Від зливу до фішингового набору: як влаштований перепродаж даних із витоків
Коли компанія підтверджує витік даних, заголовки зациклюються на тому, скільки записів викрадено. Важливіше запитання — що відбувається далі, адже украдені дані майже ніколи не рухаються напряму від сервера, що їх втратив, до зловмисника, який зрештою їх використовує. Вони проходять крізь перепродажний ланцюг із власними спеціалістами: брокери, що забирають перші копії; агрегатори, що об'єднують дампи; збагачувачі, що додають цінності сирим рядкам; перепродавці, які перепаковують той самий матеріал під новими назвами; і зрештою оператори фішингових наборів та інструментів автоматизованого входу, які споживають готовий продукт.
Перший продаж
Щойно викрадена база даних найдорожча у перші дні. На кіберзлочинних форумах продавець може провести приватний продаж одному чи кільком покупцям, які платять за ексклюзивність, або відкрити публічну гілку й продавати копії по одній. Місце має менше значення, ніж здається новачкам. Хронологія торгівлі даними витоків від Flashpoint показує цей шаблон: Raid Forums упав після арешту засновника в січні 2022 року, на його місці піднявся Breach Forums, адміністратора якого заарештували в березні 2023-го, а черга наступників, включно з Exposed, PwnedForums і перезапуском за підтримки ShinyHunters, боролася за той самий промисел, часом вливаючи в процесі базу з 478 870 записів користувачів Raid Forums. Блокування зачіпають дистрибуцію, а не запаси. Самі дані переживають кожен крах і мігрують на наступну платформу, тому оголошення про вилучення рідко означає, що матеріал зник. Зазвичай його було багато разів скопійовано ще до того, як гасне світло.Агрегація, а потім збагачення
Сирі дампи незручні: неузгоджені формати, дублікати, хеші паролів різної стійкості. Агрегатори нормалізують матеріал у пари «email — пароль», а SpyCloud зауважує, що комбо-лісти зазвичай поєднують дані з кількох корпоративних витоків. Збагачення — ось де з'являється націнка. Перепродавець може перевірити пари на живих входах, щоб побачити, які ще працюють; зіставити акаунти однієї людини між сервісами за адресами; додати до записів номери телефонів або фізичні адреси з чужих витоків; і поєднати записи з логами інфостилерів, що містять cookie та токени сесій. Кожен крок перетворює сирий рядок на те, із чим покупець може діяти негайно. Ціноутворення відображає це опрацювання. Аналіз Securelist приблизно двохсот дописів на даркнет-форумах виявив, що логи стілерів торгують оптом: один продавець пропонував два терабайти матеріалу 2020–2021 років, а покупець у тому самому дослідженні пропонував п'ятдесят центів за дійсний акаунт із прикріпленою платіжною карткою, за мінімального замовлення від 150 рядків. Несортовані дані дешеві; перевірені дані цінують за влучання."Злочинці часто намагаються проводити атаки credential stuffing через роки після того, як було завантажено їхні перші комбо-лісти. Вони знають, що користувачі часто забувають скидати паролі." - SpyCloud Labs
Перемарковування та перепакування
Ті самі рядки можна продати набагато більше ніж один раз. Старий злив знову спливає в колекції з позначкою «свіжий»; файли перейменовують, ділять за країною чи галуззю, зламують у відкритий текст або вплітають у підпискові стрічки оновлень. Покупці рідко бачать походження, а позначка здебільшого означає «нове для цього продавця». Перепакування працює, бо слабкість у його основі зберігається: SpyCloud виміряв рівень повторного використання паролів у 70 відсотків серед користувачів, зачеплених витоками 2021 року, і 64 відсотки серед працівників Fortune 1000, тож пари з багаторічних інцидентів продовжують відкривати чинні акаунти.Крива спаду цін
Украдені дані поводяться як швидкопсувний товар. Ціни стартують високими, поки витік ексклюзивний, і падають, коли копії поширюються, а робоча частка даних скорочується: жертви скидають паролі, сайти примушують до ротації, платіжні картки блокують. Securelist виявив, що більшість пропозицій корпоративного доступу цінують нижче 5 000 доларів, доступ до великих компаній зазвичай коштує 2 000–4 000, а оптові споживчі облікові дані змінюють власників за центи за рядок. Комерційне життя старих даних тримають обсяг плюс повторне використання. Навіть невелика частка чинності, розкладена на дуже великий список, роками живить автоматизовані інструменти, тож у ланцюзі ніщо ніколи не викидається.Де ланцюг можна розірвати
У кожної стадії ланцюга є відповідник на боці захисників, а найдешевші втручання розташовані в точці використання, а не в джерела:- Перевіряйте й скидайте: звіряйте входи з базами витоків і примушуйте до скидання, щойно пароль з'являється у відомих дампах, тож старі комбо-лісти гинуть на порозі замість того, щоб чекати на блокування, яке лише змінює майданчик.
- Другі фактори та passkey: вони притлумлюють кінцеві продукти ланцюга, чи то на вході свіжий лог, чи дамп десятирічної давнини, бо перевикористаний пароль сам собою перестає бути достатнім.
- Датуйте дані, а не оголошення: багато галасу навколо витоків перепаковує багаторічні інциденти, тож ставтеся до свіжих позначок з підозрою та перевіряйте дати, перш ніж реагувати на витік.
- Стежте за брокерним шаром: моніторинг доменів вашої організації та адрес працівників в агрегованих базах дає раннє попередження, що матеріал циркулює нижче за течією.