Le violazioni dei dati sono una parte normale del panorama cyberthreat. Generano molto l'attenzione dei media, sia perché la quantità di informazioni rubate è spesso grande, sia perché così tanto è i dati personali preferirebbero rimanere privati. Dozzine di violazioni di alto profilo negli ultimi anni hanno preso di mira rivenditori nazionali, fornitori di assistenza sanitaria e persino database del governo federale, ottenendo numeri di previdenza sociale, impronte digitali e persino i risultati del controllo di sfondo. Sebbene le violazioni dei dati dei consumatori siano diventate comuni, ci sono altre risorse che, se mirate, generano importanti problemi di sicurezza. Di recente, un hacker ha affermato di vendere 32 milioni di nomi utente e password di Twitter su un mercato sotterraneo.

Ma cosa succede dopo una violazione? Che cosa fa un utente malintenzionato con le informazioni raccolte? E chi lo vuole, comunque? Mio riparazionie vari studi da altri computer ed sociologi, dimostra che i dati rubati vengono solitamente venduti dagli hacker ad altri nei mercati sotterranei online. I venditori usano tipicamente le loro abilità tecniche per raccogliere informazioni desiderabili, o lavorano per conto degli hacker come front man per offrire informazioni. Gli acquirenti vogliono utilizzare le informazioni rubate al loro massimo vantaggio finanziario, compreso l'acquisto di beni con numeri di carte di credito rubate o l'effettuazione di trasferimenti di denaro per acquisire direttamente denaro. Nel caso dei dati degli account dei social media, gli acquirenti potrebbero tenere in ostaggio gli account internet delle persone, utilizzare i dati per creare attacchi più mirati alle vittime o seguaci falsi che riempiono la reputazione degli account legittimi.

A causa della natura clandestina del mercato nero online, il numero totale di vendite completate di informazioni rubate è difficile da quantificare. La maggior parte dei venditori pubblicizza i propri dati e servizi in forum Web che operano come qualsiasi altro rivenditore online come Amazon, in cui acquirenti e venditori si valutano a vicenda e la qualità dei loro prodotti - informazioni personali - viene venduta. Di recente, io e i miei colleghi stimato il reddito dei dati acquirenti e venditori utilizzando il feedback online pubblicato dopo che le vendite sono state completate. Abbiamo esaminato il feedback sulle transazioni che coinvolgono informazioni su carte di credito e debito, alcune delle quali includevano anche il valore di verifica delle carte a tre cifre sul retro di una carta fisica.

Abbiamo riscontrato che i venditori di dati nelle transazioni 320 possono aver guadagnato tra $ 1 milioni e $ 2 milioni. Allo stesso modo, gli acquirenti di 141 di queste transazioni hanno guadagnato un valore stimato di $ 1.7 milioni e $ 3.4 milioni attraverso l'uso delle informazioni acquistate. Questi enormi profitti sono probabilmente una delle ragioni principali per cui queste violazioni dei dati continuano. Esiste una chiara richiesta di informazioni personali che possono essere utilizzate per facilitare la criminalità informatica e una solida scorta di fonti.

Arrivare al mercato

I mercati di dati clandestini sono, a quanto pare, molto simili ai mercati online legali come eBay e Amazon e ai siti di shopping gestiti da legittime società di vendita al dettaglio. Differiscono nel modo in cui i mercati sono pubblicizzati o nascosti al grande pubblico, nella competenza tecnica degli operatori e nel modo in cui i pagamenti vengono inviati e ricevuti.

La maggior parte di questi mercati opera sul cosiddetto Web "aperto", su siti accessibili come la maggior parte dei siti Web, con un browser Web tradizionale come Chrome o Firefox. Vendono i numeri di conto delle carte di credito e di debito, così come altre forme di dati inclusi informazioni mediche.

Un piccolo ma emergente numero di mercati opera su un'altra parte di Internet chiamata "dark web". Questi siti sono accessibili solo utilizzando software di crittografia specializzati e protocolli browser che nascondono la posizione degli utenti che partecipano a questi siti, come ad esempio servizio Tor gratuito. Non è chiaro quanti di questi mercati oscuri esistano, anche se è possibile che i servizi basati su Tor diventeranno più comuni come gli altri i mercati sotterranei usano questa piattaforma.

Connettere compratori e venditori

I venditori di dati pubblicano informazioni sul tipo di dati che hanno, sulla quantità, sui prezzi, sul modo migliore in cui un potenziale acquirente li contatta e sul loro metodo di pagamento preferito. I venditori accettano pagamenti online attraverso vari meccanismi elettronici, tra cui Web Money, Yandex e Bitcoin. Alcuni venditori accettano pagamenti reali tramite Western Union e MoneyGram, ma spesso addebitano commissioni aggiuntive per coprire i costi legati all'uso degli intermediari per trasferire e ricevere valuta forte a livello internazionale.

La maggior parte dei negoziati per i dati avviene tramite la chat online o un account e-mail designato dal venditore. Una volta che l'acquirente e il venditore sono d'accordo su un accordo, l'acquirente paga il venditore in anticipo e deve quindi attendere la consegna del prodotto. Tra un paio d'ore e un paio di giorni, un venditore deve rilasciare i dati venduti.

Revisione della transazione

Se un acquirente fa un affare ma il venditore non invia mai i dati, o ciò che arriva include informazioni inattive o inaccurate, l'acquirente non farà causa per violazione del contratto o chiamerà l'FBI per lamentarsi di essere stato derubato. La natura illegale della transazione rende il compratore largamente impotente a utilizzare i mezzi tradizionali di risoluzione delle controversie.

Per riequilibrare questo potere, le forze sociali entrano in gioco, massimizzando i premi sia per gli acquirenti che per i venditori e riducendo al minimo il rischio di perdita. Come nei sistemi da eBay a Lyft, gli acquirenti e i venditori in molti mercati sotterranei possono rivedere pubblicamente l'adesione di ciascuno a un accordo negoziato. Le parti operano in modo anonimo, ma hanno nomi utente che rimangono gli stessi da transazione a transazione, costruendo la loro reputazione sul mercato nel tempo. Pubblicare recensioni e feedback sulle esperienze di acquisto e vendita promuove la fiducia e rende il mercato più trasparente. Il feedback mostra tutti gli utenti che operano secondo le norme comunitarie, il cui comportamento è preoccupante e che i nuovi utenti potrebbero non conoscere ancora tutte le regole.

Questa capacità di pubblicare e recensire i feedback rappresenta una strada interessante per l'interruzione del mercato. Se tutti i venditori all'interno di un mercato dovessero essere inondati di feedback negativi e positivi, gli acquirenti avrebbero difficoltà a capire chi è degno di fiducia. Alcuni informatici hanno suggerito che tale approccio potrebbe interrompere il mercato dei dati senza la necessità di arresti e metodi tradizionali di applicazione della legge. Ulteriori ricerche su come ridurre il mercato dei dati rubati potrebbero indagare su questa e altre strategie potenziali.

Circa l'autore

Thomas Holt, professore associato di giustizia penale, Michigan State University

Questo articolo è stato pubblicato in origine The Conversation. Leggi il articolo originale.

libri correlati

at InnerSelf Market e Amazon