As violações de dados são uma parte regular do cenário de ameaças cibernéticas. Eles geram uma grande quantidade de atenção da mídia, porque a quantidade de informação roubada é geralmente grande, e porque grande parte dela é dados pessoas preferem permaneceu privada. Dezenas de violações de alto perfil nos últimos anos têm como alvo retalhistas nacionais, prestadores de cuidados de saúde e até mesmo bases de dados do governo federal, obtendo números de Seguro Social, impressões digitais e até mesmo resultados de verificação de antecedentes. Embora as violações que afetam os dados do consumidor tenham se tornado comuns, existem outros recursos que, quando direcionados, levam a grandes preocupações de segurança. Recentemente, um hacker alegou estar vendendo mais 32 milhões de nomes de usuários e senhas do Twitter em um mercado subterrâneo.

Mas o que acontece depois de uma violação? O que um invasor faz com as informações coletadas? E quem quer isso, afinal? Minhas pesquisae vários estudos de outras computador e Cientistas sociais, demonstra que os dados roubados geralmente são vendidos por hackers para outros em mercados clandestinos online. Os vendedores costumam usar suas proezas técnicas para coletar informações desejáveis ​​ou trabalhar em nome de hackers como frontman para oferecer informações. Os compradores querem usar as informações roubadas em sua máxima vantagem financeira, incluindo a compra de bens com números de cartões de crédito roubados ou a transferência de dinheiro para a aquisição direta de dinheiro. No caso de dados de contas de mídia social, os compradores podem exigir resgate de contas de pessoas, usar os dados para criar ataques mais direcionados às vítimas ou seguidores falsos que guardam a reputação das contas legítimas.

Devido à natureza clandestina do mercado negro on-line, o número total de vendas concluídas de informações roubadas é difícil de quantificar. A maioria dos vendedores anuncia seus dados e serviços em fóruns da web que operam como qualquer outro varejista on-line como a Amazon, onde compradores e vendedores avaliam uns aos outros e a qualidade de seus produtos - informações pessoais - sendo vendidos. Recentemente, meus colegas e eu estimou a renda de compradores e vendedores de dados usando o feedback on-line publicado após a conclusão das vendas. Examinamos o feedback sobre transações envolvendo informações de cartão de crédito e débito, algumas das quais também incluíram o Valor de verificação de cartão de três dígitos no verso de um cartão físico.

Descobrimos que os vendedores de dados nas transações 320 podem ter ganhado entre US $ 1 milhões e US $ 2 milhões. Da mesma forma, os compradores da 141 dessas transações receberam um valor estimado de US $ 1.7 milhões e US $ 3.4 milhões através do uso das informações que compraram. Esses enormes lucros são provavelmente uma das principais razões pelas quais essas violações de dados continuam. Existe uma clara demanda por informações pessoais que podem ser usadas para facilitar o cibercrime e um suprimento robusto de fontes.

Chegando ao mercado

Os mercados de dados clandestinos são muito semelhantes aos mercados on-line legais, como o eBay e a Amazon, e sites de compras administrados por empresas de varejo legítimas. Eles diferem nas formas como os mercados são anunciados ou escondidos do público em geral, na proficiência técnica dos operadores e nas formas como os pagamentos são enviados e recebidos.

A maioria desses mercados opera na chamada web “aberta”, em sites acessíveis como a maioria dos sites, com softwares convencionais de navegador da Web como o Chrome ou o Firefox. Eles vendem números de conta de cartão de crédito e débito de venda, bem como outras formas de dados, incluindo informação médica.

Um número pequeno, mas emergente de mercados opera em outra parte da Internet chamada “dark web”. Esses sites só são acessíveis usando software de criptografia especializado e protocolos de navegador que ocultam a localização dos usuários que participam desses sites, como o serviço Tor grátis. Não está claro quantos destes mercados escuros existem, embora seja possível que os serviços baseados em Tor se tornem mais comuns do que outros. mercados subterrâneos usam esta plataforma.

Conectando compradores e vendedores

Os vendedores de dados publicam informações sobre o tipo de dados que possuem, o quanto, o preço, a melhor maneira de um comprador em potencial entrar em contato com eles e o método de pagamento de sua preferência. Os vendedores aceitam pagamentos on-line através de vários mecanismos eletrônicos, incluindo Web Money, Yandex e Bitcoin. Alguns vendedores até aceitam pagamentos reais via Western Union e MoneyGram, mas geralmente cobram taxas adicionais para cobrir os custos do uso de intermediários para transferir e receber moeda estrangeira internacionalmente.

A maioria das negociações de dados ocorre por meio de um bate-papo on-line ou de uma conta de e-mail designada pelo vendedor. Uma vez que o comprador e o vendedor concordam com um acordo, o comprador paga o vendedor antecipadamente e deve aguardar a entrega do produto. Demora entre algumas horas e alguns dias para um vendedor liberar os dados vendidos.

Revendo a transação

Se um comprador fizer um acordo, mas o vendedor nunca enviar os dados, ou o que chegar incluir informações inativas ou imprecisas, o comprador não irá processar por quebra de contrato ou ligar para o FBI para reclamar que ele foi roubado. A natureza ilegal da transação torna o comprador em grande parte impotente para usar meios tradicionais de resolução de litígios.

Para reequilibrar esse poder, forças sociais entram em ação, maximizando recompensas tanto para compradores quanto para vendedores e minimizando o risco de perda. Como nos sistemas do eBay para a Lyft, compradores e vendedores em muitos mercados clandestinos podem revisar publicamente a adesão de cada um a um acordo negociado. As partes operam anonimamente, mas possuem nomes de usuários que permanecem os mesmos de transação para transação, construindo suas reputações no mercado ao longo do tempo. Publicar comentários e feedback sobre experiências de compra e venda promove a confiança e torna o mercado mais transparente. O feedback mostra todos os usuários que operam de acordo com as normas da comunidade, cujo comportamento é preocupante, e quais novos usuários podem ainda não conhecer todas as regras.

Essa capacidade de publicar e revisar comentários apresenta um caminho interessante para a interrupção do mercado. Se todos os vendedores dentro de um mercado fossem inundados com feedback negativo e positivo, os compradores teriam dificuldade em descobrir quem é confiável. Alguns Cientistas da computação Eles sugeriram que essa abordagem poderia interromper o mercado de dados sem a necessidade de prisões e métodos tradicionais de aplicação da lei. Mais pesquisas sobre como restringir o mercado de dados roubados poderiam investigar essa e outras estratégias potenciais.

Sobre o autor

Thomas Holt, Professor Associado de Justiça Criminal da Michigan State University

Este artigo foi originalmente publicado em A Conversação. Leia o artigo original.

Livros relacionados

at InnerSelf Market e Amazon