您的憑證出現在暗網後會發生什麼
資料洩露後，被盜憑證經過地下市場到主動利用的既定路徑。了解這個旅程有助於您更快地應對並更好地保護自己。
資料洩露後，被盜憑證經過地下市場到主動利用的既定路徑。了解這個旅程有助於您更快地應對並更好地保護自己。
當公司或服務遭到洩露時，攻擊者通常在初始存取後數小時內提取用戶憑證數據庫。第一步是破解任何已雜湊的密碼——根據所使用的雜湊算法，這可能需要幾分鐘（用 MD5 雜湊的密碼）到數年（用適當加鹽的 bcrypt 或 Argon2 雜湊）。明文密碼或使用弱算法雜湊的密碼立即可用；強雜湊需要更多處理時間，或可能以加密形式進行批量出售。
新鮮竊取的憑證數據庫通常在私人暗網論壇上私下出售給少數可信買家，或向最高出價者拍賣。大型、高質量的數據庫——特別是那些包含已驗證的銀行或電子商務網站憑證，或帶有香港身份證號碼、電話號碼和地址等額外個人資訊的數據庫——能夠獲得高價。一個包含主要香港銀行已驗證憑證的數據庫，可能在暗網市場上以加密貨幣賣出可觀的金額。
在數天至數週內，已針對目標服務驗證（即確認仍然有效）的憑證，會在暗網「組合列表」市場或自動化憑證填充服務上上架。一些暗網服務提供訂閱模式，買家可以請求針對特定目標網站的憑證檢查。從洩露到主動利用的完整週期，對於高知名度目標可能短至 72 小時，儘管許多被洩露的數據庫會流通數年才被完全利用。
一旦憑證可用，它們就透過幾種不同的攻擊路徑被利用。憑證填充 ↗是測試大型列表的主要方法——自動化工具針對目標網站列表（銀行入口網站、電子商務網站、電郵提供商、社交媒體）測試每個電郵/密碼對，並收集成功的登入。成功的登入被標記為後續人工跟進或自動化帳戶奪取，取決於目標價值。成功率通常較低（測試的憑證中有 1% 至 3% 可成功登入其他網站），但數量如此之大，即使是小百分比也能產生數百萬個被入侵的帳戶。
針對個別高價值目標的帳戶奪取（ATO）攻擊是竊取憑證的更有針對性的使用。識別出特定人員持有大量財務帳戶的攻擊者，會使用其竊取的憑證嘗試登入，然後使用被入侵的電郵帳戶重設銀行和投資平台上的密碼。在香港，已見過針對在本地銀行和投資平台持有大量資產的個人進行此類攻擊，其中電郵存取和對受害者個人資訊的部分了解組合，使得欺詐性請求得以成功。
有針對性的魚叉式網絡釣魚是另一種利用路徑，尤其是當洩露不僅包括密碼還包括個人資訊時。攻擊者可以精心製作高度令人信服的電郵，引用受害者的實際帳戶詳情、交易記錄或洩露的個人資訊，使其遠比通用的網絡釣魚嘗試更可能成功。來自本地資料洩露的香港身份證號碼、電話號碼和住址，使攻擊者能夠對香港受害者進行此類個人化。
暗網監控服務掃描地下市場、貼文網站和私人論壇，尋找您的憑證被列出出售或分發的證據。Have I Been Pwned（免費）、Mozilla Monitor（免費）等服務，以及 Bitwarden、Dashlane 和 1Password 付費套餐中內建的監控功能，都提供某種程度的暗網憑證監控。覆蓋範圍並不完整——私人銷售和尚未公開分發的新鮮被盜數據庫不會出現——但它們為大多數憑證曝光提供了有效的預警。
Google 密碼管理器和 Apple Keychain 也包含針對 Google 和 Apple 各自洩露情報數據庫的洩露監控。雖然這些不如專用暗網監控服務全面，但對於使用這些平台的任何人都是自動的，並提供零額外費用的基線監控。最佳方法是同時使用多個監控來源：為您的電郵地址訂閱 HIBP 通知、您的密碼管理器內建監控，以及 HKCERT ↗ 安全警報，用於香港特定洩露。
針對個人的商業暗網監控服務——包括香港某些信用監控服務和身份保護公司提供的服務——在覆蓋範圍和響應速度方面各不相同。評估這些服務時，關鍵問題是：他們掃描已知暗網市場的頻率；他們監控哪些數據元素（僅電郵，還是也包括電話、香港身份證、地址）；以及發現新數據時發送警報的速度。免費服務通常足夠用於電郵/密碼監控；付費服務添加更多數據元素和更快的警報。
對抗暗網憑證利用最強大的保護，是確保任何被盜憑證只能讓攻擊者存取一個帳戶——即被洩露的那個——而非作為您整個數碼生活的萬能鑰匙。這透過每個帳戶使用唯一密碼，結合雙重驗證來實現，使得即使來自暗網數據庫的已驗證憑證，在沒有第二因素的情況下也無法存取您的帳戶。這限制了您的憑證在暗網市場上的價值，使您成為後續攻擊的低價值目標。
最小化您的個人資訊曝光，降低了使用洩露數據的個人化攻擊的有效性。審查您的社交媒體隱私設置，對您向哪些服務提供真實電話號碼和地址有所選擇（盡可能為不太可信的服務使用獨立號碼或地址），並為不同的服務類別使用唯一的電郵地址或別名。如果您的香港身份證號碼包含在洩露中，請向個人資料私隱專員公署（PCPD）舉報，並考慮對您使用的身份驗證服務的影響。
當您收到洩露通知時，優先考慮響應速度而非徹底性。從洩露被添加至暗網監控數據庫到憑證被主動利用的窗口，對於高知名度目標可能短至數小時。立即更改受影響的密碼，審查相同密碼是否在其他地方使用，如果尚未啟用，在受影響帳戶上啟用雙重驗證，並監控可疑帳戶活動或網絡釣魚嘗試。先行動，然後再進行徹底審查。
