Van dump tot phishingkit: binnenin de doorverkooppijplijn van gelekte gegevens
Als een bedrijf een datalek bevestigt, draaien de koppen vooral om het aantal gestolen records. De belangrijkste vraag is wat er daarna gebeurt, want gestolen data reizen bijna nooit rechtstreeks van de server die ze verloor naar de crimineel die ze uiteindelijk gebruikt. Ze dalen af langs een doorverkooppijplijn met eigen specialisten: makelaars die de eerste exemplaren nemen, aggregatoren die dumps samenvoegen, verrijkers die ruwe rijen van waarde voorzien, wederverkopers die hetzelfde materiaal onder nieuwe namen herverpakken en ten slotte de operators van phishingkits en geautomatiseerde logintools die het eindproduct afnemen.
De eerste verkoop
Een pas gestolen database is de eerste dagen het meest waard. Op cybercrimefora kan een verkoper een privéverkoop doen aan één of enkele kopers die voor exclusiviteit betalen, of een openbare thread openen en kopieën stuk voor stuk verkopen. Het podium doet er minder toe dan nieuwelingen denken. Een tijdlijn van Flashpoint over de handel in lekdata laat het patroon zien: Raid Forums viel na de arrestatie van de oprichter in januari 2022, Breach Forums kwam ervoor in de plaats, diens beheerder werd in maart 2023 gearresteerd, en een stoet opvolgers — waaronder Exposed, PwnedForums en een door ShinyHunters gesteunde herstart — vocht om dezelfde handel en lekte onderweg een database met 478.870 gebruikersrecords van Raid Forums. Takedowns verstoren de distributie, niet de voorraad. De data zelf overleeft elke ineenstorting en migreert naar het volgende platform, en daarom betekent een inname-aankondiging zelden dat het materiaal weg is. Meestal is het al vele malen gekopieerd voordat de lichten uitgaan.Aggregatie, dan verrijking
Ruwe dumps zijn lastig: inconsistente formaten, duplicaten, wachtwoordhashes van uiteenlopende sterkte. Aggregatoren normaliseren het materiaal tot e-mail-wachtwoordparen, en SpyCloud merkt op dat combolists doorgaans data uit meerdere zakelijke datalekken combineren. Verrijking is waar de marge wordt toegevoegd. Een wederverkoper kan paren testen tegen live logins om te zien welke nog werken, de accounts van één persoon over diensten heen in kaart brengen door adressen te matchen, telefoonnummers of fysieke adressen uit ongerelateerde leaks toevoegen en records koppelen aan infostealer-logs met cookies en sessietokens. Elke stap maakt van een ruwe rij iets waar de koper direct mee aan de slag kan. De prijs weerspiegelt die bewerking. Securelists analyse van ongeveer tweehonderd forumposts op de dark web vond stealerlogs die in bulk werden verhandeld, met één verkoper die twee terabyte aan materiaal uit 2020-2021 aanbood, terwijl een koper in dezelfde studie vijftig cent bood per geldig account met een betaalkaart eraan, met een minimale order van 150 regels. Ongesorteerde data is goedkoop; gevalideerde data wordt per raak geprijsd."Criminelen proberen vaak jaren nadat ze hun eerste combolists hebben gedownload nog credential stuffing-aanvallen uit. Ze weten dat gebruikers vaak vergeten hun wachtwoorden te resetten." - SpyCloud Labs
Herlabelen en herverpakken
Dezelfde rijen kunnen veel vaker dan één keer worden verkocht. Een oude dump duikt op in een collectie die als vers wordt gelabeld, bestanden worden hernoemd, gesplitst per land of sector, gekraakt naar platte tekst of verwerkt in updatefeeds in abonnementsstijl. Kopers zien zelden de herkomst, en het label betekent vooral "nieuw bij deze verkoper". Herverpakken werkt omdat de onderliggende zwakte blijft bestaan: SpyCloud mat een wachtwoordhergebruik van 70 procent onder gebruikers die in 2021 in datalekken stonden, en 64 procent onder werknemers van de Fortune 1000, dus paren uit jarenoude incidenten openen nog steeds huidige accounts.De prijsvervalcurve
Gestolen data gedraagt zich als een bederfelijk goed. De prijzen starten hoog zolang een lek exclusief is en dalen naarmate kopieën zich verspreiden en de werkende fractie van de data krimpt: slachtoffers resetten wachtwoorden, sites dwingen tot wisselen, betaalkaarten worden geblokkeerd. Securelist vond de meeste aanbiedingen van zakelijke toegang geprijsd onder de 5.000 dollar, met toegang tot grote bedrijven doorgaans op 2.000 tot 4.000, terwijl bulkconsumentengegevens van eigenaar wisselen voor centen per regel. Wat oude data commercieel in leven houdt is volume plus hergebruik. Zelfs een kleine geldigheidsgraad op een heel grote lijst voedt geautomatiseerde tools jarenlang, dus niets in de pijplijn wordt ooit weggegooid.Waar de keten te breken is
Elke schakel van de pijplijn heeft een verdedigende tegenhanger, en de goedkoopste ingrepen zitten bij de plek van gebruik in plaats van bij de bron:- Valideer en reset: check logins tegen blootstellingsdatabases en forceer een reset zodra een wachtwoord in bekende dumps opduikt, zodat oude combolists bij de deur sterven in plaats van te wachten op een takedown die alleen het adres verplaatst.
- Tweede factoren en passkeys: deze dempen de eindproducten van de pijplijn, of de input nu een vers log is of een dump van tien jaar oud, want een hergebruikt wachtwoord alleen is niet langer voldoende.
- Dateer de data, niet de aanbieding: veel leak-gewauwel herverpakt jarenoude incidenten, dus behandel verse labels met wantrouwen en controleer datums voordat je op een leak reageert.
- Houd de makelaarslaag in de gaten: het monitoren van de domeinen van je organisatie en werknemersadressen in geaggregeerde databases geeft vroegtijdig signaal dat materiaal stroomafwaarts circuleert.