Ujawniono nazwy użytkowników i hasła 15 miliardów kont

Twoje dane logowania mogą zostać naruszone. Możesz paść ofiarą oszustwa związanego z wyłudzaniem informacji, usługodawca, którego używasz, może zostać naruszony, a jeśli twoje hasła nie są wystarczająco silne, cyberprzestępcy mogą mieć problemy z odgadnięciem. Ale co się stanie, gdy dane logowania wpadną w niepowołane ręce?

Naukowcy z Digital Shadows postanowili się tego dowiedzieć. Wczoraj wydali raport, w którym śledzą w sumie 15 miliardów danych uwierzytelniających wyciekłych podczas ponad 100 tysięcy naruszeń danych zarejestrowanych w ciągu ostatnich dwóch lat.

Dane logowania są sprzedawane przez cały czas

Łatwo jest założyć, że po kradzieży twojej nazwy użytkownika i hasła, pierwszą rzeczą, którą zrobiłby cyberprzestępca, było zalogowanie się na twoje konto. Najczęściej jednak oszuści próbują zarabiać na zagrożonych danych, sprzedając je innym oszustom. Jak zobaczycie, jest to dość dochodowy biznes.

Dane logowania do różnego rodzaju kont i usług są kupowane i sprzedawane na forach hakerskich i ciemnych platformach internetowych. Nic dziwnego, że niektóre z 15 miliardów par nazwa użytkownika i hasło były również oferowane na sprzedaż, a badacze Digital Shadows uważnie obserwowali aukcje, aby dowiedzieć się więcej o naturze skradzionych danych i zyskach, jakie może przynieść.

Około jedna czwarta danych uwierzytelniających oferowanych do sprzedaży odblokowuje konta w bankach lub innych instytucjach finansowych, co dowodzi, jak gdyby potrzebny był dowód, że zimna gotówka jest główną motywacją dla większości działań cyberprzestępczych.

13% oferowanych poświadczeń chroni konta w serwisach streamingowych, takich jak Netflix, co ponownie nie jest szokujące. W porównaniu z opłaceniem abonamentu użycie skradzionego hasła jest znacznie tańsze i często właściciel zhakowanego konta pozostaje mądrzejszy przez dłuższy czas.

Prawie taki sam odsetek reklamowanych haseł zapewnia kupującym dostęp do usług proxy i VPN. Mogą one być przydatne, jeśli oszuści chcą zatrzeć ślady podczas lub po cyberataku.

Hakerzy sprzedają także miliony innych haseł, które otwierają wszystko, od profili w mediach społecznościowych po konta na platformach udostępniania plików i stronach dla dorosłych.

Ile kosztuje twoje hasło?

Ceny skradzionych danych uwierzytelniających oparte są na twardej logice. Im starsze hasło, na przykład, tym bardziej prawdopodobne, że wkrótce stanie się nieważne (jeśli jeszcze go nie ma), a zatem jest tańsze. Cena zestawu skompromitowanych danych uwierzytelniających zależy również od rodzaju odblokowanego konta.

Z jednej strony hakerzy sprzedają hasła administratora sieci za dowolną kwotę od 3 do 140 tysięcy dolarów. Ceny te wyglądają astronomicznie, ale według reklam, przy sprzedanych danych uwierzytelniających, kupujący może uzyskać nieograniczony dostęp do sieci wewnętrznych niektórych dość dużych organizacji. Obrażenia i wynikające z nich zyski, które można uzyskać po takim ataku, są naprawdę ogromne. Większość zhakowanych kont ma jednak charakter osobisty i dlatego jest znacznie tańsza.

Jak można się spodziewać, hasła do bankowości internetowej wymagają wyższej ceny. Po raz kolejny zależy to od wielu różnych czynników, ale Digital Shadows oszacował, że średnio za zestaw danych logowania do banku lub instytucji finansowej trzeba zapłacić około 71 USD.

Nieco zaskakujące jest to, że zagrożone subskrypcje produktów antywirusowych zajmują drugie miejsce. Średnio są sprzedawane po około 21 USD za konto, co pokazuje, że hakerzy są gotowi zapłacić za bezpieczeństwo.

Reszta poświadczeń jest sprzedawana luzem za mniej niż 10 USD za zestaw lub jest udostępniana za darmo, a ich przystępna cena czyni je idealnymi dla hakerów próbujących przeprowadzić ataki z użyciem poświadczeń.

Raport Digital Shadows jest bardzo ponurym przypomnieniem stanu cyberbezpieczeństwa. Twoje dane logowania są zagrożone na co dzień, a twoja tożsamość jest przedmiotem handlu na podziemnych rynkach orzeszków ziemnych. Nie wygląda też na to, żeby wszystko miało się wkrótce zmienić. Najwyraźniej w ciągu zaledwie dwóch lat liczba nazw użytkowników i haseł w obiegu zarejestrowała skok o 300%, a ciągły strumień naruszeń danych i wycieków, o którym czytamy każdego dnia, nie sugeruje, że trend ten zostanie wkrótce zlikwidowany.