Datalekken maken regelmatig deel uit van het cyberdreigingslandschap. Ze genereren veel media aandacht, zowel omdat de hoeveelheid gestolen informatie vaak groot is, als omdat er zo veel van is gegevens waarvan mensen liever hadden dat ze privé bleven. Tientallen spraakmakende inbreuken van de afgelopen jaren waren het doelwit landelijke retailers, zorgaanbieders en zelfs databanken van de federale overheid, het verkrijgen van burgerservicenummers, vingerafdrukken en zelfs resultaten van achtergrondcontroles. Hoewel inbreuken op consumentengegevens gemeengoed zijn geworden, zijn er andere middelen die, wanneer gericht, tot grote beveiligingsproblemen leiden. Onlangs beweerde een hacker te verkopen 32 miljoen Twitter-gebruikersnamen en -wachtwoorden op een ondergrondse marktplaats.

Maar wat gebeurt er na een inbreuk? Wat doet een aanvaller met de verzamelde informatie? En wie wil het eigenlijk? Mijn onderzoek, en diverse studies van anderen computer en sociale wetenschappers, toont aan dat gestolen gegevens meestal door hackers aan anderen worden verkocht in ondergrondse markten online. Verkopers gebruiken doorgaans hun technische bekwaamheid om gewenste informatie te verzamelen, of werken namens hackers als stroman om informatie aan te bieden. Kopers willen gestolen informatie gebruiken voor maximaal financieel voordeel, inclusief het kopen van goederen met gestolen creditcardnummers of het uitvoeren van geldoverboekingen om direct aan contant geld te komen. In het geval van accountgegevens van sociale media kunnen kopers de internetaccounts van mensen vasthouden voor losgeld, de gegevens gebruiken om meer gerichte aanvallen op slachtoffers uit te voeren, of als nepvolgers die de reputatie van legitieme accounts versterken.

Vanwege het clandestiene karakter van de online zwarte markt, is het totale aantal voltooide verkopen van gestolen informatie moeilijk te kwantificeren. De meeste verkopers adverteren hun gegevens en diensten op webfora die werken zoals elke andere online retailer zoals Amazon, waar kopers en verkopers elkaar beoordelen en de kwaliteit van hun producten - persoonlijke informatie - die worden verkocht. Onlangs hebben mijn collega's en ik schatte het inkomen van datakopers en -verkopers gebruikmakend van online feedback die werd gepost nadat de verkoop was voltooid. We onderzochten feedback over transacties met creditcard- en debetkaartgegevens, waarvan sommige ook de driecijferige kaartverificatiewaarde op de achterkant van een fysieke kaart bevatten.

We ontdekten dat gegevensverkopers in 320 transacties mogelijk tussen de $ 1 miljoen en $ 2 miljoen hebben verdiend. Evenzo verdienden kopers in 141 van deze transacties naar schatting $ 1.7 miljoen en $ 3.4 miljoen door het gebruik van de informatie die ze kochten. Deze enorme winsten zijn waarschijnlijk een belangrijke reden waarom deze datalekken voortduren. Er is een duidelijke vraag naar persoonlijke informatie die kan worden gebruikt om cybercriminaliteit te faciliteren, en een robuust aanbod van bronnen.

Naar de markt gaan

Clandestiene datamarkten blijken sterk te lijken op legale onlinemarkten zoals eBay en Amazon, en winkelsites die worden gerund door legitieme winkelbedrijven. Ze verschillen in de manier waarop de markten worden geadverteerd of verborgen voor het grote publiek, de technische vaardigheid van de operators en de manieren waarop betalingen worden verzonden en ontvangen.

De meeste van deze markten opereren op het zogenaamde "open" web, op sites die toegankelijk zijn zoals de meeste websites, met conventionele webbrowsersoftware zoals Chrome of Firefox. Ze verkopen creditcard- en debetkaartnummers, evenals andere vormen van gegevens, waaronder medische informatie.

Een klein maar opkomend aantal markten is actief op een ander deel van het internet, het 'dark web'. Deze sites zijn alleen toegankelijk door gebruik te maken van gespecialiseerde coderingssoftware en browserprotocollen die de locatie verbergen van gebruikers die deelnemen aan deze sites, zoals de gratis Tor-service. Het is onduidelijk hoeveel van deze donkere markten er zijn, hoewel het mogelijk is dat op Tor gebaseerde diensten meer gemeengoed zullen worden dan andere ondergrondse markten gebruiken dit platform.

Verbinden van kopers en verkopers

Gegevensverkopers posten informatie over wat voor soort gegevens ze hebben, hoeveel daarvan, prijzen, de beste manier waarop een potentiële koper contact met hen kan opnemen en hun favoriete betaalmethode. Verkopers accepteren online betalingen via verschillende elektronische mechanismen, waaronder Web Money, Yandex en Bitcoin. Sommige verkopers accepteren zelfs real-world betalingen via Western Union en MoneyGram, maar ze brengen vaak extra kosten in rekening om de kosten te dekken van het gebruik van tussenpersonen om internationale harde valuta over te maken en te ontvangen.

De meeste onderhandelingen over gegevens vinden plaats via online chat of een door de verkoper aangewezen e-mailaccount. Zodra koper en verkoper het eens zijn over een deal, betaalt de koper de verkoper vooraf en moet hij wachten op de levering van het product. Het duurt enkele uren tot enkele dagen voordat een verkoper de verkochte gegevens vrijgeeft.

De transactie bekijken

Als een koper een deal sluit maar de verkoper de gegevens nooit verstuurt, of als wat binnenkomt inactieve of onnauwkeurige informatie bevat, zal de koper geen aanklacht indienen wegens contractbreuk of de FBI bellen om te klagen dat hij is opgelicht. Het onwettige karakter van de transactie maakt de koper grotendeels machteloos om traditionele middelen van geschillenbeslechting te gebruiken.

Om deze macht weer in evenwicht te brengen, komen sociale krachten in het spel, waardoor de beloningen voor zowel kopers als verkopers worden gemaximaliseerd en het risico op verlies wordt geminimaliseerd. Net als in systemen van eBay tot Lyft, kunnen kopers en verkopers in veel ondergrondse markten publiekelijk beoordelen of elkaar een onderhandelde deal nakomt. De partijen werken anoniem, maar hebben gebruikersnamen die van transactie tot transactie hetzelfde blijven, waardoor ze in de loop van de tijd hun reputatie op de markt opbouwen. Het plaatsen van beoordelingen en feedback over koop- en verkoopervaringen bevordert het vertrouwen en maakt de markt transparanter. Feedback toont alle gebruikers die werken volgens de gemeenschapsnormen, wiens gedrag zorgwekkend is en welke nieuwe gebruikers misschien nog niet alle regels kennen.

Deze mogelijkheid om feedback te posten en te beoordelen biedt een interessante mogelijkheid voor marktverstoring. Als alle verkopers binnen een markt zouden worden overspoeld met negatieve en positieve feedback, zouden kopers moeite hebben om uit te zoeken wie betrouwbaar is. Sommige computer wetenschappers hebben gesuggereerd dat deze aanpak de datamarkt zou kunnen verstoren zonder dat arrestaties en traditionele wetshandhavingsmethoden nodig zijn. Meer onderzoek naar hoe de markt voor gestolen gegevens kan worden ingeperkt, zou deze en andere mogelijke strategieën kunnen onderzoeken.

Over de auteur

Thomas Holt, universitair hoofddocent strafrecht, Michigan State University

Dit artikel is oorspronkelijk gepubliceerd op The Conversation. Lees de originele artikel.

Verwante Boeken

at InnerSelf Market en Amazon