Od dumpa do zestawu phishingowego: w środku łańcucha odsprzedaży danych z wycieków
Kiedy firma potwierdza wyciek, nagłówki skupiają się na tym, ile rekordów wykradziono. Ważniejsze pytanie brzmi, co dzieje się dalej, bo skradzione dane prawie nigdy nie podróżują prosto z serwera, który je utracił, do przestępcy, który w końcu ich używa. Wędrują w dół łańcucha odsprzedaży z własnymi specjalistami: pośrednikami, którzy biorą pierwsze kopie, agregatorami, którzy scalają dumpy, wzbogacaczami, którzy dodają wartość surowym wierszom, odsprzedawcami, którzy przepakowują ten sam materiał pod nowymi nazwami, i wreszcie operatorami zestawów phishingowych oraz zautomatyzowanych narzędzi do logowania, którzy konsumują gotowy produkt.
Pierwsza sprzedaż
Świeżo skradziona baza jest najcenniejsza w pierwszych dniach. Na forach cyberprzestępczości sprzedający może przeprowadzić prywatną sprzedaż do jednego lub kilku kupców płacących za wyłączność albo otworzyć publiczny wątek i sprzedawać kopie pojedynczo. Miejsce znaczy mniej, niż sądzą nowicjusze. Oś czasu handlu danymi z wycieków według Flashpoint pokazuje wzorzec: Raid Forums upadł po aresztowaniu założyciela w styczniu 2022, Breach Forums powstał na jego miejscu, jego administrator został aresztowany w marcu 2023, a kolejka następców — w tym Exposed, PwnedForums i wznowienie wspierane przez ShinyHunters — walczyła o ten sam interes, po drodze ujawniając bazę 478 870 rekordów użytkowników Raid Forums. Dezaktywacje przerywają dystrybucję, nie zapasy. Same dane przeżywają każdy upadek i migrują na kolejną platformę, dlatego komunikat o przejęciu rzadko oznacza, że materiał zniknął. Zwykle został już skopiowany wiele razy, zanim zgasną światła.Agregacja, potem wzbogacanie
Surowe dumpy są nieporęczne: niespójne formaty, duplikaty, hashe haseł o różnej sile. Agregatorzy normalizują materiał do par e-mail–hasło, a SpyCloud zauważa, że combolisty zwykle łączą dane z wielu korporacyjnych wycieków. Wzbogacanie to etap, na którym powstaje marża. Odsprzedawca może testować pary wobec żywych logowań, by zobaczyć, które jeszcze działają, mapować konta jednej osoby między usługami po adresach, dokładać numery telefonów lub adresy fizyczne z niezwiązanych wycieków i łączyć rekordy z logami infostealerów niosącymi cookies i tokeny sesyjne. Każdy krok zamienia surowy wiersz w coś, na czym kupujący może działać od razu. Cena odzwierciedla ten poziom obróbki. Analiza Securelistu około dwustu postów na forach dark web wykazała logi stealerów handlowane hurtowo; jeden sprzedający oferował dwa terabajty materiału z lat 2020–2021, a kupujący w tym samym badaniu oferował pięćdziesiąt centów za ważne konto z dołączoną kartą płatniczą, przy zamówieniu minimalnym 150 wierszy. Nieposortowane dane są tanie; zweryfikowane dane wycenia się po trafieniu.„Przestępcy często próbują ataków credential stuffing na lata po pobraniu swoich pierwszych combolistów. Wiedzą, że użytkownicy często zapominają zresetować hasła." - SpyCloud Labs
Przeetykietowanie i przepakowanie
Te same wiersze można sprzedać znacznie więcej niż raz. Stary dump pojawia się ponownie w kolekcji opisanej jako świeża, pliki są przemianowywane, dzielone po kraju lub branży, łamane do postaci jawnej albo wtapiane w kanały aktualizacji w stylu subskrypcyjnym. Kupujący rzadko widzą pochodzenie, a etykieta znaczy głównie tyle, co „nowe u tego sprzedawcy". Przepakowywanie działa, bo leżąca u podstaw słabość się utrzymuje: SpyCloud zmierzył wskaźnik ponownego użycia haseł na poziomie 70 procent wśród użytkowników ujawnionych w wyciekach w 2021 roku i 64 procent wśród pracowników Fortune 1000, więc pary z wieloletnich incydentów wciąż otwierają bieżące konta.Krzywa utraty wartości
Skradzione dane zachowują się jak towar szybko psujący się. Ceny startują wysoko, dopóki wyciek jest wyłączny, i spadają, gdy kopie się rozchodzą, a działająca część danych się kurczy: ofiary resetują hasła, serwisy wymuszają rotację, karty płatnicze są blokowane. Securelist ustalił, że większość ofert dostępu korporacyjnego wyceniano poniżej 5 000 dolarów, dostęp do dużych firm zwykle na 2 000–4 000, a hurtowe dane konsumentów zmieniają właściciela za centy za wiersz. To, co komercyjnie trzyma przy życiu stare dane, to wolumen plus ponowne użycie. Nawet mały wskaźnik ważności na bardzo dużej liście latami zasila zautomatyzowane narzędzia, więc nic w łańcuchu nigdy nie jest wyrzucane.Gdzie łańcuch można przerwać
Każdy etap łańcucha ma obrończą kontrpartię, a najtańsze interwencje leżą w punkcie użycia, nie u źródła:- Weryfikuj i resetuj: sprawdzajcie logowania wobec baz wycieków i wymuszajcie reset, gdy hasło pojawia się w znanych dumpach, by stare combolisty umierały u drzwi, zamiast czekać na dezaktywację, która tylko przenosi adres.
- Drugie czynniki i passkeys: łagodzą one produkty końcowe łańcucha, niezależnie od tego, czy inputem był świeży log, czy dump sprzed dekady, bo samo ponownie użyte hasło przestaje wystarczać.
- Datujcie dane, nie ogłoszenie: wiele omówień wycieków przepakowuje wieloletnie incydenty, więc odnoscie się z nieufnością do etykiet świeżości i weryfikujcie daty, zanim zareagujecie na wyciek.
- Obserwujcie warstwę pośredników: monitorowanie domen organizacji i adresów pracowników w zagregowanych bazach daje wczesne ostrzeżenie, że materiał krąży w dół łańcucha.