Dark web: significato

In breve

Conviene distinguere tre livelli. Il web di superficie è quello indicizzato dai motori di ricerca. Il deep web è tutto ciò che non è indicizzato: caselle di posta, aree riservate, gestionali online, ed è la parte più grande della rete, del tutto normale. Il dark web è una piccola porzione del deep web accessibile solo con software appositi; i siti della rete Tor hanno indirizzi che terminano in .onion.

L'anonimato in sé non è illegale: il dark web è usato anche da giornalisti e attivisti in Paesi che censurano la rete. Ma è anche il luogo in cui si organizza una parte importante del crimine informatico.

Cosa ci circola di un'azienda

• credenziali di dipendenti, provenienti da violazioni di servizi terzi su cui si erano registrati con l'indirizzo aziendale, o da malware che rubano le password salvate nel browser;
• accessi pronti all'uso (VPN, desktop remoto, caselle di posta) venduti da intermediari a chi poi conduce l'attacco;
• dati sottratti nel corso di un ransomware, pubblicati sui siti di rivendicazione dei gruppi criminali quando la vittima non paga;
• informazioni utili a preparare attacchi mirati, come organigrammi e indirizzi email per il phishing.

Perché è importante

Una password esposta non è un problema solo per l'account da cui proviene. Gli attaccanti la provano su posta, VPN e altri servizi, e spesso ne deducono lo schema con cui la persona costruisce le proprie password. Chi è già stato esposto diventa inoltre un bersaglio preferito. Sapere quali credenziali circolano permette di forzarne il cambio e di attivare l'autenticazione a più fattori prima che vengano usate.

Allo stesso modo, trovare il nome della tua azienda su un sito di rivendicazione può essere il primo segnale di un data breach, tuo o di un fornitore.

Esempio

Il monitoraggio segnala che l'indirizzo della responsabile acquisti compare in una raccolta di credenziali proveniente dalla violazione di un sito di e-commerce, con una password simile a quella aziendale ("Estate2023!" contro "Inverno2024!"). L'azienda forza il cambio della password, attiva il secondo fattore sulla casella e suggerisce un gestore di password. Due settimane dopo i log della posta mostrano tentativi di accesso con varianti della vecchia password: tutti respinti.

Termini collegati

• Threat intelligence
• Attack Surface Management
• Data breach
• Ransomware