Vom Dump zum Phishing-Kit: die Weiterverkaufskette geleakter Daten
Wenn ein Unternehmen eine Datenpanne bestätigt, drehen sich die Schlagzeilen vor allem um die Zahl der gestohlenen Datensätze. Die entscheidendere Frage ist, was danach passiert, denn gestohlene Daten gelangen fast nie direkt vom kompromittierten Server zu dem Kriminellen, der sie schließlich einsetzt. Sie wandern durch eine Verkaufskette mit eigenen Spezialisten: Broker, die die ersten Kopien übernehmen, Aggregatoren, die Dumps zusammenführen, Anreicherer, die rohen Datensätzen Mehrwert hinzufügen, Wiederverkäufer, die dasselbe Material unter neuem Namen neu verpacken, und schließlich die Betreiber von Phishing-Kits und automatisierten Login-Tools, die das Endprodukt abnehmen.
Der erste Verkauf
Eine frisch gestohlene Datenbank ist in ihren ersten Tagen am wertvollsten. In Cybercrime-Foren kann ein Verkäufer eine private Verhandlung mit einem oder wenigen Käufern führen, die für Exklusivität zahlen, oder einen öffentlichen Thread eröffnen und Kopien einzeln verkaufen. Der Ort spielt eine geringere Rolle als Neueinsteiger annehmen. Eine Flashpoint-Chronologie des Handels mit Breach-Daten zeigt das Muster: Raid Forums fiel nach der Verhaftung seines Gründers im Januar 2022, Breach Forums entstand an seiner Stelle, dessen Administrator wurde im März 2023 festgenommen, und eine Reihe von Nachfolgern, darunter Exposed, PwnedForums und ein von ShinyHunters unterstützter Neustart, stritt um dasselbe Geschäft und legte dabei unter anderem eine Datenbank mit 478.870 Nutzerdatensätzen von Raid Forums offen. Abschaltungen stören den Vertrieb, nicht den Bestand. Die Daten selbst überleben jeden Zusammenbruch und wandern zur nächsten Plattform. Deshalb bedeutet eine Beschlagnahmungsmeldung selten, dass das Material verschwunden ist. Meist wurde es viele Male kopiert, bevor das Licht ausgeht.Aggregation, dann Anreicherung
Rohe Dumps sind unhandlich: inkonsistente Formate, Duplikate, Passwort-Hashes unterschiedlicher Qualität. Aggregatoren normalisieren das Material zu E-Mail-Passwort-Paaren, und SpyCloud weist darauf hin, dass Combo-Listen typischerweise Daten aus mehreren Unternehmenslecks kombinieren. Die Anreicherung ist der Schritt, an dem die Marge entsteht. Ein Wiederverkäufer kann Paare gegen Live-Logins testen, um zu sehen, welche noch funktionieren, die Konten einer Person über Dienste hinweg zuordnen, indem er Adressen abgleicht, Telefonnummern oder Postadressen aus fremden Lecks anhängen und Datensätze mit Infostealer-Logs koppeln, die Cookies und Sitzungstoken enthalten. Jeder Schritt macht aus einer rohen Zeile etwas, mit dem ein Käufer direkt arbeiten kann. Die Preisbildung spiegelt diese Verarbeitung wider. Securelists Analyse von rund zweihundert Forenbeiträgen aus dem Darknet fand Infostealer-Logs im Großhandel, ein Verkäufer bot zwei Terabyte Material aus 2020 bis 2021 an, während ein Käufer in derselben Studie fünfzig Cent pro gültigem Konto zahlte, sofern eine Zahlungskarte hinterlegt war, Mindestabnahme 150 Zeilen. Unsortierte Daten sind billig; validierte Daten werden pro Treffer bezahlt.„Kriminelle versuchen Credential-Stuffing-Angriffe oft Jahre, nachdem ihre ursprünglichen Combo-Listen heruntergeladen wurden. Sie wissen, dass Nutzer häufig vergessen, ihre Passwörter zurückzusetzen.“ - SpyCloud Labs
Umetikettieren und Neuverpacken
Dieselben Zeilen lassen sich weit häufiger als einmal verkaufen. Ein alter Dump taucht in einer Sammlung wieder auf, die als frisch etikettiert ist, Dateien werden umbenannt, nach Land oder Branche aufgeteilt, ins Klartext geknackt oder in Abo-artige Update-Feeds eingearbeitet. Käufer sehen die Herkunft selten, und das Etikett heißt vor allem: neu für diesen Verkäufer. Neuverpackung funktioniert, weil die zugrunde liegende Schwäche bleibt: SpyCloud maß eine Passwort-Wiederverwendungsrate von 70 Prozent unter Nutzern, die 2021 von Lecks betroffen waren, und 64 Prozent bei Beschäftigten der Fortune 1000, sodass Paare aus Jahre alten Vorfällen weiterhin aktuelle Konten öffnen.Die Kurve des Preisverfalls
Gestohlene Daten verhalten sich wie ein verderbliches Gut. Die Preise starten hoch, solange ein Leak exklusiv ist, und fallen, sobald sich Kopien verbreiten und der funktionierende Anteil der Daten schrumpft: Opfer setzen Passwörter zurück, Seiten erzwingen Wechsel, Zahlungskarten werden gesperrt. Securelist fand die meisten Angebote für Unternehmenszugänge unter 5.000 Dollar preis, Zugänge zu großen Firmen typischerweise bei 2.000 bis 4.000, während Verbraucherdaten in Mengen für Cent pro Zeile den Besitzer wechseln. Was alte Daten kommerziell am Leben hält, ist Volumen plus Wiederverwendung. Selbst eine kleine Trefferquote reicht bei einer sehr großen Liste, um automatisierte Tools jahrelang zu füttern, darum wird in der Pipeline nichts weggeworfen.Wo sich die Kette brechen lässt
Jede Stufe der Pipeline hat ein Gegenstück auf der Verteidigerseite, und die günstigsten Eingriffe liegen am Nutzungspunkt statt an der Quelle:- Prüfen und zurücksetzen: Logins gegen Datenbanken bekannter Expositionen abgleichen und ein Zurücksetzen erzwingen, sobald ein Passwort in bekannten Dumps auftaucht, sodass alte Combo-Listen an der Tür sterben, statt auf eine Beschlagnahmung zu warten, die nur den Ort wechselt.
- Zweitfaktoren und Passkeys: Diese stumpfen die Endprodukte der Pipeline ab, egal ob die Grundlage ein frisches Log oder ein zehn Jahre alter Dump war, denn ein wiederverwendetes Passwort allein reicht nicht mehr.
- Daten datieren, nicht das Angebot: Viel Leak-Aufregung ist umetikettierter alter Vorfälle, deshalb frische Etiketten skeptisch behandeln und Daten prüfen, bevor man auf ein Leak reagiert.
- Die Broker-Ebene beobachten: Die Überwachung eigener Domänen und Mitarbeiteradressen in aggregierten Datenbanken warnt früh, dass Material flussabwärts zirkuliert.