Do dump ao kit de phishing: por dentro do pipeline de revenda de dados vazados
Quando uma empresa confirma um vazamento, as manchetes se fixam em quantos registros foram levados. A pergunta mais consequente é o que acontece depois, porque dados roubados quase nunca viajam direto do servidor que os perdeu até o criminoso que finalmente os usa. Eles descem por um pipeline de revenda com seus próprios especialistas: corretores que ficam com as primeiras cópias, agregadores que mesclam dumps, enriquecedores que agregam valor a linhas brutas, revendedores que reempacotam o mesmo material sob novos nomes e, por fim, os operadores de kits de phishing e ferramentas automatizadas de login que consomem o produto acabado.
A primeira venda
Um banco de dados recém-roubado vale mais nos primeiros dias. Em fóruns de cybercrime, um vendedor pode fazer uma venda privada para um ou poucos compradores que pagam por exclusividade, ou abrir um tópico público e vender cópias uma a uma. O palco importa menos do que os novatos imaginam. Uma linha do tempo da Flashpoint sobre o comércio de dados de vazamentos mostra o padrão: o Raid Forums caiu após a prisão do fundador em janeiro de 2022, o Breach Forums surgiu em seu lugar, seu administrador foi preso em março de 2023, e uma fila de sucessores — incluindo Exposed, PwnedForums e um relançamento apoiado pelo ShinyHunters — disputou o mesmo negócio, chegando a vazar no processo um banco de dados com 478.870 registros de usuários do Raid Forums. Takedowns interrompem a distribuição, não o estoque. Os dados sobrevivem a cada colapso e migram para a próxima plataforma, e é por isso que um anúncio de apreensão raramente significa que o material acabou. Normalmente ele já foi copiado muitas vezes antes de as luzes se apagarem.Agregação, depois enriquecimento
Dumps brutos são difíceis de manejar: formatos inconsistentes, duplicatas, hashes de senha de resistência variada. Agregadores normalizam o material em pares de e-mail e senha, e a SpyCloud observa que combolists normalmente combinam dados de vários vazamentos corporativos. O enriquecimento é onde a margem entra. Um revendedor pode testar pares contra logins reais para ver quais ainda funcionam, mapear as contas de uma pessoa entre serviços casando endereços, anexar números de telefone ou endereços físicos de vazamentos sem relação e cruzar registros com logs de infostealer que trazem cookies e tokens de sessão. Cada passo transforma uma linha bruta em algo com que o comprador pode agir de imediato. O preço reflete esse processamento. A análise da Securelist de cerca de duzentas publicações em fóruns da dark web constatou logs de stealer negociados a granel, com um vendedor oferecendo dois terabytes de material de 2020 a 2021, enquanto um comprador no mesmo estudo oferecia cinquenta centavos por conta válida com cartão de pagamento anexado, em pedidos mínimos de 150 linhas. Dado sem tratamento é barato; dado validado tem preço por acerto."Criminosos frequentemente tentam ataques de credential stuffing anos depois de baixar seus primeiros combolists. Eles sabem que os usuários costumam esquecer de redefinir as senhas." - SpyCloud Labs
Rerrotulagem e reempacotamento
As mesmas linhas podem ser vendidas muito mais de uma vez. Um dump antigo reaparece dentro de uma coleção rotulada como fresca, arquivos são renomeados, divididos por país ou setor, quebrados em texto puro ou incorporados a feeds de atualização em estilo assinatura. Os compradores raramente veem a procedência, e o rótulo significa, na prática, "novo para este vendedor". O reempacotamento funciona porque a fraqueza de base persiste: a SpyCloud mediu uma taxa de reutilização de senhas de 70 por cento entre usuários expostos em vazamentos durante 2021, e de 64 por cento entre funcionários das Fortune 1000, então pares de incidentes de anos atrás continuam abrindo contas atuais.A curva de desvalorização do preço
Dados roubados se comportam como uma commodity perecível. Os preços começam altos enquanto o vazamento é exclusivo e caem à medida que as cópias se espalham e a parcela funcional dos dados encolhe: vítimas redefinem senhas, sites forçam a troca, cartões são cancelados. A Securelist constatou que a maioria das ofertas de acesso corporativo ficava abaixo de 5.000 dólares, com acesso a grandes empresas tipicamente entre 2.000 e 4.000, enquanto credenciais de consumidores a granel trocam de mãos por centavos por linha. O que mantém dados antigos comercialmente vivos é volume somado a reutilização. Até uma pequena taxa de validade em uma lista muito grande alimenta ferramentas automatizadas por anos, então nada no pipeline é jogado fora.Onde a cadeia pode ser rompida
Cada estágio do pipeline tem uma contraparte defensiva, e as intervenções mais baratas ficam no ponto de uso, não na origem:- Valide e redefina: confira logins contra bancos de dados de exposição e force uma redefinição quando uma senha aparecer em dumps conhecidos, para que combolists antigos morram na porta em vez de esperar um takedown que só muda o endereço.
- Segundos fatores e passkeys: eles amortecem os produtos finais do pipeline, seja a entrada um log fresco ou um dump de dez anos, porque uma senha reutilizada sozinha deixa de bastar.
- Date os dados, não o anúncio: muita da conversa sobre vazamentos reempacota incidentes de anos atrás, então trate rótulos de frescor com desconfiança e verifique as datas antes de reagir a um leak.
- Vigie a camada dos corretores: monitorar os domínios da sua organização e os endereços de funcionários em bases agregadas dá aviso antecipado de que o material está circulando a jusante.