一个被盗的密码并不会立刻引发混乱。它可能已存储在某个已泄露的数据库中，或与成千上万条其他记录打包在一起。有时它会被交易、转售、用于测试其他服务，或在几周后被用于一场看似与最初泄露事件毫无关联的网络钓鱼活动。
等到企业意识到某个帐户已经暴露时，凭证可能早已几经转手。这正是 暗网上的企业凭证如此难以管理的原因。泄露可能发生在一处，数据却出现在另一处，而随后的攻击又可能瞄准完全不同的系统。
当这些凭证出现在暗网上时，泄露早已在别处发生。在那里浮现出来的是下一重风险：谁能找到这些数据、谁能再次利用它，以及企业能多快做出响应。暗网上的企业凭证对网络犯罪分子来说是宝贵的资源，因此您的企业需要做好准备，以应对数据泄露带来的影响。
企业凭证是如何被盗的
企业可能需要几天、几周甚至几个月才会发现凭证已经泄露。它们可能通过伪造的登录页面被窃取，从受感染的设备中被提取，在供应商泄露事件中暴露，或来自被重复使用的旧个人帐户，最终往往流入暗网市场，在那里被盗数据被批量买卖。
网络钓鱼
网络钓鱼邮件仍是窃取凭证的常见途径。员工可能访问一个看似熟悉的 SaaS 平台页面，打开一份要求其登入的文档请求，或点开一条看似来自可信服务的消息。凭证一旦被输入，攻击者就可以立即尝试使用，或将其留存备用。一次成功的网络钓鱼攻击，就能暴露已泄露帐户所能访问的每一个系统。
勒索软件
其他泄露则不那么显眼。在勒索软件事件中，攻击者可能在加密系统之前窃取文件，包括帐户列表、配置文件、密码和访问记录。供应链泄露可能经由供应商、承包商、软件提供商或托管服务合作伙伴暴露凭证，即使企业自身的系统并非最初的泄露点。
重复使用的密码
当员工在个人帐户和工作帐户中使用同一个密码时，公司外部的泄露也可能演变成企业难题。攻击者无需先侵入工作系统。他们可以把已经泄露的凭证拿到几十项服务上逐一测试，看看哪些仍然有效——这种攻击被称为撞库（凭证填充）。
信息窃取型恶意软件
员工设备也可能成为泄露源。信息窃取程序这类恶意软件专门从设备中收集已保存的密码、浏览器会话、Cookie、自动填充数据以及其他敏感信息。如果该设备被用于工作，哪怕只是偶尔使用，个人设备被入侵也可能让攻击者访问企业帐户、工具或沟通渠道。
当凭证出现在犯罪数据集或暗网来源中时，最初的窃取行为可能已经过去了数天、数周甚至数月。企业要应对的不只是一个已泄露的密码，还有种种不确定性：这个凭证来自哪里、谁看过它、它是否被测试过，以及还有哪些信息可能随之一起暴露。
凭证被盗之后会发生什么
凭证一旦被盗，很少会停留在同一个地方。它们可能被并入更大的泄露数据集，被私下分享，被批量出售，或被不同群组用于不同目的。有些攻击者想要直接访问帐户，另一些则想要可转售的有效企业电子邮件、密码、会话数据或管理员帐户清单。
其价值取决于该凭证能解锁什么：
- 普通的员工登录信息可用于网络钓鱼或内部侦察
- 一个被重复使用的密码可以打开多个帐户
- 管理员凭证可能带来对设置、客户数据、账单信息或用户管理功能的访问权限
- 金融帐户的登录信息可为支付欺诈提供支持
- SaaS 凭证可能导致文档、消息、项目数据或客户记录暴露
暗网上的企业数据之所以危险，是因为它可能被用来实施破坏性行为。一个凭证或许只能解锁一个帐户，但即便是零散的记录，也能帮助攻击者弄清该冒充谁、该锁定哪些客户、该模仿哪些财务流程，以及接下来该向哪些员工施压。在企业眼中只是一个泄露的数据库，在准备实施欺诈、网络钓鱼、语音钓鱼或帐户接管的人眼中，却可能是一连串机会。
在介绍 Proton 数据泄露观察站的文章中，我们指出许多泄露事件并未见诸新闻，从而掩盖了问题的真实规模。Proton 打造这一观察站，是为了展示企业数据正如何流向暗网，并帮助各类组织了解现实暴露所带来的新兴风险。
暗网上哪些企业数据最有价值
暗网上最有价值的企业数据并不局限于密码或支付详细信息。攻击者常常在寻找任何有助于他们访问帐户、冒充员工、锁定客户或了解企业运作方式的信息。
Proton 的数据泄露观察站显示，暴露的企业数据种类十分多样，从姓名、电子邮件地址到联系人详情、密码，以及其他可支持进一步攻击的记录。即便只是部分信息，一旦与其他泄露数据相结合，也可能变得有用。
对攻击者最有价值的企业数据通常包括：
- 登录凭证：电子邮件地址、密码、会话 Cookie 和身份验证令牌可以为攻击者提供一条直接进入企业帐户的路径。当员工在不同工具中重复使用密码，或未启用 MFA 时，这一风险会更高。
- 员工信息：姓名、职位、工作电子邮件、电话号码和组织详细信息可以帮助攻击者确定该锁定谁，以及如何让消息显得可信。这类数据可为网络钓鱼、身份冒充和商务电子邮件入侵提供支持。
- 客户数据：姓名、联系人详情、地址、帐户信息和购买记录可能被用于欺诈、身份盗用、网络钓鱼或社会工程。即使这些数据不包含密码，也能帮助攻击者让骗局更具针对性、更容易让人信服。
- 财务和支付信息：发票、银行详细信息、账单记录、税务文件和支付数据可为发票欺诈、付款重定向骗局，或冒充供应商和合作伙伴的行为提供支持。
- 企业内部文件：合同、供应商名单、项目文件、战略文档和运营记录虽然未必能立即带来帐户访问权限，但会暴露企业的运作方式、依赖对象，以及攻击者可能在何处发现薄弱环节。
重复使用的密码、泄露的凭证以及可预测的组合，是进入企业帐户最轻松的方式——无需漏洞利用，只需一份清单和一点耐心。但其他暴露的数据仍能帮助攻击者发起更有针对性的攻击。企业信息一旦出现在暗网上，风险就不只是某一个帐户可能已泄露。同一批数据在最初泄露发生很久之后，仍可能被重复利用、组合并加以利用。
发现企业凭证出现在暗网上时，该怎么办
虽然目前没有针对暗网活动所造成损失的精确估算，但它在规模大得多的网络犯罪经济中扮演着一定角色。一篇学术综述《全球网络犯罪损失：前沿 AI 风险评估基线》估计，全球网络犯罪造成的损失总额约为每年 5000 亿美元，可能的区间在1000 亿美元至 1 万亿美元之间。暗网论坛和市场让被盗凭证、个人数据和企业信息更容易被交易、组合和重复利用，从而助长了这一生态系统。
如果在暗网上发现了企业凭证，您的首要任务必须是降低攻击者仍能利用它们的可能性。几个月前暴露的凭证，如果密码没有更改、缺少多因素身份验证（MFA），或者同一个密码在其他工具中被重复使用，它可能依然有效。
1. 确定哪些帐户、员工和系统可能受到影响
重置已暴露的密码，撤销活跃会话，并检查相同或相似的密码是否在其他地方被使用过。如果该帐户连接电子邮件、文件存储空间、财务系统、客户数据或管理员面板，应将其视为较高风险，并检查近期活动，留意可疑的登录、转发规则、权限变更或异常下载。
如果暴露的凭证涉及个人数据，应评估该事件是否需要向相关监管机构报告，即英国的 ICO（新窗口），以及各欧盟成员国的国家数据保护机构。根据英国和欧盟的 GDPR，并非所有个人数据泄露都需要上报，但当泄露可能对个人权利和自由构成风险时，组织必须进行通报。ICO 的泄露上报（新窗口）指南可帮助企业评估该事件并了解上报流程。
2. 尽可能强制启用 MFA
请务必关注包含敏感企业数据的工具，例如电子邮件、管理员帐户和云平台。如果 MFA 已经启用，请检查身份验证方式和恢复选项，确保攻击者无法通过已泄露的备份代码、安全性薄弱的恢复电子邮件帐户或社会工程手段绕过它。
3. 通知受影响的内部用户
接下来，您需要告知受影响的团队成员，并明确说明需要更改什么、注意哪些迹象。凭证一旦出现在暗网上，攻击者就可能利用它们进行撞库攻击、网络钓鱼、身份冒充，或试图从一个已泄露的帐户横向进入其他企业系统。
4. 检查您的访问控制
移除不再使用的帐户，更新权限，检查共享凭证，并确保员工为每项企业服务使用独一无二的密码。密码管理器可以帮助团队生成更强的密码、安全地存储密码、在分享访问权限的同时不暴露密码本身，并让管理员更清楚地了解存在风险的密码行为。
5. 持续监控是否还有更多信息暴露
最后，要持续监控未来可能出现的暴露。暗网数据可能在最初泄露很久之后重新浮现、被重新打包，或与其他泄露数据组合在一起。尽早发现已暴露的凭证，能让企业有更大机会在攻击者把泄露数据变成帐户接管、欺诈或更大范围的安全事件之前重置访问权限。像 Proton Pass for Business 这样的企业密码管理器可以让这一切更轻松：它能识别存在风险的帐户，并在一处集中发送数据泄露警报，让暴露情况自动浮现，无需任何人主动搜寻。
Pass Monitor 如何帮助检测凭证暴露
暗网暴露往往存在延迟，且零散破碎。一个泄露的电子邮件地址可能出现在某个数据集中，密码出现在另一个数据集中，相关的个人信息又出现在别处。监控有助于更早发现这些信号，赶在已暴露的凭证被悄然用于帐户接管、网络钓鱼或欺诈之前。
借助像 Proton Pass for Business 这样的企业密码管理器，团队可以将凭证存储在已加密的密码保险库中，生成唯一的密码、自动填充登录信息、安全地分享访问权限、管理通行密钥，并使用内置的双因素身份验证。策略、报告、日志、群组管理、SCIM 预配和 SSO 集成等管理员功能，可随着企业发展让访问始终保持可控。
我们的暗网监测工具是 Proton Pass for Business 中的一项功能，可帮助您识别存在风险的企业帐户，并集中接收数据泄露提醒。其中包括暗网监测、密码健康度检查和未启用双重验证的提醒。
当个人信息因数据泄露而外泄时，Pass Monitor 可以向用户发出提醒，并识别重复使用或强度不足的密码。密码健康度会估算破解一个密码所需的时间，让团队看清几秒即被攻破的密码与需要数年才能破解的密码之间的差距。
它还会标出未启用双重验证的帐户——这是重要的额外安全防护层，往往决定了密码泄露只是带来不便，还是会酿成一次安全事件。与其等到为时已晚才发现数据泄露，不如为您的企业提供所需的工具，主动保护自身。
借助企业密码管理器，在暗网上监测您的企业凭证。
