Data brudd er en vanlig del av cyberthreat landskapet. De genererer mye media oppmerksomhet, både fordi mengden informasjon stjålet er ofte stor, og fordi så mye av det er data folk ville foretrekker å være privat. Tusenvis av profilert brudd de siste årene har målrettet nasjonale forhandlere, helsepersonell Til og med databaser av den føderale regjeringen, få trygdeordninger, fingeravtrykk og til og med bakgrunnssjekkresultat. Selv om brudd på forbrukerdata er blitt vanlig, er det andre ressurser som, når de er målrettet, fører til store sikkerhetsproblemer. Nylig hevdet en hacker å selge seg over 32 millioner Twitter brukernavn og passord på en underjordisk markedsplass.

Men hva skjer etter brudd? Hva gjør en angriper med informasjonen samlet? Og hvem vil det, uansett? Min forskning, og ulike studier fra andre datamaskin og sosialforskere, viser at stjålet data vanligvis selges av hackere til andre i underjordiske markeder på nettet. Selgere bruker vanligvis sin tekniske dyktighet til å samle ønskelig informasjon, eller jobbe på vegne av hackere som frontmann å tilby informasjon. Kjøpere ønsker å bruke stjålet informasjon til sin maksimale økonomiske fordel, inkludert kjøp av varer med stjålet kredittkortnummer eller engasjert i pengeoverføringer for direkte kjøp av kontanter. Når det gjelder data for sosiale medier, kan kjøpere holde folks internettkontoer for løsepenger, bruke dataene til å lage mer målrettede angrep mot ofre, eller som falske tilhengere som puter legitime kontoer omdømme.

På grunn av den uklanderlige naturen på det elektroniske svartmarkedet, er det totale antall fullførte salg av stjålet informasjon vanskelig å kvantifisere. De fleste selgere annonserer sine data og tjenester i webfora som fungerer som alle andre nettbutikker som Amazon, hvor kjøpere og selgere vurderer hverandre og kvaliteten på deres produkter - personlig informasjon - blir solgt. Nylig, mine kolleger og jeg anslått inntektene til data kjøpere og selgere ved hjelp av online tilbakemelding etter salg ble fullført. Vi undersøkte tilbakemeldinger om transaksjoner med kreditt- og debetkortinformasjon, hvorav noen også inkluderte den trecifrede kortverifikasjonsverdi på baksiden av et fysisk kort.

Vi fant ut at dataselgere i 320-transaksjoner kan ha tjent mellom US $ 1 millioner og $ 2 millioner. Tilsvarende tjente kjøpere i 141 av disse transaksjonene anslått $ 1.7 millioner og $ 3.4 millioner ved bruk av informasjonen de kjøpte. Disse massive fortjenesteene er sannsynligvis en viktig årsak til at disse databruddene fortsetter. Det er en klar etterspørsel etter personlig informasjon som kan brukes til å lette nettkriminalitet og en robust kildeforsyning.

Komme til markedet

Klandestiske datamarkeder er, det viser seg, ligner på lovlige Internett-markeder som eBay og Amazon, og shoppingområder drives av legitime detaljhandelsselskaper. De adskiller seg i måtene markedene blir annonsert eller skjult for allmennheten, operatørens tekniske ferdigheter, og måtene som betalinger sendes og mottas.

De fleste av disse markedene opererer på den såkalte "åpne" nettsiden, på nettsteder som er tilgjengelige som de fleste nettsteder, med konvensjonell nettleser programvare som Chrome eller Firefox. De selger salgskreditt- og debetkort kontonumre, samt andre former for data inkludert medisinsk informasjon.

Et lite, men fremvoksende antall markeder opererer på en annen del av Internett som kalles "mørk web". Disse nettstedene er bare tilgjengelige ved hjelp av spesialisert krypteringsprogramvare og nettleserprotokoller som skjuler plasseringen av brukere som deltar på disse nettstedene, for eksempel gratis Tor service. Det er uklart hvor mange av disse mørke markedene som finnes, selv om det er mulig Tor-baserte tjenester vil bli vanligere som andre underjordiske markeder bruker denne plattformen.

Tilkobling av kjøpere og selgere

Data selgere poste informasjon om hvilken type data de har, hvor mye av det, prising, den beste måten en potensiell kjøper kan kontakte dem og deres foretrukne betalingsmåte. Selgere godtar online betalinger gjennom ulike elektroniske mekanismer, inkludert Web Money, Yandex og Bitcoin. Enkelte selgere aksepterer til og med betaling i real-verden via Western Union og MoneyGram, men de belaster ofte ekstra gebyrer for å dekke kostnadene ved å bruke mellommenn til å overføre og motta hard valuta internasjonalt.

De fleste forhandlinger om data finner sted via enten nettprat eller en e-postkonto utpekt av selgeren. Når kjøper og selger er enige om en avtale, betaler kjøperen selgeren oppe og må deretter avvente levering av produkt. Det tar mellom noen få timer til noen dager for en selger å frigjøre solgte data.

Gjennomgang av transaksjonen

Hvis en kjøper gjør en avtale, men selgeren aldri sender dataene, eller hva som kommer med inaktive eller unøyaktige opplysninger, vil kjøperen ikke saksøke for brudd på kontrakt eller ringe FBI å klage han ble dratt av. Transaksjonens ulovlige karakter gjør kjøperen i stor grad maktløs til bruk av tradisjonelle tvisteløsningsmidler.

For å balansere denne kraften kommer sosiale styrker til spill, maksimerer belønning for både kjøpere og selgere og minimerer risikoen for tap. Som i systemer fra eBay til Lyft, kan kjøpere og selgere i mange underjordiske markeder offentlig vurdere hverandres etterlevelse av en forhandlet avtale. Partene opererer anonymt, men har brukernavn som forblir det samme fra transaksjon til transaksjon, og bygger opp sine omdømme på markedet over tid. Å legge inn vurderinger og tilbakemelding om kjøp og salg erfaringer fremmer tillit og gjør markedet mer gjennomsiktig. Tilbakemelding viser alle brukere som opererer i henhold til fellesskapsstandarder, hvis oppførsel er bekymringsfull, og hvilke nye brukere som kanskje ikke vet alle reglene.

Denne muligheten til å legge inn og evaluere tilbakemelding gir en interessant avenue for markedsforstyrrelser. Hvis alle selgere i et marked skulle oversvømmes med negativ og positiv tilbakemelding, ville kjøpere ha problemer med å finne ut hvem som er troverdig. Noen datavitenskapere har antydet at tilnærmingen kunne forstyrre datamarkedet uten behov for arrestasjoner og tradisjonelle rettshåndhevelsesmetoder. Mer forskning på hvordan å begrense markedet for stjålne data kan undersøke dette og andre potensielle strategier.

Om forfatteren

Thomas Holt, lektor i straffesaker, Michigan State University

Denne artikkelen ble opprinnelig publisert på Den Conversation. Les opprinnelige artikkelen.

Relaterte bøker

at InnerSelf Market og Amazon