От дампа до фишинг-кита: как устроена перепродажа утечек данных
Когда компания подтверждает утечку, заголовки сосредоточены на том, сколько записей похищено. Более важный вопрос — что происходит дальше: украденные данные почти никогда не попадают напрямую со взломанного сервера к тому преступнику, который в итоге их использует. Они проходят через цепочку перепродажи со своими специалистами: брокеры, забирающие первые копии; агрегаторы, объединяющие дампы; обогатители, добавляющие ценность сырым строкам; перепродавцы, переупаковывающие тот же материал под новыми именами; и наконец операторы фишинговых китов и инструментов автоматического входа, забирающие готовый продукт.
Первая продажа
Свежеукраденная база данных дороже всего в первые дни. На киберпреступных форумах продавец может провести закрытую продажу одному или нескольким покупателям, платящим за эксклюзивность, либо открыть публичную тему и продавать копии по одной. Площадка значит меньше, чем думают новички. Хронология Flashpoint по торговле утечками показывает закономерность: Raid Forums пал после ареста основателя в январе 2022 года, его место занял Breach Forums, администратора которого арестовали в марте 2023-го, а вереница преемников — включая Exposed, PwnedForums и перезапуск при поддержке ShinyHunters — делила тот же промысел, успев в процессе слить базу из 478 870 записей пользователей Raid Forums. Отключения нарушают дистрибуцию, но не запасы. Сами данные переживают каждый крах и мигрируют на следующую платформу, поэтому заявление о захвате редко означает, что материал исчез. Обычно к моменту выключения света он скопирован уже много раз.Агрегация, затем обогащение
Сырые дампы неудобны: несогласованные форматы, дубликаты, хэши паролей разной стойкости. Агрегаторы нормализуют материал в пары «email — пароль», а SpyCloud отмечает, что комбо-листы обычно объединяют данные из нескольких корпоративных утечек. Обогащение — вот где появляется наценка. Перепродавец может проверить пары на живых входах, чтобы понять, какие ещё работают, сопоставить аккаунты одного человека между сервисами по адресам, дополнить записи телефонными номерами или почтовыми адресами из посторонних утечек и скрестить их с логами инфостилеров, содержащими куки и токены сессий. Каждый шаг превращает сырую строку в нечто, с чем покупатель может сразу работать. Ценообразование отражает эту обработку. Анализ Securelist примерно двухсот сообщений на даркнет-форумах обнаружил оптовую торговлю логами инфостилеров: один продавец предлагал два терабайта материала за 2020–2021 годы, а покупатель в том же исследовании давал пятьдесят центов за действующий аккаунт с привязанной платёжной картой, минимальный заказ — 150 строк. Несортированные данные дёшевы; за проверенные платят за каждое попадание."Преступники нередко предпринимают атаки credential stuffing спустя годы после того, как скачали свои первые комбо-листы. Они знают: пользователи часто забывают сменить пароли". - SpyCloud Labs
Переклейка ярлыков и переупаковка
Одни и те же строки можно продавать много раз. Старый дамп снова появляется в коллекции с пометкой «свежая», файлы переименовывают, режут по странам или отраслям, взламывают в открытый текст или вплетают в обновления в духе подписки. Покупатели редко видят происхождение, а ярлык означает главным образом «ново для этого продавца». Переупаковка работает, потому что базовая слабость сохраняется: SpyCloud измерил долю повторного использования паролей в 70 процентов среди пользователей, затронутых утечками 2021 года, и 64 процента среди сотрудников Fortune 1000, так что пары из многолетних инцидентов продолжают открывать актуальные аккаунты.Кривая падения цен
Украденные данные ведут себя как скоропортящийся товар. Цены стартуют высоко, пока утечка эксклюзивна, и падают по мере распространения копий и сокращения рабочей доли данных: жертвы меняют пароли, сервисы принуждают к ротации, платёжные карты блокируются. Securelist обнаружил, что большинство предложений по доступу к корпорациям оценены дешевле 5 000 долларов, доступ к крупным компаниям стоит обычно 2 000–4 000, а потребительские учётные данные оптом переходят из рук в руки по центам за строку. Коммерческую жизнь старым данным продлевают объём плюс повторное использование. Даже малая доля рабочих пар в очень большом списке годами кормит автоматизированные инструменты, поэтому в цепочке ничего не выбрасывается.Где цепь можно разорвать
У каждого этапа конвейера есть ответная сторона у защитников, причём самые дешёвые вмешательства находятся в точке использования, а не в источнике:- Проверять и сбрасывать: сверять входы с базами скомпрометированных паролей и принудительно сбрасывать пароль, как только он появляется в известных дамках, чтобы старые комбо-листы умирали у двери, а не ждали захвата, который лишь меняет площадку.
- Вторые факторы и пасскеи: они притупляют конечные продукты конвейера — независимо от того, был ли на входе свежий лог или дамп десятилетней давности, потому что одного повторно использованного пароля перестаёт хватать.
- Датировать данные, а не объявление: значительная часть шума вокруг утечек — это переупакованные многолетние инциденты, поэтому относитесь к свежим ярлыкам с подозрением и проверяйте даты, прежде чем реагировать на слив.
- Следить за брокерским слоем: мониторинг доменов вашей организации и адресов сотрудников в агрегированных базах заранее предупреждает, что материал уже гуляет вниз по цепочке.