Мониторинг дарквеба: утечки данных компании

Коротко. Мониторинг даркнета на утечки компании — это регулярная проверка того, не появились ли ваши корпоративные адреса, пароли, базы клиентов, документы или доступы к сети там, где ими торгуют и обмениваются. Безопасно и законно компания может сделать сама три вещи: подключить уведомления об утечках для своего домена (например, в Have I Been Pwned), внимательно относиться к внешним сигналам — жалобам клиентов, письмам банков, публикациям — и замечать признаки компрометации в собственной сети. Заходить на криминальные площадки самостоятельно не нужно: это риск для сотрудника, для рабочего компьютера и правовой риск для компании. Глубокий мониторинг — задача подрядчика с методикой, изолированной инфраструктурой и правовыми основаниями. Ниже — что именно ищут, какие инструменты законны и что делать, когда данные нашлись.

Для руководителей и ИТ-специалистов, которые хотят узнавать об утечке раньше мошенников, клиентов и регулятора.

Что такое дарквеб и что там ищут про компании

Дарквеб — часть интернета, доступная только через анонимизирующие сети (самая известная — Tor), которую не индексируют обычные поисковики. Рядом с легальными ресурсами там работают площадки, где продают и публикуют украденные данные. При этом «рынок данных» давно не ограничен одним сегментом сети: утечки обсуждают и продают также в закрытых каналах мессенджеров и на обычных форумах. Поэтому для бизнеса точнее говорить не о «мониторинге дарквеба», а о мониторинге утечек — где бы они ни всплыли.

Что обычно находят про компании:

Как проверить утечки данных компании самостоятельно и законно

1. Уведомления об утечках для домена

Have I Been Pwned (haveibeenpwned.com) — сервис, который собирает данные из известных утечек и показывает, какие адреса в какие инциденты попали. Для компании полезен поиск по домену: после подтверждения владения доменом вы видите адреса на своём домене, найденные в утечках, и можете подписаться на уведомления о новых. Условия доступа зависят от размера домена.

Что это даёт: список рабочих адресов, которые засветились, и названия сервисов-источников — понятно, кому менять пароли и с кем говорить. Чего не даёт: сервис видит только то, что попало в его базу. Свежие закрытые продажи, доступы к сети и документы компании он не покажет.

2. Проверка паролей в браузерах и менеджерах паролей

Многие браузеры и корпоративные менеджеры паролей предупреждают, если сохранённый пароль найден в известных утечках. Это уровень отдельного пользователя, но включить такую проверку для рабочих учётных записей — бесплатная и быстрая мера.

3. Внешние сигналы

Утечку часто выдают не технические системы, а люди:

• клиенты жалуются на звонки «от вашего имени», и звонящие знают точные детали заказов;
• банк или платёжная система сообщает о подозрительных операциях;
• исследователь безопасности пишет на общий адрес компании;
• в СМИ или Telegram-каналах появляется новость об утечке;
• приходит письмо с требованием выкупа.

Каждый такой сигнал — повод открыть инцидент и проверить, а не отмахнуться.

4. Признаки внутри своей сети

Входы в почту и VPN из необычных стран или в нерабочее время, серии неудачных попыток входа, новые правила пересылки в почтовых ящиках, всплески исходящего трафика, отключённый антивирус. Это не мониторинг дарквеба, но утечку нередко обнаруживают именно так — и раньше, чем данные выставят на продажу. Такие события отслеживает центр мониторинга (SOC).

Чего делать не нужно

• Заходить на теневые площадки самим, регистрироваться там и переписываться с продавцами.
• Покупать «свою» базу, чтобы проверить её или «выкупить»: гарантий удаления нет, деньги финансируют следующие атаки, а у сделки могут быть правовые последствия.
• Скачивать выложенные архивы: в них бывает вредоносное ПО, а хранение чужих персональных данных создаёт отдельные обязанности.
• Вводить корпоративные адреса и пароли в «проверялки» на сомнительных сайтах — это классический способ сбора паролей.

Когда нужен подрядчик и что входит в профессиональный мониторинг

Самостоятельные меры закрывают базовый уровень. Если у компании много клиентов, персональные данные, платежи или она уже была целью атак, нужен постоянный мониторинг силами подрядчика.

Перед стартом с подрядчиком стоит согласовать: какие объекты мониторинга (домены, названия, ФИО руководителей — последнее требует правового основания по 99-З), как подтверждается находка, в какой срок приходит оповещение и кто на вашей стороне его принимает.

У Viviar мониторинг дарквеба и защита бренда входят в направление корпоративной разведки: работаем с открытыми источниками и ничего не атакуем. Для ИТ-команд есть продукт Security Insights — разведка угроз под ваш технологический стек. Мониторинг утечек естественно дополняет защиту бренда от фейковых сайтов и доменов-клонов: мошенники часто используют обе вещи вместе.

Данные нашлись: что делать

1. Зафиксировать находку. Что именно найдено, где, когда, в каком объёме. Не пересылать архивы по почте и не выкладывать скриншоты с данными в общие чаты.
2. Оценить свежесть. Старая утечка стороннего сервиса и свежая выгрузка из вашей CRM — разные инциденты. Сопоставьте находку с журналами своих систем.
3. Закрыть доступ. Сменить пароли затронутых учётных записей, завершить активные сессии, включить второй фактор. Если источник — лог стилера, проверить и очистить устройство сотрудника, иначе новые пароли утекут тем же путём.
4. Если утекли персональные данные клиентов или сотрудников — это нарушение защиты персональных данных. Действуйте по плану реагирования на утечку данных и уведомления НЦЗПД.
5. Если продаётся доступ к вашей сети — исходите из того, что атака готовится: срочная проверка на компрометацию, закрытие точки входа, проверка резервных копий. Подробнее — в статье о защите от шифровальщиков.
6. Найти причину и записать инцидент. Организации, на которые распространяется Указ № 40 о кибербезопасности, хранят записи о киберинцидентах не менее 1 года.

Как снизить вред от будущих утечек

Утечки сторонних сервисов предотвратить нельзя, но можно сделать так, чтобы они мало что давали злоумышленнику:

• второй фактор на почте, VPN, CRM и всех видах удалённого доступа;
• менеджер паролей и запрет повторного использования рабочих паролей;
• правило: рабочая почта не используется для регистрации в личных сервисах;
• минимум данных — не хранить то, что не нужно для работы (этого требует и 99-З);
• проверка подрядчиков, у которых есть ваши данные и доступы;
• обучение сотрудников: стилеры чаще всего приходят через фишинговые письма и пиратские программы — см. как обучить сотрудников и провести учебную фишинговую атаку.

Чек-лист мониторинга утечек данных компании

• Домен компании подтверждён в сервисе уведомлений об утечках, уведомления приходят на служебный адрес
• Назначен ответственный, который читает уведомления и открывает инцидент
• Для рабочих учётных записей включена проверка паролей на утечки
• Второй фактор включён на почте, VPN, CRM и удалённом доступе
• Настроены оповещения о входах из необычных мест и новых правилах пересылки в почте
• Сотрудникам запрещено заходить на теневые площадки и скачивать выложенные архивы
• Есть правило, что утёкшие данные не покупают и не «выкупают»
• Есть план реагирования на утечку персональных данных
• Определено, какие объекты нужно мониторить силами подрядчика
• Инциденты записываются в журнал и хранятся не менее 1 года

Частые вопросы

Законно ли компании мониторить даркнет на утечки?

Поиск упоминаний своих данных в публично доступных источниках и использование сервисов уведомлений об утечках законны. Риски начинаются, когда сотрудники сами заходят на криминальные площадки, общаются с продавцами, покупают или скачивают базы. Этого лучше не делать вовсе, а правовую оценку конкретной схемы мониторинга согласовать с юристом.

Достаточно ли Have I Been Pwned для компании?

Для старта — да: сервис показывает, какие рабочие адреса попали в известные утечки, и присылает уведомления о новых. Но он видит только данные, попавшие в его базу. Свежие закрытые продажи, доступы к вашей сети и документы компании он не покажет — для этого нужен мониторинг силами подрядчика.

Что делать, если пароль сотрудника нашли в утечке?

Сменить пароль везде, где он использовался, завершить активные сессии и включить второй фактор. Затем выяснить источник: если это утечка стороннего сервиса, достаточно смены пароля и запрета повторного использования. Если это лог стилера, проверьте устройство сотрудника на вредоносное ПО, иначе новый пароль утечёт тем же путём.

Можно ли выкупить свою базу, чтобы её удалили?

Не стоит. Гарантий удаления нет, копии продаются повторно, а деньги финансируют следующие атаки. У сделки с преступниками могут быть и правовые последствия для компании. Правильный путь — план реагирования: закрыть причину утечки, оценить масштаб, уведомить регулятора и затронутых людей и предупредить клиентов о возможных мошеннических звонках.

Как часто нужно проверять утечки?

Уведомления по домену работают постоянно: их настраивают один раз и назначают ответственного, который реагирует на письма. Внешние сигналы и журналы входов стоит разбирать регулярно, а не только после жалоб. Мониторинг силами подрядчика идёт непрерывно, с оповещением о критичных находках, чтобы вы узнавали о проблеме раньше мошенников и клиентов.

Вывод

Мониторинг даркнета на утечки компании начинается не с анонимного браузера, а с уведомлений по домену, внимания к внешним сигналам и журналов собственной сети. Этого хватает, чтобы узнавать о большинстве публичных утечек. Закрытые продажи, доступы к сети и документы требуют постоянного мониторинга силами подрядчика — без контакта ваших сотрудников с площадками. Если хотите понять, что уже известно о вашей компании, — расскажите о задаче, подскажем, с чего начать.

Источники: Have I Been Pwned — описание сервиса и поиска по домену (haveibeenpwned.com); Закон Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (pravo.by); Национальный центр защиты персональных данных (cpd.by); Указ Президента Республики Беларусь от 14.02.2023 № 40 «О кибербезопасности» (president.gov.by); ENISA Threat Landscape (enisa.europa.eu). Правовые последствия покупки и хранения утёкших баз, мониторинг ФИО руководителей —.