Dökümden phishing kitine: veri ihlali verilerinin yeniden satış hattının iç yüzü
Bir şirket veri ihlalini doğruladığında manşetler, kaç kaydın çalındığına takılır. Asıl önemli soru ise sonradan ne olduğudur; çünkü çalınan veriler neredeyse hiçbir zaman doğrudan, onları kaybeden sunucudan en sonunda kullanan suçluya yol almaz. Veriler, kendi uzmanları olan bir yeniden satış hattında aşağı akar: ilk kopyaları alan brokerlar, dökümleri birleştiren toplayıcılar, ham satırlara değer katan zenginleştiriciler, aynı malzemeyi yeni adlar altında yeniden paketleyen satıcılar ve en sonunda bitmiş ürünü tüketen phishing kiti ile otomatik giriş araçları işletmecileri.
İlk satış
Yeni çalınmış bir veritabanı ilk günlerinde en değerlidir. Siber suç forumlarında bir satıcı, ayrıcalık için ödeme yapan tek ya da birkaç alıcıya kapalı satış yapabilir ya da herkese açık bir başlık açıp kopyaları tek tek satabilir. Mekânın önemi, yenilerin varsaydığından azdır. Flashpoint'in ihlal verisi ticaretine dair zaman çizelgesi şu örüntüyü gösteriyor: Raid Forums, kurucusunun Ocak 2022'de tutuklanmasının ardından çöktü; yerini Breach Forums aldı, onun yöneticisi Mart 2023'te tutuklandı ve Exposed, PwnedForums ile ShinyHunters destekli bir yeniden açılış dahil bir dizi halef aynı ticaret için çekişti, bu arada bir noktada 478.870 Raid Forums kullanıcı kaydını içeren bir veritabanı sızdırıldı. Kapatma operasyonları dağıtımı kesintiye uğratır, envanteri değil. Verinin kendisi her çöküşten sağ çıkar ve bir sonraki platforma taşınır; bu yüzden bir el koyma duyurusu nadiren malzemenin yok olduğu anlamına gelir. Işıklar sönmeden önce veri çoktan defalarca kopyalanmış olur.Önce toplama, sonra zenginleştirme
Ham dökümler kullanışsızdır: tutarsız biçimler, kopyalar, farklı güçte şifre karmaları. Toplayıcılar malzemeyi e-posta-şifre çiftlerine dönüştürür; SpyCloud ise combolistlerin genellikle birden çok kurumsal veri ihlalinden gelen verileri bir araya getirdiğini belirtiyor. Zenginleştirme, kâr marjının eklendiği yerdir. Bir satıcı çiftleri canlı girişlerde test ederek hangilerinin hâlâ çalıştığını görebilir; adresleri eşleştirerek bir kişinin hesaplarını hizmetler arasında eşleyebilir; ilgisiz sızıntılardan telefon numaraları veya fiziksel adresler ekleyebilir; kayıtları çerez ve oturum jetonu taşıyan infostealer loglarıyla eşleştirebilir. Her adım, ham bir satırı alıcının doğrudan harekete geçebileceği bir şeye dönüştürür. Fiyatlandırma bu işlemeyi yansıtır. Securelist'in karanlık web forumlarındaki yaklaşık iki yüz gönderiyi inceleyen analizi, stealer loglarının toplu halde ticaretinin yapıldığını ortaya koyuyor: bir satıcı 2020-2021 dönemine ait iki terabaytlık malzeme önerirken aynı çalışmada bir alıcı, ödeme kartı eklenmiş geçerli hesap başına elli sent önerdi ve minimum sipariş 150 satır oldu. Sınıflandırılmamış veri ucuzdur; doğrulanmış veri isabet başına fiyatlandırılır."Suçlular, ilk combolistlerini indirdikleri yıllar sonra bile credential stuffing saldırıları denemeyi sürdürüyor. Kullanıcıların sık sık şifrelerini sıfırlamayı unuttuklarını biliyorlar." - SpyCloud Labs
Yeniden etiketleme ve yeniden paketleme
Aynı satırlar çok daha fazla kez satılabilir. Eski bir döküm, taze olarak etiketlenmiş bir koleksiyonun içinde yeniden ortaya çıkar; dosyalar yeniden adlandırılır, ülkeye veya sektöre göre bölünür, düz metne kırılır ya da abonelik tarzı güncelleme akışlarına katılır. Alıcılar kaynağı nadiren görür; etiket çoğunlukla yalnızca bu satıcı için yeni demektir. Yeniden paketleme, altta yatan zayıflık sürdüğü için işe yarar: SpyCloud, 2021'de veri ihlallerine maruz kalan kullanıcılar arasında yüzde 70'lik bir şifre yeniden kullanım oranı ölçtü ve Fortune 1000 çalışanlarında bu oran yüzde 64 oldu; böylece yıllar önceki olaylardan gelen çiftler güncel hesapları açmaya devam ediyor.Fiyat düşüş eğrisi
Çalınan veri, bozulabilir bir emtia gibi davranır. Fiyatlar, sızıntı özel olduğu dönemde yüksek başlar ve kopyalar yayıldıkça, verinin hâlâ çalışan payı azaldıkça düşer: kurbanlar şifrelerini sıfırlar, siteler zorunlu rotasyon uygular, ödeme kartları iptal edilir. Securelist, kurumsal erişim tekliflerinin çoğunun 5.000 doların altında fiyatlandığını, büyük şirketlere erişimin tipik olarak 2.000 ile 4.000 dolar arasında olduğunu, toplu tüketici kimlik bilgilerinin ise satır başına sentlerle el değiştirdiğini buldu. Eski veriyi ticari olarak canlı tutan şey hacim artı yeniden kullanımdır. Çok büyük bir listede düşük bir geçerlilik oranı bile otomatik araçları yıllarca besler; bu yüzden hatta hiçbir şey çöpe atılmaz.Zincirin kırılabileceği yer
Hattın her aşamasının savunucu tarafında bir karşılığı vardır ve en ucuz müdahaleler kaynakta değil, kullanım noktasında yer alır:- Doğrula ve sıfırla: Girişleri veri ihlali veritabanlarıyla karşılaştırın ve bir şifre bilinen dökümlerde göründüğünde sıfırlama dayatın; böylece eski combolistler, yalnızca mekânı değiştiren bir kapatmayı beklemek yerine kapıda ölür.
- İkinci faktörler ve passkey'ler: Girdi taze bir log da on yıllık bir döküm de olsa hattın son ürünlerini körelten bunlardır; çünkü tek başına yeniden kullanılan bir şifre yeterli olmayı bırakır.
- Verinin tarihine bakın, ilanın değil: İhlal sohbetlerinin çoğu yıllar önceki olayları yeniden paketler; taze etiketlere şüpheyle yaklaşın ve bir sızıntıya tepki vermeden önce tarihleri doğrulayın.
- Broker katmanını izleyin: Kuruluşunuzun alan adlarını ve çalışan adreslerini toplu veritabanlarında izlemek, malzemenin aşağı kesimde dolaştığına dair erken uyarı sağlar.