Một mật khẩu bị đánh cắp không gây ra hỗn loạn ngay lập tức. Nó có thể được lưu trữ trong một cơ sở dữ liệu bị rò rỉ, hoặc gộp chung với hàng nghìn bản ghi khác. Đôi khi nó bị mua bán, bán lại, thử nghiệm trên các dịch vụ khác, hoặc được dùng vài tuần sau đó trong một chiến dịch lừa đảo trông không liên quan đến vụ vi phạm ban đầu.
Đến khi doanh nghiệp nhận ra một trong các tài khoản của mình bị lộ, thông tin đăng nhập có thể đã đi qua nhiều bàn tay. Đó là lý do khiến thông tin đăng nhập doanh nghiệp trên dark web khó quản lý đến vậy. Vi phạm có thể xảy ra ở một nơi, dữ liệu có thể xuất hiện ở nơi khác, và cuộc tấn công sau đó có thể nhắm vào một hệ thống hoàn toàn khác.
Khi những thông tin đăng nhập đó xuất hiện trên dark web, vi phạm đã xảy ra ở đâu đó rồi. Điều trở nên rõ ràng ở đó là rủi ro tiếp theo: ai có thể tìm thấy dữ liệu, ai có thể tái sử dụng nó, và doanh nghiệp có thể phản ứng nhanh đến đâu. Thông tin đăng nhập doanh nghiệp trên dark web là nguồn tài nguyên quý giá đối với tội phạm mạng, vì vậy doanh nghiệp của bạn cần sẵn sàng trong trường hợp bị ảnh hưởng bởi một vụ vi phạm dữ liệu.
Thông tin đăng nhập doanh nghiệp bị đánh cắp như thế nào
Có thể mất vài ngày, vài tuần, thậm chí vài tháng trước khi doanh nghiệp nhận ra thông tin đăng nhập đã bị rò rỉ. Chúng có thể bị thu thập qua một trang đăng nhập giả, lấy từ một thiết bị bị nhiễm, lộ ra trong một vụ vi phạm của nhà cung cấp, hoặc tái sử dụng từ một tài khoản cá nhân cũ, thường kết thúc trên các chợ dark web nơi dữ liệu bị đánh cắp được mua với số lượng lớn.
Lừa đảo
Email lừa đảo vẫn là con đường phổ biến để đánh cắp thông tin đăng nhập. Nhân viên có thể truy cập vào một trang trông giống như một nền tảng SaaS quen thuộc, mở một yêu cầu tài liệu đòi hỏi họ đăng nhập, hoặc làm theo một thư có vẻ đến từ một dịch vụ tin cậy. Khi thông tin đăng nhập được nhập, kẻ tấn công có thể cố sử dụng nó ngay lập tức hoặc lưu lại để dùng sau. Một cuộc tấn công lừa đảo thành công duy nhất có thể làm lộ mọi hệ thống mà tài khoản bị xâm phạm có thể truy cập.
Mã độc tống tiền
Những vụ rò rỉ khác ít rõ ràng hơn. Trong các sự cố mã độc tống tiền, kẻ tấn công có thể đánh cắp tệp trước khi mã hóa hệ thống, bao gồm danh sách tài khoản, tệp cấu hình, mật khẩu và hồ sơ truy cập. Một vi phạm trong chuỗi cung ứng có thể làm lộ thông tin đăng nhập thông qua nhà cung cấp, nhà thầu, nhà cung cấp phần mềm hoặc đối tác dịch vụ được quản lý, ngay cả khi hệ thống của chính doanh nghiệp không phải là điểm xâm phạm đầu tiên.
Mật khẩu tái sử dụng
Khi nhân viên dùng cùng một mật khẩu cho cả tài khoản cá nhân và tài khoản công việc, một vi phạm bên ngoài công ty vẫn có thể trở thành vấn đề của doanh nghiệp. Kẻ tấn công không cần xâm nhập vào hệ thống công việc trước. Chúng có thể thử những thông tin đăng nhập đã bị rò rỉ trên hàng chục dịch vụ và xem chúng còn hoạt động ở đâu, một kiểu tấn công được gọi là nhồi thông tin đăng nhập.
Phần mềm độc hại đánh cắp thông tin
Thiết bị của nhân viên cũng có thể trở thành nguồn phơi bày. Phần mềm độc hại đánh cắp thông tin được tạo ra để thu thập mật khẩu đã lưu, phiên trình duyệt, cookie, dữ liệu tự động điền và thông tin nhạy cảm khác từ thiết bị. Nếu thiết bị đó được dùng cho công việc, dù chỉ thỉnh thoảng, việc xâm phạm cá nhân có thể cho kẻ tấn công quyền truy cập vào tài khoản, công cụ hoặc kênh liên lạc của doanh nghiệp.
Khi thông tin đăng nhập xuất hiện trong một tập dữ liệu tội phạm hoặc nguồn dark web, vụ đánh cắp ban đầu có thể đã xảy ra từ nhiều ngày, nhiều tuần hoặc nhiều tháng trước. Doanh nghiệp không chỉ đối mặt với một mật khẩu bị rò rỉ. Họ còn đối mặt với sự không chắc chắn: thông tin đăng nhập đến từ đâu, ai đã nhìn thấy nó, liệu nó đã bị thử nghiệm chưa, và còn điều gì khác có thể đã bị lộ cùng với nó.
Điều gì xảy ra sau khi thông tin đăng nhập bị đánh cắp
Sau khi bị đánh cắp, thông tin đăng nhập hiếm khi nằm yên một chỗ. Chúng có thể được thêm vào một tập dữ liệu vi phạm lớn hơn, chia sẻ riêng tư, bán với số lượng lớn, hoặc được các nhóm khác nhau sử dụng cho các mục đích khác nhau. Một số kẻ tấn công muốn truy cập tài khoản trực tiếp. Những kẻ khác muốn danh sách email doanh nghiệp hợp lệ, mật khẩu, dữ liệu phiên hoặc tài khoản quản trị viên để bán lại.
Giá trị phụ thuộc vào những gì thông tin đăng nhập mở khóa:
- Một thông tin đăng nhập cơ bản của nhân viên có thể hỗ trợ lừa đảo hoặc trinh sát nội bộ
- Một mật khẩu tái sử dụng có thể mở nhiều tài khoản
- Thông tin đăng nhập quản trị viên có thể cho quyền truy cập vào cài đặt, dữ liệu khách hàng, thông tin thanh toán hoặc quản lý người dùng
- Thông tin đăng nhập tài khoản tài chính có thể hỗ trợ gian lận thanh toán
- Thông tin đăng nhập SaaS có thể làm lộ tài liệu, tin nhắn, dữ liệu dự án hoặc hồ sơ khách hàng
Dữ liệu doanh nghiệp trên dark web trở nên nguy hiểm vì có thể bị dùng để thực hiện hành động phá hoại. Một thông tin đăng nhập có thể mở khóa một tài khoản, nhưng ngay cả hồ sơ không đầy đủ cũng có thể giúp kẻ tấn công hiểu nên mạo danh ai, nhắm vào khách hàng nào, giả mạo quy trình tài chính nào, hoặc gây sức ép với nhân viên nào tiếp theo. Điều mà doanh nghiệp coi là một cơ sở dữ liệu bị rò rỉ có thể được kẻ đang chuẩn bị gian lận, lừa đảo, vishing hay chiếm đoạt tài khoản coi là một tập hợp cơ hội.
Bài viết giới thiệu Data Breach Observatory của Proton đã chỉ ra rằng nhiều vụ vi phạm không được đưa tin, điều này che giấu quy mô thực sự của vấn đề. Proton đã xây dựng Data Breach Observatory để cho thấy dữ liệu doanh nghiệp đang rò rỉ lên dark web ở đâu và giúp các tổ chức hiểu những rủi ro mới nổi từ phơi bày trong thực tế.
Dữ liệu doanh nghiệp nào có giá trị nhất trên dark web
Dữ liệu doanh nghiệp có giá trị nhất trên dark web không chỉ giới hạn ở mật khẩu hay chi tiết thanh toán. Kẻ tấn công thường tìm kiếm bất kỳ thông tin nào giúp chúng truy cập tài khoản, mạo danh nhân viên, nhắm vào khách hàng hoặc hiểu cách doanh nghiệp vận hành.
Data Breach Observatory của Proton cho thấy dữ liệu doanh nghiệp bị lộ có thể đa dạng đến mức nào, từ tên và địa chỉ email đến chi tiết liên hệ, mật khẩu và các hồ sơ khác có thể hỗ trợ các cuộc tấn công tiếp theo. Ngay cả thông tin không đầy đủ cũng có thể trở nên hữu ích khi kết hợp với dữ liệu từ các vụ rò rỉ khác.
Dữ liệu doanh nghiệp có giá trị nhất đối với kẻ tấn công thường bao gồm:
- Thông tin đăng nhập: Địa chỉ email, mật khẩu, cookie phiên và mã thông báo xác thực có thể cho kẻ tấn công đường dẫn trực tiếp vào tài khoản doanh nghiệp. Rủi ro này cao hơn khi nhân viên tái sử dụng mật khẩu trên nhiều công cụ hoặc khi MFA không được kích hoạt.
- Thông tin nhân viên: Tên, chức danh công việc, email công việc, số điện thoại và chi tiết tổ chức có thể giúp kẻ tấn công xác định ai để nhắm đến và cách làm cho một thư trông có vẻ hợp pháp. Dữ liệu này có thể hỗ trợ các nỗ lực lừa đảo, mạo danh và xâm phạm email doanh nghiệp.
- Dữ liệu khách hàng: Tên, chi tiết liên hệ, địa chỉ, thông tin tài khoản và lịch sử mua hàng có thể bị dùng cho gian lận, đánh cắp danh tính, lừa đảo hoặc tấn công kỹ thuật xã hội. Ngay cả khi dữ liệu này không bao gồm mật khẩu, nó vẫn có thể giúp kẻ tấn công làm cho các chiêu lừa trở nên cá nhân hóa và thuyết phục hơn.
- Thông tin tài chính và thanh toán: Hóa đơn, chi tiết ngân hàng, hồ sơ thanh toán, tài liệu thuế và dữ liệu thanh toán có thể hỗ trợ gian lận hóa đơn, chiêu lừa chuyển hướng thanh toán hoặc nỗ lực mạo danh nhà cung cấp và đối tác.
- Tài liệu nội bộ doanh nghiệp: Hợp đồng, danh sách nhà cung cấp, tệp dự án, tài liệu chiến lược và hồ sơ vận hành có thể không cho quyền truy cập tài khoản ngay lập tức, nhưng chúng có thể tiết lộ cách doanh nghiệp hoạt động, doanh nghiệp phụ thuộc vào ai và nơi kẻ tấn công có thể tìm thấy điểm yếu.
Mật khẩu tái sử dụng, thông tin đăng nhập bị rò rỉ và các tổ hợp dễ đoán là những cách dễ nhất để vào một tài khoản doanh nghiệp, không cần khai thác lỗ hổng, chỉ cần một danh sách và sự kiên nhẫn. Nhưng dữ liệu bị lộ khác vẫn giúp kẻ tấn công xây dựng các cuộc tấn công có mục tiêu hơn. Khi thông tin doanh nghiệp xuất hiện trên dark web, rủi ro không chỉ là một tài khoản có thể bị xâm phạm. Cùng một dữ liệu có thể được tái sử dụng, kết hợp và khai thác rất lâu sau vụ vi phạm ban đầu.
Phải làm gì nếu bạn phát hiện thông tin đăng nhập doanh nghiệp của mình trên dark web
Dù không có ước tính chính xác về thiệt hại do hoạt động trên dark web gây ra cụ thể, nó vẫn đóng một vai trò trong nền kinh tế tội phạm mạng lớn hơn nhiều. Một bài đánh giá học thuật, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(cửa sổ mới), ước tính tổng thiệt hại tội phạm mạng toàn cầu vào khoảng 500 tỷ USD mỗi năm, với phạm vi có thể từ 100 tỷ USD đến 1 nghìn tỷ USD. Các diễn đàn và chợ dark web góp phần vào hệ sinh thái này bằng cách khiến thông tin đăng nhập bị đánh cắp, dữ liệu cá nhân và thông tin doanh nghiệp dễ dàng được mua bán, kết hợp và tái sử dụng hơn.
Nếu phát hiện thông tin đăng nhập doanh nghiệp trên dark web, ưu tiên đầu tiên của bạn phải là giảm khả năng kẻ tấn công vẫn có thể sử dụng chúng. Một thông tin đăng nhập bị lộ nhiều tháng trước vẫn có thể còn hiệu lực nếu mật khẩu chưa được thay đổi, xác thực đa yếu tố (MFA) không được bật, hoặc cùng một mật khẩu đã được tái sử dụng trên các công cụ khác.
1. Xác định những tài khoản, nhân viên và hệ thống nào có thể bị ảnh hưởng
Đặt lại các mật khẩu bị lộ, thu hồi các phiên đang hoạt động và kiểm tra xem cùng hoặc mật khẩu tương tự có được dùng ở nơi khác không. Nếu tài khoản kết nối với email, lưu trữ tệp, hệ thống tài chính, dữ liệu khách hàng hoặc bảng quản trị, hãy coi đó là rủi ro cao hơn và xem xét hoạt động gần đây để tìm các lần đăng nhập đáng ngờ, quy tắc chuyển tiếp, thay đổi quyền hoặc tải xuống bất thường.
Nếu thông tin đăng nhập bị lộ liên quan đến dữ liệu cá nhân, hãy đánh giá xem sự cố có cần được báo cáo cho cơ quan giám sát có liên quan, ICO(cửa sổ mới) tại Vương quốc Anh, cơ quan bảo vệ dữ liệu quốc gia ở mỗi quốc gia thành viên EU hay không. Theo cả GDPR của Vương quốc Anh và EU, không phải mọi vụ vi phạm dữ liệu cá nhân đều phải báo cáo, nhưng các tổ chức phải thông báo khi vụ vi phạm có khả năng gây rủi ro cho quyền và tự do của con người. Hướng dẫn báo cáo vi phạm(cửa sổ mới) của ICO có thể giúp doanh nghiệp đánh giá sự cố và hiểu quy trình báo cáo.
2. Bắt buộc MFA ở mọi nơi có thể
Hãy tập trung vào các công cụ chứa dữ liệu doanh nghiệp nhạy cảm như email, tài khoản quản trị viên và nền tảng đám mây. Nếu MFA đã được bật, hãy xem lại phương thức xác thực và các tùy chọn khôi phục để đảm bảo kẻ tấn công không thể vượt qua nó thông qua mã sao lưu bị xâm phạm, tài khoản email khôi phục yếu hoặc tấn công kỹ thuật xã hội.
3. Thông báo cho người dùng nội bộ bị ảnh hưởng
Tiếp theo, bạn cần thông báo cho các thành viên trong nhóm đã bị ảnh hưởng và đưa ra hướng dẫn rõ ràng về những gì cần thay đổi và những gì cần chú ý. Khi thông tin đăng nhập xuất hiện trên dark web, kẻ tấn công có thể dùng chúng để nhồi thông tin đăng nhập, lừa đảo, mạo danh hoặc cố gắng di chuyển từ một tài khoản bị xâm phạm sang các hệ thống doanh nghiệp khác.
4. Xem lại các kiểm soát truy cập của bạn
Xóa các tài khoản không dùng, cập nhật quyền, kiểm tra thông tin đăng nhập được chia sẻ và đảm bảo nhân viên dùng mật khẩu duy nhất cho mỗi dịch vụ doanh nghiệp. Trình quản lý mật khẩu có thể giúp các nhóm tạo mật khẩu mạnh hơn, lưu trữ chúng an toàn, chia sẻ quyền truy cập mà không để lộ chính mật khẩu, và cho quản trị viên khả năng nhìn rõ hơn về hành vi mật khẩu rủi ro.
5. Tiếp tục giám sát để phát hiện thêm rủi ro phơi bày
Cuối cùng, hãy tiếp tục giám sát để phát hiện rủi ro phơi bày trong tương lai. Dữ liệu trên dark web có thể tái xuất hiện, được đóng gói lại hoặc kết hợp với các vụ rò rỉ khác rất lâu sau vụ vi phạm ban đầu. Phát hiện sớm thông tin đăng nhập bị lộ cho doanh nghiệp cơ hội tốt hơn để đặt lại quyền truy cập trước khi kẻ tấn công biến dữ liệu bị rò rỉ thành chiếm đoạt tài khoản, gian lận hoặc một sự cố bảo mật rộng hơn. Một trình quản lý mật khẩu doanh nghiệp như Proton Pass for Business giúp việc đó dễ dàng hơn bằng cách xác định các tài khoản dễ bị tổn thương và gửi cảnh báo vi phạm dữ liệu ở một nơi, để rủi ro phơi bày hiện ra mà không cần ai phải đi tìm.
Pass Monitor giúp phát hiện rủi ro lộ thông tin đăng nhập như thế nào
Rủi ro phơi bày trên dark web thường bị trễ và phân mảnh. Một địa chỉ email bị rò rỉ có thể xuất hiện trong tập dữ liệu này, một mật khẩu trong tập khác, và thông tin cá nhân liên quan ở một nơi khác nữa. Giám sát giúp phát hiện những tín hiệu đó sớm hơn, trước khi thông tin đăng nhập bị lộ bị âm thầm tái sử dụng trong chiếm đoạt tài khoản, lừa đảo hoặc gian lận.
Với một trình quản lý mật khẩu doanh nghiệp như Proton Pass for Business, các nhóm có thể lưu thông tin đăng nhập trong kho mật khẩu được mã hóa, tạo mật khẩu duy nhất, tự động điền khi đăng nhập, chia sẻ quyền truy cập an toàn, quản lý mã khóa và sử dụng xác thực hai yếu tố tích hợp. Các tính năng quản trị như chính sách, báo cáo, nhật ký, quản lý nhóm, cấp phát SCIM và tích hợp SSO giúp kiểm soát quyền truy cập khi doanh nghiệp phát triển.
Công cụ giám sát dark web là một tính năng trong Proton Pass for Business giúp bạn xác định các tài khoản doanh nghiệp có nguy cơ bị xâm phạm và nhận cảnh báo vi phạm dữ liệu ở cùng một nơi. Tính năng này bao gồm giám sát dark web, kiểm tra tình trạng mật khẩu và cảnh báo 2FA không hoạt động.
Pass Monitor có thể cảnh báo người dùng khi thông tin cá nhân bị xâm phạm trong một vụ rò rỉ dữ liệu, đồng thời xác định những mật khẩu yếu hoặc bị dùng lại. Tình trạng mật khẩu ước tính thời gian cần để bẻ khóa một mật khẩu, giúp nhóm của bạn thấy rõ sự khác biệt giữa một mật khẩu bị phá chỉ trong vài giây và một mật khẩu phải mất đến hàng năm.
Tính năng này cũng đánh dấu những tài khoản có 2FA không hoạt động, một lớp bảo vệ bổ sung quan trọng và thường là sự khác biệt giữa việc một mật khẩu bị rò rỉ chỉ gây chút bất tiện và việc nó trở thành một vụ vi phạm. Thay vì chờ đến khi biết về một vụ vi phạm dữ liệu thì đã quá muộn, hãy trang bị cho doanh nghiệp của bạn những công cụ cần thiết để tự bảo vệ.
Giám sát thông tin đăng nhập doanh nghiệp của bạn trên dark web bằng trình quản lý mật khẩu doanh nghiệp.
