Исследователи кибербезопасности из Agari решили проверить, сколько пройдёт времени с момента утечки пароля до того, когда хакеры попытаются получить доступ к скомпрометированному аккаунту.

Agari засеяли 8000 фишинговых сайтов фэйковыми учетными данными. Выглядели они так, будто принадлежат реальным пользователям, но на деле все находились под контролем исследователей. После этого специалисты по безопасности приготовили попкорн и стали наблюдать, что будет происходить дальше.

Результаты исследований оказались не слишком утешительными для пользователей. К половине всех скомпрометированных учетных записей злоумышленники получили доступ уже в течение 12 часов. Причём 20% записей взломали в первый же час, а ещё 40% – в пределах 6 часов. Так что, если вы вечером зашли на фишинговый сайт, а потом легли спать, к утру можно обнаружить неприятный сюрприз.

Практически ко всем учетным записям доступ осуществлялся вручную. Занятие это муторное, но зато киберпреступники могли точно узнать, являются ли аккаунты рабочими.

Зачем хакерам чужие учётки?

Взломанные аккаунты злоумышленники могут использовать разными способами. Например, найти там ценную конфиденциальную информацию, получить доступ к облачному хранилищу пользователя и украсть оттуда данные, воспользоваться учётной записью для дальнейших атак или просто продать её.

Нередко скомпрометированные аккаунты применяются для BEC-атак (получение доступа к корпоративной почте и дальнейшая рассылка фишинговых ссылок и спама). Один злоумышленник попытался использовать скомпрометированную учетную запись для проведения BEC-атак на сектор недвижимости. Он разослал электронные письма со ссылками на фишинговый сайт. Таким образом злоумышленник собирался украсть данные для доступа в компании, занимающиеся недвижимостью. Естественно, у него это не получилось, так как фальшивые учетные записи контролировались исследователями Agari. Ни одно из отправленных писем не дошло до адресата.

Тем не менее, исследование показывает, что киберпреступники довольно быстро начинают эксплуатировать утечки пользовательских данных, ведь для этого не нужно затрачивать ресурсы, а результат виден сразу же. Соответственно фишинговые атаки через взломанные аккаунты приводят к росту скомпрометированных данных в геометрической прогрессии и на данный момент это наименее трудозатратный способ компрометации информации. 

Впрочем, есть и хорошая новость: согласно исследованию, примерно через неделю попытки использовать слитые пароли сходят на нет.

Что делать?

Учитывая, что скомпрометированные пароли действительно используют, причём быстро, хорошей привычкой будет подключать двухфакторную аутентификацию там, где это возможно. Также стоит использовать парольные менеджеры с анализом баз данных сайтов, откуда происходят утечки.

Кстати, как оказалось, обнаруженные и опубликованные CVE уязвимости тоже начинают эксплуатировать довольно быстро.  Бывает, что уже в течение часа после появления новости о новой уязвимости, компании, не следящие за актуальностью своей инфраструктуры, подвергаются атакам киберпреступников. Так что специалистам по безопасности в компаниях стоит следить за свеженайденными уязвимостями и стараться пофиксить их как можно скорее.