單一一個遭竊的密碼不會立刻引發混亂。它可能已儲存在外洩的資料庫中，或與數千筆其他記錄組合在一起。有時它會被交易、轉售、用來測試其他服務，或是數週後被用於一場看似與原始資料外洩無關的網路釣魚活動。
當企業發現旗下某個帳號已暴露時，這組憑證可能早已輾轉經過好幾手。這正是 暗網上的企業憑證如此難以管理的原因。資料外洩可能發生在某個地方，資料卻出現在另一個地方，而隨後的攻擊可能鎖定完全不同的系統。
當這些憑證出現在暗網上時，資料外洩其實早已在某處發生。在那裡浮現的是下一波風險：誰能找到這些資料、誰能重複使用它，以及企業能多快做出回應。暗網上的企業憑證對網路罪犯而言是珍貴資源，因此您的企業必須做好準備，以因應資料外洩波及自身的情況。
企業憑證如何遭竊
企業可能需要數天、數週，甚至數個月後才會察覺憑證已經外洩。這些憑證可能是透過偽造的登入頁面被竊取、從遭感染的裝置中被取出、在供應商資料外洩中曝光，或是從舊的個人帳號重複使用而來，最後往往流入暗網市集，在那裡被竊資料會被整批收購。
網路釣魚
網路釣魚電子郵件仍是竊取憑證的常見途徑。員工可能點進一個看似熟悉 SaaS 平台的頁面、開啟要求登入的文件請求，或是依照一則看似來自信任服務的訊息行事。憑證一旦被輸入，攻擊者就能立即嘗試使用，或先儲存起來日後再用。一次成功的網路釣魚攻擊，就可能讓遭入侵帳號可存取的所有系統一併暴露。
勒索軟體
其他外洩則較不易察覺。在 勒索軟體事件期間，攻擊者可能在加密系統之前先竊取檔案，包括帳號清單、組態檔案、密碼和存取記錄。供應鏈資料外洩可能經由供應商、承包商、軟體供應商或受管理的服務合作夥伴導致憑證暴露，即使企業自身系統並非最初的入侵點。
重複使用的密碼
當員工在個人與工作帳號之間使用相同的密碼時，公司外部的資料外洩仍可能演變成企業問題。攻擊者不需要先入侵工作系統。他們可以把早已外洩的憑證拿到數十個服務上測試，看看哪些還有效，這種攻擊手法稱為憑證填充 (credential stuffing)。
資訊竊取惡意軟體
員工的裝置也可能成為暴露來源。資訊竊取程式這類惡意軟體專門從裝置收集已儲存的密碼、瀏覽器工作階段、Cookie、自動填入資料和其他敏感資訊。如果該裝置曾用於工作，即使只是偶爾，個人遭入侵也可能讓攻擊者得以存取企業帳號、工具或通訊頻道。
當憑證出現在犯罪資料集或暗網來源中時，最初的竊取行為可能已是數天、數週甚至數個月前的事。企業面對的不只是外洩的密碼，還有一連串的不確定性：這組憑證從何而來、有誰看過、是否已被測試，以及還有什麼資料可能同時遭到暴露。
憑證遭竊後會發生什麼事
憑證一旦遭竊，很少會停留在同一個地方。它們可能被加入更大的資料外洩資料集、私下共享、整批出售，或由不同群組用於不同目的。有些攻擊者想要的是直接的帳號存取權，有些則想要可轉售的有效企業電子郵件清單、密碼、工作階段資料或管理員帳號。
價值取決於這組憑證能解開什麼：
- 基本的員工登入資訊可能有助於網路釣魚或內部偵察
- 重複使用的密碼可以開啟多個帳號
- 管理員憑證可能讓人得以存取設定、客戶資料、帳務資訊或使用者管理
- 金融帳號的登入資訊可助長付款詐騙
- SaaS 憑證可能導致文件、訊息、專案資料或客戶記錄暴露
暗網上的企業資料之所以危險，是因為它們可被用來採取破壞性行動。一組憑證或許能解開某個帳號，但即使是零散的記錄，也能幫助攻擊者了解該冒充誰、該鎖定哪些客戶、該模仿哪些財務流程，或接下來該向哪些員工施壓。對企業而言看似外洩的資料庫，在準備進行詐騙、網路釣魚、語音釣魚 (vishing)或帳號盜用的人眼中，卻可能是一連串的機會。
在我們介紹 Proton Data Breach Observatory 的文章中，我們指出許多資料外洩並未登上新聞，因而掩蓋了問題的真正規模。Proton 建立了 Data Breach Observatory，用來顯示企業資料正從何處外洩到暗網，並協助組織了解實際暴露情況所帶來的新興風險。
哪些企業資料在暗網上最有價值
暗網上最有價值的企業資料並不限於密碼或付款詳細資料。攻擊者往往會尋找任何有助於他們存取帳號、冒充員工、鎖定客戶，或了解企業運作方式的資訊。
Proton 的 Data Breach Observatory 顯示，暴露的企業資料種類繁多，從姓名、電子郵件地址到聯絡詳細資訊、密碼，以及其他可用於後續攻擊的記錄。即使是零散資訊，一旦與其他外洩資料結合，也可能變得有用。
對攻擊者最有價值的企業資料通常包括：
- 登入憑證：電子郵件地址、密碼、工作階段 Cookie 和驗證權杖，可以讓攻擊者直接進入企業帳號。當員工在不同工具間重複使用密碼，或未啟用 MFA 時，這種風險會更高。
- 員工資訊：姓名、職稱、工作用電子郵件、電話號碼和組織相關詳細資料，能幫助攻擊者判斷該鎖定誰，以及如何讓訊息看起來更可信。這些資料可用於網路釣魚、冒充身分和商務電子郵件入侵等手法。
- 客戶資料：姓名、聯絡詳細資訊、地址、帳號資訊和購買紀錄，可被用於詐騙、身分盜用、網路釣魚或社交工程。即使這些資料不含密碼，也能幫助攻擊者讓詐騙手法更個人化、更具說服力。
- 財務與付款資訊：發票、銀行詳細資料、帳務記錄、稅務文件和付款資料，可助長發票詐騙、付款轉向詐騙，或冒充供應商與合作夥伴。
- 內部企業文件：合約、供應商清單、專案檔案、策略文件和營運記錄，或許無法立即取得帳號存取權，但能揭露企業的運作方式、依賴哪些對象，以及攻擊者可能在哪裡找到弱點。
重複使用的密碼、外洩的憑證，以及可預測的組合，是進入企業帳號最輕鬆的途徑，不需要任何漏洞攻擊程式，只要一份清單和一些耐心。但其他暴露的資料仍有助於攻擊者策劃更精準的攻擊。企業資訊一旦出現在暗網上，風險就不只是某個帳號可能遭入侵而已。同樣的資料可以在原始外洩事件過後很久，仍被重複使用、組合和利用。
如果在暗網上發現您的企業憑證，該怎麼辦
雖然目前沒有針對暗網活動所造成的損失的精確估計，但它在規模更大的網路犯罪經濟中確實扮演一角。一篇學術回顧論文 Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(新視窗) 估計，全球網路犯罪造成的總損失約為每年 5000 億美元，可能的範圍介於 1000 億至 1 兆美元之間。暗網論壇與市集透過讓遭竊的憑證、個人資料和企業資訊更容易交易、組合和重複使用，助長了這個生態系統。
如果在暗網上發現企業憑證，您的首要任務就是降低攻擊者仍能使用它們的機會。數個月前暴露的憑證，若密碼尚未變更、缺少多重要素驗證 (MFA)，或同一組密碼在其他工具中重複使用，可能依然有效。
1. 找出哪些帳號、員工和系統可能受到影響
重設已暴露的密碼、撤銷使用中的工作階段，並檢查相同或類似的密碼是否在其他地方使用過。如果該帳號連線到電子郵件、檔案儲存空間、財務系統、客戶資料或管理員面板，就應視為較高風險，並檢視近期活動是否有可疑的登入、轉寄規則、權限變更或不尋常的下載。
如果暴露的憑證涉及個人資料，請評估這起事件是否需要向相關監管機關通報，例如英國的 ICO(新視窗)，以及每個歐盟會員國的國家資料保護機關。根據英國與歐盟的 GDPR，並非每一起個人資料外洩事件都需要通報，但當外洩可能對民眾的權利與自由構成風險時，組織就必須通報。ICO 的通報資料外洩(新視窗) 指南可協助企業評估事件並了解通報流程。
2. 盡可能強制啟用 MFA
請務必聚焦於含有敏感企業資料的工具，例如電子郵件、管理員帳號和雲端平台。如果 MFA 已經啟用，請檢視驗證方式和復原選項，確保攻擊者無法透過遭入侵的備份代碼、防護薄弱的復原用電子郵件帳號或社交工程來加以繞過。
3. 通知受影響的內部使用者
接著，您需要通知受影響的團隊成員，並 明確指示該變更什麼、該留意什麼。憑證一旦出現在暗網上，攻擊者可能會用於憑證填充、網路釣魚、冒充身分，或試圖從一個遭入侵的帳號進入其他企業系統。
4. 檢視您的存取控制
移除未使用的帳號、更新權限、檢查共享的憑證，並確保員工為每項企業服務使用獨一無二的密碼。密碼管理程式可協助團隊產生更強的密碼、安全地儲存密碼、在不暴露密碼本身的情況下共享存取權，並讓管理員更清楚掌握有風險的密碼使用行為。
5. 持續監控是否還有其他暴露情況
最後，請持續監控未來可能的暴露情況。暗網資料可能在原始外洩事件過後許久又再度浮現、被重新包裝，或與其他外洩資料結合。及早發現暴露的憑證，能讓企業更有機會在攻擊者把外洩資料變成帳號盜用、詐騙或更大規模的安全事件之前，先行重設存取權。像 Proton Pass for Business 這樣的企業密碼管理程式，能藉由找出有風險的帳號並集中提供資料外洩警示，讓這件事變得更簡單，暴露情況自然浮現，無需任何人主動尋找。
Pass Monitor 如何協助偵測憑證暴露
暗網上的暴露情況往往有延遲，而且零散破碎。外洩的電子郵件地址可能出現在某個資料集，密碼出現在另一個，相關的個人資訊則出現在別處。監控有助於更早發現這些跡象，以免暴露的憑證在帳號盜用、網路釣魚或詐騙中被悄悄重複使用。
透過像 Proton Pass for Business 這樣的企業密碼管理程式，團隊可以把憑證儲存在加密的密碼保管庫中、產生獨一無二的密碼、自動填入登入資訊、安全地共享存取權、管理通行密鑰，並使用內建的雙重身分驗證。政策、報告、日誌、群組管理、SCIM 佈建和 SSO 整合等管理員功能，可協助企業在成長過程中持續掌控存取權。
我們的暗網監控工具是 Proton Pass for Business 中的一項功能，可協助您找出有風險的企業帳號，並在同一處接收資料外洩警示。其中包含暗網監控、密碼堅固性檢查，以及未啟用雙重驗證的警示。
Pass Monitor 可在個人資訊於資料外洩中遭入侵時警示使用者，並找出重複使用或強度不足的密碼。密碼堅固性會估算破解密碼所需的時間，讓團隊一眼看出密碼是幾秒內就會被破解，還是得花上數年。
它也會標示未啟用雙重驗證的帳號；這是重要的額外安全防護層，也往往是外洩密碼究竟只是帶來不便，還是演變成資料外洩的關鍵。與其等到為時已晚才發現資料外洩，不如讓您的企業擁有保護自身所需的工具。
使用企業密碼管理程式，在暗網上監控您的企業憑證。
