A Intel Security divulgou o relatório Hidden Data Economy, que mostra como diferentes tipos de dados roubados estão sendo oferecidos em pacotes para cibercriminosos e os valores de oferta para cada tipo de dados. O McAfee Labs do Grupo Intel Security analisou os valores de dados de cartões de crédito e débito roubados, credenciais de contas, serviços de transferências bancárias sigilosas, credenciais de serviços de pagamentos online, de serviços de conteúdo premium, de redes corporativas, de contas de programas de fidelidade e credenciais de conta de leilão online.
"Como qualquer economia não regulamentada e eficiente, o ecossistema do cibercrime tem evoluído rapidamente para oferecer muitas ferramentas e serviços a qualquer um que aspire por um comportamento criminoso", relatou Raj Samani, CTO da Intel Security EMEA. "Esse mercado de "cibercrime como serviço" tem sido o principal impulsionador para a explosão no tamanho, frequência e na gravidade dos ataques cibernéticos. O mesmo pode ser dito da proliferação de modelos de negócios criados para vender dados roubados e fazer com que o cibercrime compense."
Ao longo dos anos, a equipe do McAfee Labs vem trabalhando junto a provedores de segurança em TI, órgão de aplicação de leis e outros para identificar e avaliar vários sites na internet, salas de bate-papo e outras plataformas online, comunidades e mercados onde dados roubados são comprados e vendidos. Com base nessa experiência, os pesquisadores agora podem fornecer uma avaliação global do "estado da economia do crime cibernético", com as ilustrações dos principais tipos e valores de dados.
Cartões de pagamento
Dados de cartões talvez sejam os mais conhecidos tipos de dados roubados e vendidos. Os pesquisadores descobriram uma hierarquia de valores na forma como os dados roubados são empacotados, calculados e vendidos no mercado negro. Uma oferta básica inclui um número válido gerado por software que combina um número de conta primário (PAN), uma data de validade e um número CVV2 (código de segurança). Os vendedores referem-se a uma combinação de número válido como "Aleatório". Geradores de número de cartão de crédito válido podem ser comprados ou encontrados on-line gratuitamente.
Os preços sobem quando a oferta inclui informações adicionais que permite aos criminosos fazer mais coisas com os dados principais. Isso inclui dados como número da conta bancária, data de nascimento da vítima e informações categorizadas como "Fullzinfo", incluindo o endereço de faturamento, senha, número da previdência social, data de nascimento, nome de solteira da mãe e até mesmo o nome de usuário e a senha usados para acessar, gerenciar e alterar a conta do titular do cartão on-line.
A tabela a seguir ilustra a média de preços para informações sobre cartões de crédito e débito em diversas regiões, com base na combinação de elementos de dados disponíveis.
"Um criminoso em posse do equivalente digital de um cartão físico pode fazer compras ou saques até que a vítima entre em contato com a empresa emissora do cartão e conteste as cobranças," continuou Samani. "Fornecer a esse criminoso amplas informações pessoais que podem ser usadas para "verificar" a identidade do titular de um cartão, ou pior, permitir que o bandido acesse a conta e altere essas informações faz com que o potencial de um grande prejuízo financeiro aumente consideravelmente".
Contas de serviços de pagamento
Os valores para as contas de serviço de pagamento on-line contratadas parecem ser ditados exclusivamente pelo saldo em conta. Isso se deve, provavelmente, a suas utilizações e cenários limitados para explorar. Estima-se que credenciais de login para contas com saldo entre US$400 e US$1 mil custem entre US$20 e US$50, enquanto que as credenciais de login de contas com saldo entre US$5 mil e US$8 mil variam de US$200 a US$300.
Credenciais de login
Criminosos cibernéticos podem adquirir credenciais de login de serviços bancários e serviços que permitam transferir fundos roubados através de fronteiras internacionais de modo indetectável. O McAfee Labs encontrou credenciais para uma conta com US$2.200 de saldo por US$190. Credenciais de login bancário, com a possibilidade de transferir fundos para bancos dos EUA de modo indetectável, variavam de US$500 para uma conta com saldo de US$6 mil e US$1.200 para uma conta com saldo de US$20 mil. Transferências para o Reino Unido variavam de US$700 para uma conta com saldo de US$10 mil e US$900 para uma conta com saldo de US$16 mil.
Serviços de conteúdo online
O relatório também avalia os preços do mercado negro para credenciais de conta de serviços de conteúdos online, tais como streaming de vídeo on-line (US$0,55 a US$1), serviços de streaming de canais a cabo premium (US$7,50), serviços de histórias em quadrinhos premium (US$0,55) e streaming de esportes profissionais (US$15). Esses preços relativamente baixos sugerem que os criminosos cibernéticos têm multiplicado as operações automáticas de roubo para tornar os seus negócios rentáveis.
Fidelidade, contas comunitárias
Alguns serviços on-line, tais como as credenciais do programa de fidelidade de um hotel e contas de leilões on-line, parecem ser alvos de baixo valor, mas os pesquisadores descobriram que essas credenciais também são oferecidas para venda no mercado negro. Aparentemente, elas permitem que os compradores realizem compras online simulando serem suas vítimas. Os pesquisadores encontraram uma conta de fidelidade de uma grande rede de hotéis com 100 mil pontos à venda por US$20 e uma conta comunitária de um leilão on-line de alta reputação ao valor de RS$1.400.
