През 2023 г. кражбата на удостоверения все още е основен трън в очите на ИТ екипите. Сърцевината на проблема е стойността на данните за киберпрестъпниците и развитието на техниките, които те използват, за да се сдобият с тях. Докладът на Verizon за разследванията на нарушения на сигурността на данните (DBIR) за 2023 г. разкрива, че в 83% от нарушенията участват външни участници, като почти всички атаки са финансово мотивирани. От тези нарушения, извършени от външни участници, 49 % са свързани с използването на откраднати идентификационни данни.

Ще проучим защо кражбата на пълномощия все още е толкова привлекателен (и успешен) начин за атака и ще разгледаме как екипите по ИТ сигурност могат да се борят с нея през втората половина на 2023 г. и след това.

Потребителите все по-  често са слабото звено

Отличителните черти на много успешни кибератаки са решителността, изобретателността и търпението, които проявяват участниците в заплахите. Макар че потребителят може да забележи някои атаки чрез обучението по сигурност и информираност, необходима е само една добре подготвена атака, за да го хване неподготвен. Понякога е достатъчно потребителят да бърза или да е стресиран. Участниците в заплахите изработват фалшиви страници за влизане, фалшиви фактури (като например при атаки за компрометиране на бизнес електронна поща) и пренасочване на обмен на имейли, за да подмамят крайния потребител да предаде идентификационни данни или средства.

В DBIR на Verizon се отбелязва, че 74% от нарушенията включват човешкия фактор – чрез човешка грешка, злоупотреба с права, социално инженерство или откраднати пълномощия. Една интересна точка от данните е, че 50% от всички атаки със социален инженеринг през 2022 г. са използвали техника, наречена „претекст“ – измислен сценарий, който подлъгва потребителя да предаде своите идентификационни данни или да извърши друго полезно за нападателя действие. Това показва, че нападателите знаят, че потребителите често са слабото звено, и са решени да използват социално инженерство, за да се сдобият с пълномощни. Това често е по-лесен път към организацията, отколкото хакването на технически елемент от ИТ системата.

Проникване в системата чрез откраднати идентификационни данни

Големите организации с големи бюджети за сигурност не са имунизирани срещу кибератаки – дори тези, които работят в сферата на киберсигурността. Мениджърът за пароли Norton Lifelock предлага скорошен пример за това докъде ще стигнат нападателите, за да се сдобият с пароли. Както е отбелязано от главния прокурор на щата Мейн, в началото на 2023 г. Norton е уведомил близо 6500 клиенти, че данните им може да са били компрометирани. Чрез атака с груба сила, използваща откраднати идентификационни данни, нападателите в крайна сметка са открили работещи пароли и бързо са продължили да влизат в клиентски акаунти, като потенциално са получили достъп до съхранени клиентски тайни.

Въпреки че ИТ отдела на Norton е предупредил за голям брой неуспешни влизания и е предприел бързи действия, клиентите на Norton Lifelock Password Manager все пак са били компрометирани. Това подчертава заплахата, която представляват откраднатите идентификационни данни при атаките. Независимо от силата на сигурността на компанията, парола, открадната от друга по-слабо защитена организация, трудно може да бъде предотвратена от повторно използване.

Както се вижда от доклада на Verizon, почти половината (49%) от миналогодишните нарушения са резултат от откраднати пълномощия. И така, откъде нападателите купуват тези нарушени идентификационни данни? И как можете да разберете дали и вашите потребители имат компрометирани пароли там?

Намиране на откраднати тайни на черните пазари

Подобно на старите черни пазари, онлайн черните пазари, на които се продават откраднати удостоверения, са все по-често срещани. Огромни масиви от данни, състоящи се от стотици хиляди откраднати пълномощни, се предлагат за продажба, а цената им е много ниска в сравнение с възможната печалба при успешна атака с цел получаване на откуп или BEC. Тези списъци са особено ценни за нетехническите нападатели, които нямат умения сами да хакнат ИТ системите.

Неотдавнашното сваляне на Genesis Market показа как се развиват тези пазари. Предлагайки за продажба „цифрови  отпечатъци“, вместо просто компрометирани потребителско име и парола, постоянно актуализираните самоличности бяха достъпни срещу абонамент. Повече от просто откраднат набор от идентификационни данни, тези  отпечатъци се свързваха с близко разположен VPN достъп, който позволяваше на нападателя много по-голям достъп, отколкото могат да предложат само откраднатите идентификациони данни.

Сенчестият подземен характер на тези пазари ги прави трудни за откриване и премахване. Един от тях може да бъде изкоренен, а само няколко дни по-късно да се появи друг. При положение че средната цена на атака за компрометиране на бизнес електронна поща само през 2023 г. ще нарасне до 50 000 долара, купуването на откраднати пълномощия е още по-привлекателно за заплахите.

Защитете бизнеса си от откраднати идентификационни данни

Тъй като цели 49% от нарушенията включват откраднати идентификационни данни и развиващи се черни цифрови пазари, като например Genesis, инструментите, предназначени за откриване на компрометирани пароли, са жизненоважни за преуморените ИТ отдели. Използването на решение за защитени пароли, придружено със скенер на тъмната мрежа за следене на изтекли пароли  помага на потребителите да създават по-силни пароли в Active Directory с динамична, информативна обратна връзка с клиентите и блокира използването на над 3 милиарда уникални компрометирани пароли.