen saldırı tamamen farklı bir sistemi hedefleyebilir.

Bu kimlik doğrulama bilgileri dark web‘de göründüğünde, ihlal çoktan bir yerde gerçekleşmiş olur. Orada görünür hale gelen şey bir sonraki risktir: verileri kim bulabilir, kim yeniden kullanabilir ve işletme ne kadar hızlı yanıt verebilir. Dark web’deki işletme kimlik doğrulama bilgileri siber suçlular için değerli bir kaynaktır, bu yüzden işletmenizin bir veri ihlalinden etkilenmesi durumunda hazırlıklı olması gerekir.

İşletme kimlik doğrulama bilgileri nasıl çalınır

Bir işletme kimlik doğrulama bilgilerinin sızdığını fark edene kadar günler, haftalar hatta aylar geçebilir. Bu bilgiler sahte bir oturum açma sayfasıyla ele geçirilebilir, enfekte olmuş bir aygıttan çekilebilir, bir tedarikçi ihlalinde açığa çıkabilir veya eski bir kişisel hesaptan yeniden kullanılabilir; çoğu zaman çalınan verilerin toplu halde alınıp satıldığı dark web pazar yerlerine kadar uzanır.

Kimlik avı girişimi

Kimlik avı e-postaları kimlik doğrulama bilgilerinin çalınmasında yaygın bir yol olmayı sürdürüyor. Bir çalışan, tanıdık bir SaaS platformuna benzeyen bir sayfaya yönlendirilebilir, oturum açmasını isteyen bir belge talebini açabilir veya güvenilir bir hizmetten geliyormuş gibi görünen bir iletiyi takip edebilir. Kimlik doğrulama bilgisi girildikten sonra saldırgan onu hemen kullanmayı ya da ileride kullanmak üzere saklamayı deneyebilir. Başarılı tek bir kimlik avı saldırısı, ele geçirilen hesabın erişebildiği her sistemi açığa çıkarabilir.

Fidye yazılımı

Diğer sızıntılar daha az görünürdür. Fidye yazılımı olaylarında saldırganlar, sistemleri şifrelemeden önce hesap listeleri, yapılandırma dosyaları, parolalar ve erişim kayıtları gibi dosyaları çalabilir. Bir tedarik zinciri ihlali, işletmenin kendi sistemleri ilk ele geçirilme noktası olmasa bile, kimlik doğrulama bilgilerini bir satıcı, yüklenici, yazılım sağlayıcısı veya yönetilen hizmet ortağı üzerinden açığa çıkarabilir.

Yeniden kullanılmış parolalar

Çalışanlar kişisel ve iş hesaplarında aynı parolayı kullandığında, şirket dışındaki bir ihlal yine de bir işletme sorununa dönüşebilir. Saldırganların önce iş sistemine sızması gerekmez. Hâlihazırda sızdırılmış kimlik doğrulama bilgilerini düzinelerce hizmette deneyip hangilerinde hâlâ çalıştığını görebilirler. Bu saldırı, kimlik bilgisi doldurma (credential stuffing) olarak bilinir.

Bilgi çalan kötü amaçlı yazılım

Çalışan aygıtları da bir açığa çıkma kaynağı haline gelebilir. Bilgi çalan kötü amaçlı yazılımlar, bir aygıttan kayıtlı parolaları, tarayıcı oturumlarını, tanımlama bilgilerini, otomatik doldurma verilerini ve diğer hassas bilgileri toplamak için tasarlanmıştır. Bu aygıt, ara sıra bile olsa iş için kullanılıyorsa, kişisel bir ele geçirme saldırganlara işletme hesaplarına, araçlarına veya iletişim kanallarına erişim sağlayabilir.

Kimlik doğrulama bilgisi bir suç veri setinde veya dark web kaynağında göründüğünde, asıl hırsızlık çoktan günler, haftalar hatta aylar önce gerçekleşmiş olabilir. İşletme yalnızca sızdırılmış bir parolayla uğraşmıyor. Bir belirsizlikle uğraşıyor: kimlik doğrulama bilgisinin nereden geldiği, kimlerin onu gördüğü, test edilip edilmediği ve onunla birlikte başka nelerin açığa çıkmış olabileceği.

Kimlik doğrulama bilgileri çalındıktan sonra ne olur

Kimlik doğrulama bilgileri çalındıktan sonra nadiren tek bir yerde kalır. Daha büyük bir ihlal veri setine eklenebilir, özel olarak paylaşılabilir, toplu halde satılabilir veya farklı gruplar tarafından farklı amaçlarla kullanılabilir. Bazı saldırganlar doğrudan hesap erişimi ister. Bazıları ise yeniden satabilecekleri geçerli işletme e-postaları, parolalar, oturum verileri veya yönetici hesapları listelerini ister.

Değeri, kimlik doğrulama bilgisinin neyin kilidini açtığına bağlıdır:

  • Temel bir çalışan oturumu, kimlik avı veya kurum içi keşif için işe yarayabilir
  • Yeniden kullanılan bir parola birden fazla hesabı açabilir
  • Bir yönetici kimlik doğrulama bilgisi, ayarlara, müşteri verilerine, faturalama bilgilerine veya kullanıcı yönetimine erişim sağlayabilir
  • Bir finansal hesap oturumu, ödeme dolandırıcılığını destekleyebilir
  • SaaS kimlik doğrulama bilgileri, belgeleri, iletileri, proje verilerini veya müşteri kayıtlarını açığa çıkarabilir

Dark web’deki işletme verileri, yıkıcı eylemlerde kullanılabildiği için tehlikeli hale gelir. Bir kimlik doğrulama bilgisi bir hesabın kilidini açabilir, ancak kısmi kayıtlar bile saldırganların kimi taklit edeceğini, hangi müşterileri hedefleyeceğini, hangi finans süreçlerini taklit edeceğini veya sırada hangi çalışanlara baskı yapacağını anlamasına yardımcı olabilir. İşletmeye sızdırılmış bir veritabanı gibi görünen şey, dolandırıcılık, kimlik avı, vishing veya hesap ele geçirme hazırlayan biri için bir fırsatlar kümesi gibi görünebilir.

Proton Data Breach Observatory⁠’yi tanıtan yazımızda, birçok ihlalin haberlere yansımadığını, bunun da sorunun gerçek boyutunu gizlediğini belirtmiştik. Proton, Observatory’yi işletme verilerinin dark web’e nerede sızdığını göstermek ve kuruluşların gerçek dünyadaki açığa çıkmalardan kaynaklanan yeni riskleri anlamasına yardımcı olmak için geliştirdi.

Dark web’de en değerli işletme verileri hangileridir

Dark web’deki en değerli işletme verileri parolalar veya ödeme ayrıntılarıyla sınırlı değildir. Saldırganlar genellikle hesaplara erişmelerine, çalışanları taklit etmelerine, müşterileri hedeflemelerine veya bir işletmenin nasıl çalıştığını anlamalarına yardımcı olan her türlü bilgiyi arar.

Proton’un Data Breach Observatory⁠’si, açığa çıkan işletme verilerinin isimler ve e-posta adreslerinden kişi bilgilerine, parolalara ve daha ileri saldırıları destekleyebilecek diğer kayıtlara kadar ne kadar çeşitli olabileceğini gösteriyor. Kısmi bilgiler bile diğer sızıntılardan gelen verilerle birleştirildiğinde işe yarar hale gelebilir.

Saldırganlar için en değerli işletme verileri genellikle şunları içerir:

  • Oturum açma kimlik doğrulama bilgileri: E-posta adresleri, parolalar, oturum tanımlama bilgileri ve kimlik doğrulama kodları, saldırganlara işletme hesaplarına doğrudan bir yol sunabilir. Bu risk, çalışanlar farklı araçlarda aynı parolayı yeniden kullandığında veya MFA etkinleştirilmediğinde daha yüksektir.
  • Çalışan bilgileri: İsimler, iş unvanları, iş e-postaları, telefon numaraları ve kurumsal ayrıntılar, saldırganların kimi hedefleyeceğini ve bir iletiyi nasıl gerçekçi göstereceğini belirlemesine yardımcı olabilir. Bu veriler kimlik avı, taklit ve kurumsal e-posta ele geçirme girişimlerini destekleyebilir.
  • Müşteri verileri: İsimler, kişi bilgileri, adresler, hesap bilgileri ve satın alma geçmişi dolandırıcılık, kimlik hırsızlığı, kimlik avı veya sosyal mühendislik için kullanılabilir. Bu veriler parola içermese bile saldırganların dolandırıcılık girişimlerini daha kişisel ve inandırıcı hale getirmesine yardımcı olabilir.
  • Finansal ve ödeme bilgileri: Faturalar, banka bilgileri, faturalama kayıtları, vergi belgeleri ve ödeme verileri, fatura dolandırıcılığı, ödeme yönlendirme dolandırıcılıkları veya tedarikçileri ve iş ortaklarını taklit etme çabalarında kullanılabilir.
  • Şirket içi işletme belgeleri: Sözleşmeler, tedarikçi listeleri, proje dosyaları, strateji belgeleri ve operasyonel kayıtlar doğrudan hesap erişimi sağlamayabilir, ancak işletmenin nasıl çalıştığını, kime bağlı olduğunu ve saldırganların zayıf noktaları nerede bulabileceğini ortaya koyabilir.

Yeniden kullanılan parolalar, sızdırılmış kimlik doğrulama bilgileri ve tahmin edilebilir kombinasyonlar, bir işletme hesabına girmenin en kolay yollarıdır; herhangi bir güvenlik açığından yararlanmaya gerek yoktur, sadece bir liste ve sabır yeterlidir. Ancak açığa çıkan diğer veriler de saldırganların daha hedefli saldırılar kurmasına yardımcı olur. İşletme bilgileri dark web’de bir kez göründüğünde, risk yalnızca bir hesabın ele geçirilmiş olması değildir. Aynı veriler, asıl ihlalden çok sonra bile yeniden kullanılabilir, birleştirilebilir ve kötüye kullanılabilir.

İşletme kimlik doğrulama bilgilerinizi dark web’de bulursanız ne yapmalısınız

Dark web faaliyetlerinin özellikle yol açtığı kayıplara dair kesin bir tahmin olmasa da bu faaliyetler, çok daha büyük bir siber suç ekonomisinde rol oynuyor. Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(yeni pencere) adlı akademik bir inceleme, küresel siber suç kayıplarının toplamını yılda yaklaşık 500 milyar dolar olarak tahmin ediyor; olası aralık 100 milyar dolar ile 1 trilyon dolar arasında. Dark web forumları ve pazar yerleri, çalınan kimlik doğrulama bilgilerini, kişisel verileri ve işletme bilgilerini alıp satmayı, birleştirmeyi ve yeniden kullanmayı kolaylaştırarak bu ekosisteme katkıda bulunuyor.

İşletme kimlik doğrulama bilgileri dark web’de bulunursa, ilk önceliğiniz saldırganların bunları hâlâ kullanabilme olasılığını azaltmak olmalıdır. Aylar önce açığa çıkmış bir kimlik doğrulama bilgisi, parola değiştirilmediyse, çok faktörlü kimlik doğrulama (MFA) eksikse veya aynı parola başka araçlarda yeniden kullanıldıysa hâlâ geçerli olabilir.

1. Hangi hesapların, çalışanların ve sistemlerin etkilenmiş olabileceğini belirleyin

Açığa çıkan parolaları sıfırlayın, etkin oturumları geçersiz kılın ve aynı veya benzer parolaların başka yerlerde kullanılıp kullanılmadığını kontrol edin. Hesap e-postaya, dosya depolama alanına, finans sistemlerine, müşteri verilerine veya yönetici panellerine bağlıysa bunu daha yüksek riskli olarak değerlendirin ve şüpheli oturum açmalar, yönlendirme kuralları, izin değişiklikleri veya olağandışı indirmeler için son etkinlikleri gözden geçirin.

Açığa çıkan kimlik doğrulama bilgileri kişisel verileri içeriyorsa, olayın ilgili denetim otoritesine, Birleşik Krallık’ta ICO(yeni pencere)‘ya, her AB üye devletinde ise ulusal veri koruma otoritesine bildirilmesi gerekip gerekmediğini değerlendirin. Hem Birleşik Krallık hem de AB GDPR’si kapsamında her kişisel veri ihlalinin bildirilmesi gerekmez, ancak ihlalin kişilerin hak ve özgürlüklerine risk oluşturma olasılığı varsa kuruluşların bildirim yapması gerekir. ICO’nun ihlal bildirme(yeni pencere)⁠ rehberi, işletmelerin olayı değerlendirmesine ve bildirim sürecini anlamasına yardımcı olabilir.

2. MFA’yı mümkün olan her yerde zorunlu kılın

E-posta, yönetici hesapları ve bulut platformları gibi hassas işletme verileri içeren araçlara odaklandığınızdan emin olun. MFA zaten etkinleştirilmişse, saldırganların ele geçirilmiş yedek kodlar, zayıf kurtarma e-posta hesapları veya sosyal mühendislik yoluyla bunu atlayamadığından emin olmak için kimlik doğrulama yöntemini ve kurtarma seçeneklerini gözden geçirin.

3. Etkilenen iç kullanıcıları bilgilendirin

Ardından, etkilenen ekip üyelerini bilgilendirmeniz ve neyin değiştirilmesi, nelere dikkat edilmesi gerektiği konusunda net talimatlar vermeniz gerekir. Kimlik doğrulama bilgileri dark web’de göründüğünde, saldırganlar bunları kimlik bilgisi doldurma, kimlik avı, taklit veya ele geçirilen bir hesaptan diğer işletme sistemlerine geçme girişimleri için kullanabilir.

4. Erişim denetimlerinizi gözden geçirin

Kullanılmayan hesapları kaldırın, izinleri güncelleyin, paylaşılan kimlik doğrulama bilgilerini kontrol edin ve çalışanların her işletme hizmeti için benzersiz parolalar kullandığından emin olun. Bir parola yöneticisi, ekiplerin daha güçlü parolalar oluşturmasına, bunları güvenli şekilde saklamasına, parolanın kendisini açığa çıkarmadan erişimi paylaşmasına ve yöneticilere riskli parola davranışları konusunda daha iyi görünürlük sağlamasına yardımcı olabilir.

5. Daha fazla açığa çıkma durumunu izlemeye devam edin

Son olarak, gelecekteki açığa çıkmaları izlemeye devam edin. Dark web verileri, asıl ihlalden çok sonra yeniden ortaya çıkabilir, yeniden paketlenebilir veya başka sızıntılarla birleştirilebilir. Açığa çıkan kimlik doğrulama bilgilerini erken bulmak, saldırganlar sızdırılan verileri hesap ele geçirmeye, dolandırıcılığa veya daha geniş çaplı bir güvenlik olayına dönüştürmeden önce işletmeye erişimi sıfırlamak için daha iyi bir şans verir. Proton Pass for Business gibi bir işletme parola yöneticisi, savunmasız hesapları belirleyerek ve veri ihlali uyarılarını tek bir yerde sunarak bunu kolaylaştırır; böylece açığa çıkma, kimsenin onu aramasına gerek kalmadan ortaya çıkar.

Pass Monitor kimlik doğrulama bilgisi açığa çıkmalarını tespit etmeye nasıl yardımcı olur

Dark web’de açığa çıkma genellikle gecikmeli ve parça parça gerçekleşir. Sızdırılmış bir e-posta adresi bir veri setinde, bir parola başka bir veri setinde, ilgili kişisel bilgiler ise bambaşka bir yerde ortaya çıkabilir. İzleme, açığa çıkan kimlik doğrulama bilgileri hesap ele geçirme, kimlik avı veya dolandırıcılıkta sessizce yeniden kullanılmadan önce bu sinyallerin daha erken ortaya çıkmasına yardımcı olur.

Proton Pass for Business⁠ gibi bir iş parola yöneticisi ile ekipler kimlik doğrulama bilgilerini şifrelenmiş parola kasalarında saklayabilir, benzersiz parolalar oluşturabilir, oturum açma bilgilerini otomatik doldurabilir, erişimi güvenli şekilde paylaşabilir, geçiş anahtarlarını yönetebilir ve yerleşik iki adımlı doğrulamadan yararlanabilir. İlkeler, raporlama, günlükler, grup yönetimi, SCIM sağlama ve SSO entegrasyonu gibi yönetici özellikleri, işletme büyüdükçe erişimin denetim altında kalmasına yardımcı olur.

Karanlık ağ izleme aracımız, Proton Pass for Business içindeki bir özelliktir ve risk altındaki işletme hesaplarını belirlemenize, veri ihlali uyarılarını tek bir yerde almanıza yardımcı olur. Karanlık ağ izleme, parola sağlığı kontrolleri ve etkin olmayan iki adımlı doğrulama uyarılarını içerir.

Pass Monitor, kişisel bilgiler bir veri sızıntısında ele geçirildiğinde kullanıcıları uyarabilir ve yeniden kullanılan ya da zayıf parolaları belirleyebilir. Parola sağlığı, bir parolanın kırılmasının ne kadar süreceğini tahmin eder. Bu sayede ekipler, saniyeler içinde kırılan bir parola ile yıllar sürecek bir parola arasındaki farkı görebilir.

Ayrıca, iki adımlı doğrulamanın etkin olmadığı hesapları vurgular. Bu, önemli bir ek güvenlik katmanıdır ve çoğu zaman sızdırılan bir parolanın yalnızca bir sıkıntı mı yoksa bir ihlal mi olduğunu belirleyen farktır. Bir veri ihlalini iş işten geçtikten sonra öğrenmeyi beklemek yerine, işletmenize kendini koruması için ihtiyaç duyduğu araçları sunun.

Bir iş parola yöneticisi⁠ ile işletme kimlik doğrulama bilgilerinizi karanlık ağda izleyin.