150亿用户账户信息在暗网上被抢购一空

根据数字阴影（Digital Shadows）的研究，超过150亿个被盗账户凭据在网络犯罪论坛上被抢购一空，其中50亿个账户信息属于“首次上架”，此前没有被出售过。

Digital Shadows在网络犯罪市场（尤其是暗网）发现的用户名和密码来自超过10万个单独的数据泄露源，包括财务账户和流媒体服务的访问凭据，甚至包括可访问组织关键系统的管理员账户。

研究人员花了一年半时间分析犯罪分子利用窃取的账户信息的策略，发现自2018年以来，盗用凭据数量增加了300%。

暗网泄露账户信息分类占比 数据来源：Digital Shadows

大多数被盗的登录信息属于消费者，虽然许多信息通常是免费的，但那些在售的付费登录信息每个账户平均要价约为15美元。根据账户类型的不同，价格可能会上升或下降。其中金融和银行账户价格最高，为70美元。其余的（通常是流媒体账户、社交媒体和其他服务）账户价格通常低于10美元。

针对消费者的攻击只是网络犯罪的冰山一角；不法分子更多将目光投向“大鱼”——可以让他们渗透到关键系统中的“高价值账户”。此类账户平均价格超过3100美元，已知最贵的账户价格炒到了12万美元。

不过，这个价格可能并不出人意料，因为破坏整个公司网络获取的可销售数据或勒索赎金的回报要高得多。

Digital Shadows指出，不法分子获取数据最直接的办法是入侵公司网络窃取数据，但是还有很多更加“轻松”高效的办法。例如使用网络钓鱼活动或投放恶意软件（例如键盘记录器），以及从市场购买登录信息或使用论坛上免费提供的账户信息。

有一种方法尤其值得关注，那就是账户接管即服务（account takeover as a service）市场的兴起。使用该服务的犯罪分子无需购买账户凭证，而是在有限的时间内租用身份账户。此类服务如此受欢迎，以至于论坛中该市场的邀请码“一票难求”。

参考资料

150亿暗网在售失窃账户调查报告：

https://resources.digitalshadows.com/whitepapers-and-reports/from-exposure-to-takeover