Media coraz częściej donoszą o naruszeniach danych w dużych koncernach i agencjach rządowych, a w naszych skrzynkach pojawiają się wiadomości zatytułowane: „Zmień hasło”, „Dbamy o Twoje bezpieczeństwo” lub „Powiadomienie o naruszeniu danych”. W środku wiadomości najczęściej znajdziemy przeprosiny, po których następuje obietnica, że firma „poważnie podchodzi do kwestii bezpieczeństwa”. Dodatkowo załączana jest lista wszystkich typów danych osobowych, które firma utraciła.
W przypadku większości wycieków danych kradzież danych to często dopiero początek przestępstwa. Jeśli przestępcy nie mogą wykorzystać lub sprzedać danych w krótkim czasie po kradzieży, stają się one dość szybko bezwartościowe. Dlatego ważne jest, aby zrozumieć, co dzieje się z danymi po naruszeniu.
Od momentu, kiedy haker po raz pierwszy uzyska dane uwierzytelniające, do momentu, gdy są one następnie rozpowszechniane wśród innych podmiotów (sprzedane lub upubliczniane), skradzione dane uwierzytelniające najczęściej przechodzą przez kilka oddzielnych faz nadużycia. Z wewnętrznych analiz firmy Barracuda wynika, że połowa wszystkich organizacji potrzebuje od czterech do sześciu miesięcy na wykrycie naruszenia danych uwierzytelniających. W większości przypadków dzieje się to dopiero po tym, jak zewnętrzna firma lub osoba informuje dany podmiot o wykryciu utraconych danych w „darknecie”.
Cel: monetyzacja danych
W pierwszych dniach i tygodniach, następujących bezpośrednio po wykradzeniu danych uwierzytelniających, przestępcy odpowiedzialni za kradzież danych mają tendencję do wykorzystywania skradzionych informacji w bardzo dyskretny (tak aby nie zostać wykrytym), ale zarazem wysoce celowy sposób. Swoje działania koncentrują najczęściej na wykorzystaniu danych uwierzytelniających do uzyskania stałego dostępu do sieci i prób dalszego przejęcia kluczowych kont, przeprowadzenia rekonesansu oraz zebrania wszelkich dodatkowych informacji pozwalających np. uwiarygodnić przyszły, celowany na osobę decyzyjną w organizacji atak phishingowy (wykorzystując socjotechnikę). Są to pierwsze próby „monetyzacji” danych, ale zarabiają na nich bardzo ostrożnie, mając na uwadze konkretne cele. To właśnie w tym momencie długotrwałe szkody dla firmy są największe.
Kolejny etap to moment, kiedy skradzione dane uwierzytelniające są udostępniane innym członkom społeczności. W miarę jak dane stają się szerzej dostępne w darknecie, gwałtownie zaczyna rosnąć liczba ataków polegających na masowych próbach uwierzytelniania się wykradzionymi danymi na wybranych portalach i serwisach internetowych (tzw. credential stuffing). Ponieważ zwykle prowadzi to do wykrycia kradzieży danych uwierzytelniających, taka zwiększona aktywność trwa dość krótko – tylko około miesiąca.
