Todo ano, bilhões de credenciais circulam em marketplaces da dark web, fóruns clandestinos e canais fechados de grupos criminosos. A maioria dessas credenciais pertence a funcionários de empresas que nunca souberam que estavam expostas. Algumas foram capturadas há meses. Outras, há anos. E permanecem ativas porque ninguém forçou a troca.
Entender como uma credencial chega à dark web é o primeiro passo para construir uma defesa eficaz.
O ciclo de vida de uma credencial comprometida
Etapa 1: A captura
As credenciais chegam às mãos de criminosos de diferentes formas, mas algumas se destacam pelo volume e pela eficiência operacional.
Infostealer malware é de longe o método mais comum na atualidade. Programas como Redline Stealer, Vidar, Raccoon e Meta Stealer infectam máquinas de usuários, geralmente via links maliciosos, anúncios envenenados ou downloads de software pirata. Uma vez instalados, eles extraem em questão de segundos todas as senhas salvas no navegador, cookies de sessão, carteiras de criptomoedas e qualquer dado armazenado localmente. O relatório é empacotado e enviado ao operador do malware. A infecção muitas vezes é silenciosa e passa por antivírus.
Phishing direcionado captura credenciais no momento em que o usuário as digita em uma página falsa. Quando bem executado, o site é visualmente idêntico ao original e até usa certificado SSL válido. O usuário não percebe que acabou de entregar seu acesso a um servidor controlado por atacantes.
Vazamentos de terceiros acontecem quando um serviço que o funcionário usa fora do ambiente corporativo sofre uma violação. Se a mesma senha é usada no serviço comprometido e no sistema corporativo, os atacantes têm acesso indireto ao ambiente da empresa.
Ataques de força bruta e credential stuffing testam listas de credenciais já conhecidas em novos alvos. Com bilhões de pares de usuário e senha já disponíveis publicamente, essa técnica tem taxa de sucesso surpreendentemente alta contra organizações que não forçam políticas de senha forte ou autenticação multifator.
Etapa 2: A organização e venda
Após a captura, as credenciais passam por um processo de triagem. Operadores de infostealer identificam o que tem mais valor: acessos a painéis administrativos, contas de email corporativo, VPNs, portais bancários e sistemas de gestão financeira têm preço premium.
Esses "logs" são vendidos em marketplaces como o Genesis Market (desativado por ação policial, mas substituído por outros) e canais privados no Telegram. O comprador recebe não apenas a credencial, mas também cookies de sessão e fingerprint do navegador da vítima, o que permite contornar autenticação multifator em muitos casos.
Credenciais de menor valor individual são agrupadas em listas chamadas "combos" e vendidas em lote por valores muito baixos, viabilizando ataques de credential stuffing em escala.
Etapa 3: O uso malicioso
Uma credencial corporativa pode ser usada de diversas formas dependendo do nível de acesso que oferece:
Acesso inicial: O atacante entra no ambiente com credenciais legítimas, o que torna a detecção pelo SIEM muito mais difícil. Uma vez dentro, começa a fase de reconhecimento e movimento lateral.
Revenda como Initial Access: Grupos especializados em ransomware raramente fazem o trabalho sujo de comprometer o acesso inicial. Eles compram de Initial Access Brokers que já têm a entrada no ambiente corporativo pronta para uso.
Exfiltração de dados: Acesso a email corporativo pode ser suficiente para vazar propriedade intelectual, dados de clientes ou informações financeiras confidenciais.
Fraude financeira: Acesso a sistemas de gestão financeira ou aprovação de pagamentos pode resultar em transferências fraudulentas diretas.
Quanto tempo uma credencial fica exposta antes de ser usada
Estudos do setor indicam que o tempo médio entre a exposição de uma credencial e seu primeiro uso malicioso varia muito, mas pode ser de apenas algumas horas em casos de alto valor. Para credenciais em combos genéricos, o ciclo pode ser mais longo, mas ainda é medido em dias ou semanas, não meses.
O problema mais crítico é que organizações que não monitoram ativamente o vazamento de suas credenciais podem ficar expostas por meses sem saber. O atacante que comprou o acesso pode estar operando silenciosamente no ambiente corporativo, coletando dados e mapeando sistemas antes de qualquer ação perceptível.
O que fazer quando uma credencial sua é encontrada na dark web
A resposta a um alerta de credencial comprometida precisa ser imediata e bem estruturada:
Revogação imediata: A senha deve ser forçada a troca imediatamente. Sessões ativas devem ser encerradas em todos os sistemas onde aquela credencial tinha acesso.
Investigação de acesso: Verificar logs de autenticação para identificar se houve acessos suspeitos usando aquela credencial antes da detecção. Datas e horários atípicos, IPs de origem desconhecidos e volumes incomuns de dados acessados são indicadores a observar.
Verificação de dispositivo: Se a credencial foi capturada por infostealer, o dispositivo do funcionário está comprometido. É necessário investigar e limpar o dispositivo antes de reemitir credenciais.
Auditoria de acesso privilegiado: Se a credencial comprometida tinha acesso a sistemas críticos, a investigação precisa ser mais ampla. Verificar se há evidências de movimento lateral ou instalação de backdoors.
Comunicação interna: O funcionário precisa ser orientado sobre o que aconteceu e como evitar recorrência. Phishing e download de software não confiável são as principais causas de infecção por infostealer.
Como o BreachFinder automatiza esse processo
Identificar credenciais comprometidas manualmente é praticamente impossível dado o volume de fóruns, marketplaces e bases de dados que precisariam ser monitorados continuamente. O BreachFinder faz esse trabalho de forma automatizada e em tempo real.
A plataforma monitora continuamente fontes da dark web, fóruns clandestinos, canais do Telegram e bases de dados comprometidas que circulam nesses ambientes. Quando uma credencial associada aos domínios da organização monitorada é detectada, o alerta é gerado com:
Informação sobre a fonte onde a credencial foi encontrada, data estimada do vazamento, nível de criticidade baseado no tipo de acesso que a credencial oferece e recomendações de resposta imediata.
Esse processo encurta dramaticamente o tempo entre a exposição e a resposta. Em vez de descobrir o comprometimento durante ou após um incidente, a organização tem a chance de agir preventivamente, dentro da janela onde o dano ainda pode ser evitado.
Conclusão
Credenciais comprometidas são a porta de entrada mais comum para os ataques mais custosos que as organizações enfrentam hoje. Ransomware, exfiltração de dados, fraude financeira: todos começam, na maioria dos casos, com um acesso legítimo obtido de forma ilegítima.
Monitorar proativamente se as credenciais da sua organização estão circulando em ambientes clandestinos não é paranoia. É a resposta racional a um ecossistema criminoso que opera de forma profissional e em escala industrial.
