Ile zarabiają cyberprzestępcy na skradzionych danych?

– Cyberataki na początku wiązały się tylko z potrzebą pokazania swoich umiejętności w środowisku informatycznym. Szybko jednak przeistoczyły się w próby wyłudzania pieniędzy, aż ostatecznie przybrały postać haktywizmu, czyli chęci osiągnięcia, za pośrednictwem ataku, określonych celów politycznych lub ekonomicznych. Przykładowo, dla instytucji finansowych, ataki sieciowe są dziś znacznie bardziej niebezpieczne niż napady w świecie rzeczywistym – wyjaśnia Radosław Wesołowski z Grey Wizard, tarczy, która chroni przed cyberatakami.

Badanie przeprowadzone przez Kaspersky Lab i B2B International ujawniło, że niemal połowa internautów (45%) natrafiła na szkodliwe oprogramowanie w ostatnim roku i w większości przypadków (81%) miało to negatywny wpływ na urządzenia i dane użytkowników.

Jak informuje Kaspersky Lab co trzeci użytkownik (33%) poniósł straty finansowe w wyniku infekcji szkodliwym oprogramowaniem. Oprócz zapłacenia okupu przestępcom ofiary musiały wydać pieniądze na przywrócenie danych lub sprzętu do działania, na oprogramowanie umożliwiające wyeliminowanie skutków infekcji, a niektórzy byli nawet zmuszeni kupić nowy komputer. W przypadkach, gdy zostały poniesione straty finansowe, średni koszt ataku wynosił 160 dolarów.

Kradzież danych to niezły biznes

Raport McAfee Labs pokazuje konkretne ceny, jakie na czarnym rynku internetowym osiągają skradzione dane. Można na nim bez trudu kupić loginy do kart kredytowych i debetowych, dane logowania do rachunków bankowych czy internetowych serwisów płatniczych. W raporcie uwzględniono również, jakie kwoty płacone są za dostępy do serwisów z treściami premium i do sieci firmowych, a także do kont lojalnościowych w hotelach i restauracjach oraz tych w internetowych systemach aukcyjnych

Dane kart płatniczych to „najgorętszy" towar na czarnym rynku cyberprzestępczym. Skradzione dane organizowane są w pakiety, a następnie wyceniane i sprzedawane. Podstawowa oferta obejmuje wygenerowany przez program numer zawierający numer karty płatniczej (PAN), datę ważności oraz numer CVV2. Sprzedawcy nazywają taką prawidłową numeryczną kombinację „losową”, jednak generatory numerów ważnych kart kredytowych można kupić lub znaleźć w sieci za darmo.

Ceny za pakiety idą w górę, gdy oferta zawiera dodatkowe informacje pozwalające przestępcom na szerszy zakres działania z wykorzystaniem podstawowych danych, jak na przykład numeru rachunku bankowego czy daty urodzenia. Najdroższe są informacje określone jako „Fullzinfo”, czyli adres rozliczeniowy, numer PIN, numer ubezpieczenia społecznego, data urodzenia, nazwisko panieńskie matki, a nawet nazwa użytkownika i hasło używane w celu dostępu, zarządzania i zmiany danych rachunku internetowego właściciela karty.
Poniższa tabela prezentuje średnie ceny za dane kart kredytowych i debetowych w różnych regionach w oparciu o kombinację dostępnych elementów danych:

Ceny za dane konta na serwisach płatniczych zależą wyłącznie od jego aktualnego stanu. Dane logowania w przypadku rachunków z saldem od 400 do 1 000 USD kosztują od 20 do 50 USD, a gdy saldo mieści się w granicach 5 000–8 000 USD, cena wzrasta do 200–300 USD.

Według informacji uzyskanych przez McAfee Labs bankowe dane logowania w przypadku rachunku z saldem 2 200 USD kosztują około 190 USD. Zakup danych logowania do banku w połączeniu z wykonaniem ukrytego przelewu środków do banków amerykańskich to cena od 500 USD w przypadku rachunku z saldem 6 000 USD nawet do 1 200 USD, gdy rachunek opiewa na 20 000 USD. W Wielkiej Brytanii ta cena wynosi odpowiednio od 700 USD w przypadku rachunku z saldem 10 000 USD do 900 USD za rachunek o wartości 16 000 USD.

Raport podaje też koszty, jakie trzeba ponieść, kupując na czarnym rynku dane logowania do serwisów udostępniających różnego rodzaju treści, np. streaming filmów (0,55–1 USD) lub programów telewizji kablowej premium (7,50 USD), serwis premium z komiksami (0,55 USD) i streaming zawodowych rozgrywek sportowych (15 USD).

Niektóre serwisy i powiązane z nimi dane, np. dane logowania do hotelowych programów lojalnościowych lub kont w systemach aukcyjnych również są sprzedawane na czarnym rynku. Nabywcy takich informacji z ich użyciem mogą dokonywać zakupów online, podszywając się pod osoby, którym dane skradziono. Specjaliści z McAfee Labs natrafili na przykład na ofertę sprzedaży konta lojalnościowego w jednym z dużych hoteli ze stanem 100 000 punktów za 20 USD czy też konta w społeczności aukcyjnej, z wysoką oceną innych użytkowników, za 1 400 USD.

Polska również zagrożona

Tymczasem według raportu Rządowego Zespołu Reagowania na Incydenty Komputerowe, „CERT.GOV.PL”, 2014 rok był rekordowy pod względem cyberataków na polskie instytucje. Co więcej, ataki te są znacznie bardziej groźne niż kiedyś.

– W świecie otaczającym nas przez różne urządzenia, usługi chmurowe i szeroko pojęte nowe technologie, nikogo nie powinno dziwić, że liczba cyberataków stale wzrasta i również charakteryzuje się coraz bardziej zaawansowanymi technikami. Wyzwania związane z bezpieczeństwem IT są różnorakie, od kwestii zabezpieczenia się przed utratą danych bądź ich wyciekiem po zapewnienie ich dostępności dla użytkownika. Stworzenie spójnych rozwiązań i strategii obrony jest niezbędne – komentuje Łukasz Gawior dyrektor operacyjny polskiej spółki hostingowej Zenbox.pl.

– Na początku września br. przeprowadziliśmy badanie dotyczące bezpieczeństwa wśród 300 osób odpowiedzialnych lub współodpowiedzialnych za bezpieczeństwo IT w polskich organizacjach z różnych sektorów gospodarki. Wyniki wskazują, że choć dla 78% z nich ochrona i ciągłość dostępu do danych firmy jest bardzo ważna, to 75% nigdy nie słyszało o pojęciu BCM (Business Continuity Management). To dowód, jak bardzo nasz rynek IT wymaga edukacji – uświadamiania, że planowanie i inwestycje w bezpieczeństwo są uzasadnione – wyjaśnia Ewelina Hryszkiewicz, kierownik produktu w firmie ATMAN.

Źródło: Materiały prasowe