Datenschutzverletzungen sind ein fester Bestandteil der Cyberbedrohungslandschaft. Sie erzeugen sehr viel Medienaufmerksamkeit, weil die Menge der gestohlenen Informationen oft groß ist und weil so viel davon ist Daten Menschen würden lieber privat bleiben. Dutzende von hochkarätigen Verstößen haben in den letzten Jahren gezielt abgefangen nationale Einzelhändler, Gesundheitsdienstleister und sogar Datenbanken der BundesregierungErmitteln von Sozialversicherungsnummern, Fingerabdrücken und sogar Hintergrund-Check-Ergebnissen. Obwohl Verstöße, die sich auf Verbraucherdaten auswirken, alltäglich geworden sind, gibt es andere Ressourcen, die, wenn sie ins Visier genommen werden, zu erheblichen Sicherheitsbedenken führen. Kürzlich behauptete ein Hacker, er solle verkaufen 32 Millionen Twitter Benutzernamen und Passwörter auf einem unterirdischen Marktplatz.

Aber was passiert nach einer Verletzung? Was macht ein Angreifer mit den gesammelten Informationen? Und wer will es überhaupt? Meine Forschungsprojekteund verschiedene Studien von anderen Computer und Sozialwissenschaftler, zeigt, dass gestohlene Daten in der Regel von Hackern an andere Online-Märkte verkauft werden. Verkäufer nutzen typischerweise ihre technischen Fähigkeiten, um erwünschte Informationen zu sammeln, oder arbeiten im Auftrag von Hackern als Frontmann, um Informationen anzubieten. Käufer möchten gestohlene Informationen zu ihrem maximalen finanziellen Vorteil nutzen, einschließlich des Kaufs von Waren mit gestohlenen Kreditkartennummern oder mit Geldtransfers, um direkt Bargeld zu erwerben. Im Fall von Social-Media-Account-Daten könnten Käufer die Internet-Konten von Menschen für Lösegeld halten, die Daten verwenden, um gezieltere Angriffe auf Opfer zu erstellen, oder als gefälschte Follower, die den Ruf von legitimen Accounts in Frage stellen.

Aufgrund der heimlichen Natur des Online-Schwarzmarkts ist die Gesamtzahl der abgeschlossenen Verkäufe gestohlener Informationen schwer zu quantifizieren. Die meisten Verkäufer bewerben ihre Daten und Dienstleistungen in Webforen, die wie jeder andere Online-Händler wie Amazon funktionieren, wo Käufer und Verkäufer sich gegenseitig bewerten und die Qualität ihrer Produkte - persönliche Informationen - verkauft wird. Kürzlich, meine Kollegen und ich schätzte das Einkommen von Datenkäufern und Verkäufern Verwendung von Online-Feedback, das nach dem Verkauf veröffentlicht wurde. Wir untersuchten das Feedback zu Transaktionen mit Kredit- und Debitkarteninformationen, von denen einige auch den dreistelligen Kartenprüfwert auf der Rückseite einer physischen Karte enthielten.

Wir haben festgestellt, dass Datenverkäufer in 320-Transaktionen zwischen US $ 1 Millionen und $ 2 Millionen verdient haben. Ebenso haben Käufer in 141 dieser Transaktionen geschätzte $ 1.7 Millionen und $ 3.4 Millionen durch die Verwendung der Informationen, die sie gekauft haben, verdient. Diese massiven Gewinne sind wahrscheinlich ein Hauptgrund, warum diese Datenverstöße andauern. Es besteht ein eindeutiger Bedarf an persönlichen Informationen, die zur Erleichterung von Cyberkriminalität verwendet werden können, sowie an einer robusten Quellenversorgung.

Auf den Markt kommen

Es zeigt sich, dass geheime Datenmärkte legalen Online-Märkten wie eBay und Amazon sowie Shopping-Sites legitimer Einzelhandelsunternehmen sehr ähnlich sind. Sie unterscheiden sich in der Art und Weise, wie die Märkte für die Öffentlichkeit beworben oder verborgen werden, in der technischen Kompetenz der Betreiber und in der Art und Weise, wie Zahlungen gesendet und empfangen werden.

Die meisten dieser Märkte operieren auf dem sogenannten "offenen" Web, auf Websites, die wie die meisten Websites zugänglich sind, mit herkömmlichen Webbrowser-Software wie Chrome oder Firefox. Sie verkaufen verkaufen Kredit-und Debitkarten-Kontonummern, sowie andere Formen von Daten einschließlich medizinische Information.

Eine kleine, aber aufstrebende Anzahl von Märkten arbeitet in einem anderen Teil des Internets, dem "Dark Web". Auf diese Websites kann nur mit spezieller Verschlüsselungssoftware und Browserprotokollen zugegriffen werden, die den Standort von Benutzern verbergen, die an diesen Websites teilnehmen kostenloser Tor-Service. Es ist unklar, wie viele dieser dunklen Märkte existieren, obwohl es möglich ist, dass Tor-basierte Dienste häufiger werden als andere Underground-Märkte nutzen diese Plattform.

Käufer und Verkäufer verbinden

Datenverkäufer veröffentlichen Informationen darüber, welche Art von Daten sie haben, wie viel davon, Preisgestaltung, der beste Weg für einen potenziellen Käufer, sie zu kontaktieren und ihre bevorzugte Zahlungsmethode. Verkäufer akzeptieren Online-Zahlungen über verschiedene elektronische Mechanismen, einschließlich Web Money, Yandex und Bitcoin. Einige Verkäufer akzeptieren sogar Zahlungen in der realen Welt über Western Union und MoneyGram, aber sie verlangen oft zusätzliche Gebühren, um die Kosten für die Verwendung von Vermittlern zu decken, um internationale Währungen zu transferieren und zu erhalten.

Die meisten Datenverhandlungen finden entweder im Online-Chat oder auf einem vom Verkäufer bestimmten E-Mail-Konto statt. Sobald sich Käufer und Verkäufer auf ein Geschäft geeinigt haben, bezahlt der Käufer den Verkäufer im Voraus und muss dann die Lieferung des Produkts abwarten. Es dauert zwischen ein paar Stunden bis zu ein paar Tagen, bis ein Verkäufer die verkauften Daten freigibt.

Überprüfen der Transaktion

Wenn ein Käufer einen Deal tätigt, aber der Verkäufer niemals die Daten sendet, oder was ankommt, enthält er inaktive oder ungenaue Informationen, wird der Käufer nicht wegen Vertragsbruch klagen oder das FBI anrufen, um sich zu beschweren, dass er abgezockt wurde. Der illegale Charakter der Transaktion macht den Käufer weitgehend unfähig, herkömmliche Streitbeilegungsverfahren anzuwenden.

Um diese Macht wieder ins Gleichgewicht zu bringen, spielen soziale Kräfte eine Rolle, die die Belohnungen für Käufer und Verkäufer maximieren und das Verlustrisiko minimieren. Wie in Systemen von eBay bis Lyft können Käufer und Verkäufer in vielen Underground-Märkten öffentlich die Einhaltung eines ausgehandelten Vertrags überprüfen. Die Parteien arbeiten anonym, haben aber Benutzernamen, die von Transaktion zu Transaktion gleich bleiben und im Laufe der Zeit ihren Ruf auf dem Markt ausbauen. Das Posten von Bewertungen und Feedback zu Kauf- und Verkaufserfahrungen fördert das Vertrauen und macht den Marktplatz transparenter. Feedback zeigt alle Benutzer an, die nach Gemeinschaftsnormen arbeiten, deren Verhalten besorgniserregend ist und die neuen Benutzer möglicherweise noch nicht alle Regeln kennen.

Diese Fähigkeit, Feedback zu veröffentlichen und zu bewerten, ist ein interessanter Weg für Marktstörungen. Wenn alle Verkäufer in einem Markt mit negativem und positivem Feedback überschwemmt würden, hätten Käufer Schwierigkeiten herauszufinden, wer vertrauenswürdig ist. Etwas Informatiker haben vorgeschlagen, dass dieser Ansatz den Datenmarkt ohne die Notwendigkeit von Festnahmen und traditionellen Strafverfolgungsmaßnahmen stören könnte. Mehr Forschung darüber, wie der Markt für gestohlene Daten gekürzt werden könnte, könnte diese und andere mögliche Strategien untersuchen.

Über den Autor

Thomas Holt, Associate Professor für Strafjustiz, Michigan State University

Dieser Artikel wurde ursprünglich veröffentlicht am Das Gespräch.. Lies das Original Artikel.

Bücher zum Thema

at InnerSelf Market und Amazon