Hoe worden gestolen inloggegevens op het dark web verkocht?

De levenscyclus van gestolen inloggegevens

• 1. Infectie: een infostealer infecteert een apparaat en maakt actieve session cookies, opgeslagen wachtwoorden en browserdata buit.

• 2. Upload: de gestolen data wordt automatisch naar de infrastructuur van de operator gestuurd en verpakt in een log.

• 3. Aanbod: de log wordt aangeboden op een criminele marktplaats of in een Telegram-kanaal, geïndexeerd op domein en metadata.

• 4. Aankoop: een koper zoekt naar toegang tot een doelwitorganisatie, vindt een passende log en koopt die.

• 5. Misbruik: de koper importeert de gestolen session cookie in zijn browser en krijgt direct toegang tot de systemen van het slachtoffer, zonder enige authenticatie.

De prijs hangt af van de ingeschatte waarde van de toegang. Een log met alleen persoonlijke socialmedia-accounts gaat voor $1-5 van de hand. Een log met zakelijke VPN-toegang, sessies op cloudplatforms of inloggegevens voor financiële systemen kan $50-500 of meer opbrengen. Bulktoegang tot grote organisaties levert topprijzen op.

De rol van initial access brokers

Sommige kopers zijn gespecialiseerd in het opkopen van infostealer-logs en gebruiken de gestolen sessies om blijvende toegang tot bedrijfsnetwerken te krijgen. Die toegang verkopen ze vervolgens door aan ransomwaregroepen of andere aanvallers. Deze partijen, initial access brokers genoemd, vormen een flinke escalatie in de dreigingsketen. Een gestolen sessie van een paar dollar op een marktplaats kan uitgroeien tot een ransomware-incident van miljoenen. Passguard bewaakt het dark web, Telegram en Discord op gestolen sessies die aan jouw organisatie gekoppeld zijn en waarschuwt je team voordat het zover komt.