Dal dump al kit di phishing: dentro la filiera di rivendita dei dati violati
Quando un'azienda conferma un breach, i titoli si fissano su quanti record sono stati rubati. La domanda più importante è cosa succede dopo, perché i dati rubati quasi mai viaggiano direttamente dal server che li ha persi al criminale che alla fine li usa. Scendono lungo una filiera di rivendita con i suoi specialisti: i broker che prendono le prime copie, gli aggregatori che fondono i dump, gli arricchitori che aggiungono valore alle righe grezze, i rivenditori che reimballano lo stesso materiale sotto nuovi nomi e infine gli operatori di kit di phishing e strumenti di accesso automatizzati che consumano il prodotto finito.
La prima vendita
Un database appena rubato vale di più nei primi giorni. Su un forum di cybercrime un venditore può fare una vendita privata a uno o pochi acquirenti che pagano per l'esclusiva, oppure aprire un thread pubblico e vendere copie una alla volta. Il palcoscenico conta meno di quanto pensino i neofiti. Una cronologia di Flashpoint sul commercio di dati di breach mostra lo schema: Raid Forums è caduto dopo l'arresto del fondatore a gennaio 2022, Breach Forums è nato al suo posto, il suo amministratore è stato arrestato a marzo 2023, e una fila di successori — tra cui Exposed, PwnedForums e una rinascita sostenuta da ShinyHunters — si è contesa lo stesso traffico, finendo per leakare in corsa un database di 478.870 record utente di Raid Forums. I takedown interrompono la distribuzione, non l'inventario. I dati stessi sopravvivono a ogni crollo e migrano alla piattaforma successiva, ed è per questo che un annuncio di sequestro raramente significa che il materiale sia sparito. Di solito è stato copiato molte volte prima che le luci si spengano.Aggregazione, poi arricchimento
I dump grezzi sono ingovernabili: formati incoerenti, duplicati, hash di password di robustezza variabile. Gli aggregatori normalizzano il materiale in coppie email-password, e SpyCloud osserva che i combolist combinano tipicamente dati di più breach aziendali. L'arricchimento è dove si aggiunge il margine. Un rivenditore può testare le coppie contro login reali per vedere quali funzionano ancora, mappare gli account di una persona tra i servizi incrociando gli indirizzi, aggiungere numeri di telefono o indirizzi fisici da leak senza relazione e abbinare i record a log di infostealer che portano cookie e token di sessione. Ogni passaggio trasforma una riga grezza in qualcosa su cui l'acquirente può agire subito. Il prezzo riflette questa lavorazione. L'analisi di Securelist su circa duecento post di forum della dark web ha trovato log di stealer scambiati all'ingrosso, con un venditore che offriva due terabyte di materiale 2020-2021, mentre un acquirente nello stesso studio offriva cinquanta centesimi per account valido con carta di pagamento allegata, ordine minimo 150 righe. I dati non selezionati costano poco; i dati validati si prezzano a colpo andato a segno.«I criminali spesso tentano attacchi di credential stuffing anni dopo aver scaricato i loro primi combolist. Sanno che gli utenti spesso dimenticano di reimpostare le password.» - SpyCloud Labs
Rietichettatura e reimballo
Le stesse righe possono essere vendute molto più di una volta. Un vecchio dump riappare dentro una raccolta etichettata come fresca, i file vengono rinominati, divisi per paese o settore, crackati in chiaro o incastonati in feed di aggiornamento in stile abbonamento. Gli acquirenti raramente vedono la provenienza, e l'etichetta significa soprattutto "novità per questo venditore". Il reimballo funziona perché la debolezza di fondo persiste: SpyCloud ha misurato un tasso di riuso delle password del 70 per cento tra gli utenti esposti nei breach del 2021, e del 64 per cento tra i dipendenti delle Fortune 1000, così le coppie di incidenti vecchi di anni continuano ad aprire account attuali.La curva di svalutazione del prezzo
I dati rubati si comportano come una merce deperibile. I prezzi partono alti finché il leak è esclusivo e scendono mentre le copie si diffondono e la quota funzionante dei dati si restringe: le vittime reimpostano le password, i siti forzano il rinnovo, le carte vengono bloccate. Securelist ha trovato la maggior parte delle offerte di accesso aziendale prezzate sotto i 5.000 dollari, con l'accesso alle grandi aziende tipicamente tra 2.000 e 4.000, mentre le credenziali consumer alla rinfusa cambiano mano per centesimi a riga. Ciò che tiene in vita commercialmente i dati vecchi è il volume più il riuso. Anche un piccolo tasso di validità su una lista molto grande nutre strumenti automatizzati per anni, così niente nella filiera viene mai buttato.Dove la catena si può spezzare
Ogni stadio della filiera ha una controparte difensiva, e gli interventi più economici stanno nel punto d'uso più che alla fonte:- Validare e reimpostare: controllate i login contro i database di esposizione e forzate un reset quando una password compare in dump noti, così i combolist vecchi muoiono alla porta invece di aspettare un takedown che sposta solo la piazza.
- Secondi fattori e passkey: smussano i prodotti finali della filiera, che l'input sia un log fresco o un dump di un decennio fa, perché una password riutilizzata da sola smette di bastare.
- Datate i dati, non l'annuncio: gran parte del chatter sui breach riimballa incidenti vecchi di anni, quindi diffidate delle etichette di freschezza e verificate le date prima di reagire a un leak.
- Tenete d'occhio lo strato dei broker: monitorare i domini della propria organizzazione e gli indirizzi dei dipendenti nei database aggregati dà un preavviso del fatto che il materiale sta circolando a valle.