Что происходит после утечки данных и как используют украденные учетные данные

Каждый год в результате утечек в открытом доступе оказываются миллионы адресов электронной почты, логинов и паролей.

Многие представляют дальнейший сценарий примерно одинаково: злоумышленник получает базу и начинает вручную входить в чужие аккаунты. На практике украденные данные чаще становятся частью гораздо более масштабного автоматизированного процесса.

После утечки базы копируют, объединяют с другими наборами данных, продают и распространяют. Затем содержащиеся в них учетные данные могут автоматически проверяться на множестве популярных онлайн-сервисов.

Для обычного пользователя главная опасность часто связана не с самим фактом утечки, а с повторным использованием одного и того же пароля.

Разберемся, что происходит с украденными учетными данными после Data Breach, как работают автоматизированные атаки и почему один старый пароль может поставить под угрозу сразу несколько аккаунтов.

Что происходит после утечки данных

Украденная база редко остается только у тех, кто получил к ней первоначальный доступ.

Обычно данные проходят довольно предсказуемый путь.

Вместо того чтобы вручную проверять каждый аккаунт, злоумышленники могут загружать полученные комбинации логинов и паролей в автоматизированные инструменты. Они позволяют за короткое время проверить огромное количество учетных данных на разных сервисах.

Целями могут становиться почтовые сервисы, социальные сети, стриминговые платформы, облачные хранилища, интернет-магазины и другие популярные площадки.

Почему старые утечки все еще представляют опасность

Новость об утечке быстро исчезает из информационного поля. Сама база — нет.

Украденные данные могут годами продолжать распространяться в интернете. Одну и ту же базу могут:

• публиковать на закрытых форумах;
• добавлять в крупные коллекции утечек;
• неоднократно перепродавать;
• использовать в новых автоматизированных атаках.

Для злоумышленника возраст базы не так важен. Гораздо интереснее другой вопрос: работают ли эти данные до сих пор?

Если пароль, попавший в утечку несколько лет назад, все еще используется вами на других сайтах, его могут продолжать проверять снова и снова.

Почему повторное использование паролей особенно опасно

Сам по себе украденный пароль от старого и давно забытого сайта может показаться незначительной проблемой. Ситуация меняется, если этот же пароль используется где-то еще.

Представим простой пример.

Несколько лет назад вы зарегистрировались на небольшом форуме. Для регистрации использовали тот же email и пароль, что позже указали в почтовом сервисе, стриминговой платформе или игровом аккаунте.

Даже если сам форум давно закрылся, полученную пару email и password можно автоматически проверить на десятках других сервисов.

В результате утечка данных из практически забытого аккаунта может создать угрозу для гораздо более важных учетных записей.

Что такое Credential Stuffing

Одна из самых распространенных атак с использованием украденных данных называется Credential Stuffing.

В этом случае злоумышленнику не нужно подбирать пароль или пытаться взломать шифрование. У него уже есть готовые комбинации email и password, полученные из предыдущих утечек.

Специальные инструменты автоматически пытаются войти с этими данными на разных онлайн-сервисах.

Если человек использовал одинаковый пароль в нескольких местах, одна из таких попыток может оказаться успешной.

На этом и строится Credential Stuffing. Атака использует не слабость алгоритмов шифрования, а привычку людей повторно использовать одни и те же учетные данные.

Поэтому уникальный пароль для каждого аккаунта остается одним из самых эффективных способов защиты.

Credential Stuffing и Password Spraying: в чем разница

Названия этих атак иногда путают, хотя работают они по-разному.

При Credential Stuffing используются уже известные пары логин-пароль из утечек. Система автоматически проверяет их на других сайтах.

При Password Spraying подход другой: злоумышленники берут один или несколько популярных паролей и пробуют их для большого количества аккаунтов.

Разница существенная. Credential Stuffing особенно опасен для тех, кто повторно использует один пароль на разных сервисах. Password Spraying в первую очередь рассчитан на учетные записи со слабыми и распространенными паролями.

Что происходит после взлома аккаунта

Успешный вход в чужую учетную запись часто становится только началом атаки.

Следующим этапом может стать Account Takeover (ATO) — захват аккаунта.

Получив доступ, злоумышленник может попытаться:

• изменить пароль;
• заменить резервный email;
• отключить многофакторную аутентификацию, если это возможно;
• получить доступ к личной информации;
• отправлять спам или фишинговые сообщения;
• использовать аккаунт для мошенничества.

Особенно ценными считаются почтовые аккаунты. Электронная почта часто используется для восстановления доступа к другим сервисам, поэтому захват одного email-аккаунта способен запустить цепочку новых взломов.

Какие аккаунты чаще становятся целью

Наибольший интерес обычно представляют учетные записи, которые содержат ценную информацию, деньги или открывают доступ к другим сервисам.

Среди распространенных целей:

• электронная почта;
• социальные сети;
• облачные хранилища;
• аккаунты интернет-магазинов;
• игровые сервисы;
• финансовые платформы.

Чем больше сервисов связано с одной учетной записью, тем ценнее доступ к ней.

Как защититься после утечки данных

Предотвратить утечки на стороне сторонних компаний невозможно. Зато можно значительно снизить последствия, если ваши данные все-таки окажутся скомпрометированы.

Основные меры достаточно просты:

• используйте уникальный пароль для каждого аккаунта;
• храните пароли в надежном менеджере паролей;
• включайте многофакторную аутентификацию (MFA);
• используйте Passkeys там, где они поддерживаются;
• меняйте пароль сразу после сообщения об утечке;
• периодически проверяйте свой email через надежные сервисы мониторинга утечек.

Если один пароль оказался скомпрометирован, обязательно замените его на всех сайтах, где использовалась такая же комбинация.

Именно уникальные пароли не позволяют превратить одну утечку в цепочку взломанных аккаунтов.

Что нужно запомнить

История утечки данных не заканчивается в момент, когда украденная база появляется в интернете.

Нередко именно после этого начинается ее активное использование.

Учетные данные могут распространяться годами и снова попадать в автоматизированные инструменты для проверки аккаунтов. Старый пароль, о котором пользователь давно забыл, при этом остается актуальной угрозой, если его копия до сих пор используется на другом сервисе.

Лучшая защита здесь довольно практична: отдельный пароль для каждого аккаунта, MFA и быстрая реакция на сообщения о новых утечках.

Так даже если данные одного сервиса окажутся скомпрометированы, злоумышленники не смогут просто взять ту же комбинацию логина и пароля и использовать ее для входа в остальные ваши аккаунты.