Het dark web. De naam alleen al roept beelden op van criminelen, hackers en duistere handel. En die beelden zijn niet volledig onterecht maar ze zijn ook onvolledig. Want het dark web is geen abstracte onderwereld voor cybercriminelen alleen. Het is een concrete marktplaats waar gestolen bedrijfsgegevens dagelijks worden verhandeld. Inclusief, mogelijk, gegevens van jouw bedrijf.
In dit artikel leggen wij uit wat het dark web precies is, hoe het verschilt van het reguliere internet, wat er op wordt verhandeld en, het meest praktische, wat jij als ondernemer kunt doen om te weten of jouw bedrijfsgegevens er al op staan.
Het internet in drie lagen
Om het dark web te begrijpen, helpt het om te weten dat het internet uit drie afzonderlijke lagen bestaat.
Het surface web: wat iedereen ziet
Het surface web is het gedeelte van het internet dat toegankelijk is via gewone browsers en vindbaar is via zoekmachines als Google en Bing. Websites, nieuwsartikelen, webshops, sociale media, alles wat je dagelijks gebruikt valt hieronder.
Groot als het lijkt, is het surface web slechts een klein deel van het totale internet. Onderzoekers schatten dat slechts vier tot vijf procent van alle online content via gewone zoekmachines vindbaar is.
Het deep web, niet gevaarlijk, wel verborgen
Het deep web is het gedeelte van het internet dat niet wordt geïndexeerd door zoekmachines maar wel toegankelijk is met de juiste inloggegevens. Denk aan jouw online bankieromgeving, beveiligde bedrijfsportalen, e-mailinboxen, medische dossiers en interne systemen van bedrijven.
Het deep web is niet gevaarlijk. Het is gewoon het deel van het internet dat achter een login zit, precies zoals het hoort voor gevoelige informatie. Het grootste deel van het internet is deep web.
Het dark web, bewust verborgen
Het dark web is een specifiek, bewust verborgen deel van het internet dat niet toegankelijk is via gewone browsers. Om het dark web te bereiken is speciale software nodig, met name de Tor-browser, die het verkeer via meerdere versleutelde servers omleidt om de identiteit van de gebruiker te verbergen.
Het dark web heeft legitieme gebruikers, journalisten die veilig willen communiceren in landen met perscensuur, klokkenluiders, privacybewuste gebruikers. Maar het is ook de plek waar criminelen opereren zonder makkelijk te worden getraceerd. En waar gestolen data wordt verhandeld.
Wat wordt er op het dark web verhandeld?
Het dark web herbergt een uitgebreid ecosysteem van illegale marktplaatsen. De handel is divers maar voor bedrijven zijn een aantal categorieën direct relevant.
Inloggegevens en wachtwoorden. Dit is de meest omvangrijke categorie. Na elke grote hack komen de gestolen inloggegevens, e-mailadressen gecombineerd met wachtwoorden, op het dark web terecht. Ze worden verkocht per record, per domein of per sector. Een zakelijk e-mailadres met bijbehorend wachtwoord is meer waard dan een privéadres omdat het potentieel toegang geeft tot bedrijfssystemen.
Creditcardgegevens en bankgegevens. Gestolen betaalgegevens worden per stuk of in bulk verhandeld, gesorteerd op land, bank of kaarttype.
Persoonlijke identificatiegegevens. BSN-nummers, paspoortgegevens, rijbewijsgegevens, bruikbaar voor identiteitsfraude.
Toegang tot gehackte systemen. Aanvallers die toegang hebben gekregen tot een bedrijfsnetwerk verkopen die toegang door aan andere criminelen. Een “initial access broker”, een specialist in het binnenkomen bij bedrijven, verkoopt de toegang aan een ransomware-groep die vervolgens de aanval uitvoert.
Bedrijfsdocumenten en intellectueel eigendom. Gestolen offertes, contracten, productontwerpen en klantlijsten worden verhandeld, soms aan concurrenten, soms aan partijen die ze gebruiken voor gerichte oplichting.
Tools en diensten voor aanvallen. Malware, phishing-kits, DDoS-diensten op aanvraag, het dark web biedt een volledig dienstenpakket voor criminelen die zelf niet technisch vaardig zijn.
Hoe komen bedrijfsgegevens op het dark web terecht?
Voor de meeste bedrijven gaat het niet om een gerichte aanval op henzelf maar om het neveneffect van een hack elders.
Datalekken bij derde partijen. Als een platform waar jouw medewerkers een account hebben wordt gehackt, een leverancier, een tool, een nieuwsbriefplatform, komen hun inloggegevens op straat te liggen. Als ze hetzelfde wachtwoord ook zakelijk gebruiken, is dat direct een risico.
Phishing-aanvallen op medewerkers. Een medewerker die zijn inloggegevens invult op een nep-inlogpagina, levert die gegevens rechtstreeks af bij de aanvaller. Die verkoopt ze door of gebruikt ze zelf.
Malware op bedrijfsapparatuur. Infostealer-malware, software die specifiek is ontworpen om opgeslagen wachtwoorden en browsercookies te stelen, stuurt gestolen gegevens automatisch door naar de aanvaller. Die gegevens belanden vervolgens op het dark web.
Onbeveiligde systemen. Bedrijven met slecht beveiligde servers of remote desktop-toegang zonder tweestapsverificatie zijn kwetsbaar voor directe inbraak. De gestolen gegevens worden daarna doorverkocht.
Hoe groot is het probleem in de praktijk?
De schaal van het probleem is voor de meeste mensen moeilijk voor te stellen.
De database van HaveIBeenPwned, een publieke dienst die bijhoudt welke e-mailadressen voorkomen in bekende datalekken, bevat inmiddels meer dan twaalf miljard gelekte records. Twaalf miljard. Afkomstig van duizenden gehackte platforms over de hele wereld.
Elk jaar komen er miljarden nieuwe records bij. Grote hacks bij bekende platforms halen het nieuws. De duizenden kleinere hacks bij minder bekende diensten halen het nieuws niet maar de inloggegevens belanden wel op het dark web.
De realistische conclusie: als jouw bedrijf meerdere medewerkers heeft die zakelijke e-mailadressen ook elders gebruiken, is de kans dat minstens één adres voorkomt in een bekend datalek aanzienlijk. Niet als worst-case scenario, als statistisch waarschijnlijk uitgangspunt.
Wat doen criminelen met gestolen bedrijfsgegevens?
Gestolen inloggegevens worden niet direct misbruikt door degene die ze heeft gestolen. Het dark web werkt als een toeleveringsketen.
Stap 1: Verzamelen. De aanvaller verzamelt grote hoeveelheden inloggegevens via hacks, phishing of malware.
Stap 2: Sorteren en verkopen. De gegevens worden gesorteerd op waarde, zakelijke adressen, specifieke sectoren, bekende bedrijven en verkocht op dark web marktplaatsen.
Stap 3: Uitproberen. Kopers proberen de gegevens geautomatiseerd uit op tientallen platforms tegelijk via credential stuffing, op zoek naar accounts waar hetzelfde wachtwoord werkt.
Stap 4: Misbruiken of doorverkopen. Werkende combinaties worden direct misbruikt voor fraude, diefstal of ransomware of opnieuw verkocht aan gespecialiseerde aanvallers.
Tussen het moment waarop gegevens worden gestolen en het moment waarop ze worden misbruikt, kunnen weken of maanden zitten. Vroeg detecteren, voordat de koper de gegevens heeft uitgebuit, is het verschil tussen een beheerst incident en een crisis.
Hoe weet je of jouw bedrijfsgegevens op het dark web staan?
Er zijn twee manieren.
Zelf controleren via HaveIBeenPwned.com. Dit is een gratis dienst die controleert of een specifiek e-mailadres voorkomt in bekende datalekken. Het geeft een momentopname, nuttig als eerste check, maar het monitort niet proactief en dekt niet alle bronnen.
Continue monitoring via een gespecialiseerde dienst. Bij Orange Warriors monitoren wij continu alle e-mailadressen en domeinen van jouw bedrijf, inclusief bronnen die buiten publieke databases vallen. Zodra een treffer wordt gevonden in een nieuw lek, ontvang je direct een melding met een concreet stappenplan.
Bij de start voeren wij ook een historische scan uit zodat je direct weet wat er al bekend is over jouw domein, niet alleen wat er in de toekomst opduikt. Lees meer over onze dienst Gelekte Wachtwoorden →
