ข้อมูลส่วนตัวของคุณมีค่าแค่ไหนสำหรับอาชญากรไซเบอร์
ตลาดมืดสำหรับข้อมูลส่วนบุคคลที่ถูกขโมยกระตุ้นให้เกิดการละเมิดข้อมูลส่วนใหญ่

การละเมิดข้อมูลกลายเป็นเรื่องปกติและ ข้อมูลนับพันล้านรายการถูกขโมยไปทั่วโลกทุกปี. การรายงานข่าวของสื่อส่วนใหญ่เกี่ยวกับการละเมิดข้อมูลมักจะเน้นที่การละเมิดที่เกิดขึ้น จำนวนบันทึกที่ถูกขโมย และผลกระทบทางการเงินและทางกฎหมายของเหตุการณ์ที่เกิดขึ้นสำหรับองค์กรและบุคคลที่ได้รับผลกระทบจากการละเมิด แต่จะเกิดอะไรขึ้นกับข้อมูลที่ถูกขโมยระหว่างเหตุการณ์เหล่านี้?

ในฐานะที่เป็น นักวิจัยด้านความปลอดภัยทางไซเบอร์ฉันติดตามการละเมิดข้อมูลและตลาดมืดในข้อมูลที่ถูกขโมย ปลายทางของข้อมูลที่ถูกขโมยขึ้นอยู่กับว่าใครอยู่เบื้องหลังการละเมิดข้อมูล และเหตุใดพวกเขาจึงขโมยข้อมูลบางประเภท ตัวอย่างเช่น เมื่อผู้ขโมยข้อมูลถูกกระตุ้นให้ทำให้บุคคลหรือองค์กรอับอาย เปิดเผยการกระทำผิด หรือปรับปรุงความปลอดภัยในโลกไซเบอร์ พวกเขามักจะเปิดเผยข้อมูลที่เกี่ยวข้องในสาธารณสมบัติ

ในปี 2014 แฮกเกอร์ได้รับการสนับสนุนจากเกาหลีเหนือ ขโมยข้อมูลพนักงานของ Sony Pictures Entertainment เช่น หมายเลขประกันสังคม บันทึกทางการเงิน ข้อมูลเงินเดือน ตลอดจนอีเมลของผู้บริหารระดับสูง จากนั้นแฮ็กเกอร์ก็เผยแพร่อีเมลเพื่อทำให้บริษัทอับอาย อาจเป็นโทษสำหรับการปล่อย releasing คอมเมดี้ เกี่ยวกับแผนการลอบสังหารผู้นำเกาหลีเหนือ คิมจองอึน

บางครั้งเมื่อข้อมูลถูกขโมยโดยรัฐบาลแห่งชาติ จะไม่มีการเปิดเผยหรือขาย มันถูกใช้เพื่อจารกรรมแทน ตัวอย่างเช่น บริษัทโรงแรมแมริออท ตกเป็นเหยื่อของการละเมิดข้อมูลในปี 2018 ซึ่งข้อมูลส่วนบุคคลของแขก 500 ล้านคนถูกขโมย ผู้ต้องสงสัยหลักในเหตุการณ์นี้คือแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลจีน ทฤษฎีหนึ่งก็คือว่า รัฐบาลจีนขโมยข้อมูลนี้ เป็นส่วนหนึ่งของความพยายามในการรวบรวมข้อมูลเกี่ยวกับเจ้าหน้าที่รัฐบาลสหรัฐและผู้บริหารองค์กร


กราฟิกสมัครสมาชิกภายในตัวเอง


แต่การแฮ็กส่วนใหญ่ดูเหมือนจะเป็นการขายข้อมูลเพื่อทำเงิน

แต่การแฮ็กส่วนใหญ่ดูเหมือนจะเป็นการขายข้อมูลเพื่อทำเงิน

มัน (ส่วนใหญ่) เกี่ยวกับเงิน

แม้ว่าการละเมิดข้อมูลอาจเป็นภัยคุกคามต่อความมั่นคงของชาติ แต่ 86% นั้นเกี่ยวกับเงิน และ 55% นั้นกระทำโดยกลุ่มอาชญากรที่จัดตั้งขึ้น รายงานการละเมิดข้อมูลประจำปีของ Verizon. ข้อมูลที่ถูกขโมยมักจะถูกขายทางออนไลน์บน เว็บมืด. ตัวอย่างเช่น ในปี 2018 แฮกเกอร์ เสนอขายมากกว่า 200 ล้านแผ่น ที่มีข้อมูลส่วนบุคคลของคนจีน ซึ่งรวมถึงข้อมูลเกี่ยวกับลูกค้า 130 ล้านรายของกลุ่มโรงแรมจีน Huazhu Hotels Group

ในทำนองเดียวกัน ข้อมูลที่ถูกขโมยจาก เป้า, แซลลี่บิวตี้, พีเอฟช้าง, Harbor Freight และ โฮมดีโป ปรากฏบนเว็บไซต์ตลาดมืดออนไลน์ที่เรียกว่า เครื่องช่วยหายใจ. แม้ว่าจะค้นหา Marketplace ได้ง่าย เช่น Rescator ผ่านการค้นหาของ Google แบบง่ายๆ แต่ Marketplace อื่นๆ ใน Dark Web สามารถพบได้โดยใช้ เว็บเบราว์เซอร์พิเศษ.

ผู้ซื้อสามารถซื้อข้อมูลที่พวกเขาสนใจได้ วิธีทั่วไปในการชำระเงินสำหรับการทำธุรกรรมคือด้วย bitcoins หรือผ่าน Western Union ราคาขึ้นอยู่กับประเภทของข้อมูล อุปสงค์ และอุปทาน ตัวอย่างเช่น ส่วนเกินขนาดใหญ่ ของที่ถูกขโมย ข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้ ทำให้ราคาของมันลดลงจาก US$4 สำหรับข้อมูลเกี่ยวกับบุคคลในปี 2014 เป็น $1 ในปี 2015 ทิ้งอีเมล มีที่อยู่อีเมลตั้งแต่แสนถึงสองล้านรายการในราคา $10 และ ฐานข้อมูลผู้มีสิทธิเลือกตั้ง จากรัฐต่าง ๆ ขายในราคา $ 100

ข้อมูลส่วนตัวของคุณมีค่าแค่ไหนสำหรับอาชญากรไซเบอร์ข้อมูลส่วนตัวของคุณมีค่าแค่ไหนสำหรับอาชญากรไซเบอร์

ข้อมูลที่ถูกขโมยไปอยู่ที่ไหน

ผู้ซื้อใช้ข้อมูลที่ถูกขโมยได้หลายวิธี สามารถใช้หมายเลขบัตรเครดิตและรหัสความปลอดภัยเพื่อสร้างบัตรโคลนสำหรับการทำธุรกรรมที่เป็นการฉ้อโกง หมายเลขประกันสังคม ที่อยู่บ้าน ชื่อเต็ม วันเดือนปีเกิด และข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้อื่นๆ สามารถใช้ในการโจรกรรมข้อมูลระบุตัวตนได้ ตัวอย่างเช่น ผู้ซื้อสามารถขอสินเชื่อหรือบัตรเครดิตภายใต้ชื่อผู้เสียหายและ ยื่นแบบแสดงรายการภาษีฉ้อโกง.

บางครั้ง ซื้อข้อมูลส่วนบุคคลที่ถูกขโมย stolen by บริษัท การตลาด หรือบริษัทที่เชี่ยวชาญในแคมเปญสแปม ผู้ซื้อยังสามารถใช้อีเมลที่ถูกขโมยในการโจมตีแบบฟิชชิงและวิศวกรรมสังคมอื่นๆ และเพื่อแจกจ่ายมัลแวร์

แฮกเกอร์กำหนดเป้าหมายข้อมูลส่วนบุคคลและข้อมูลทางการเงินมาเป็นเวลานานเนื่องจากขายได้ง่าย ข้อมูลการดูแลสุขภาพมี กลายเป็นแหล่งท่องเที่ยวขนาดใหญ่สำหรับขโมยข้อมูล ในปีที่ผ่านมา. ในบางกรณีแรงจูงใจคือการกรรโชก

ตัวอย่างที่ดีคือการขโมยข้อมูลผู้ป่วยจากบริษัทฝึกจิตบำบัดของฟินแลนด์ Vastaamo แฮกเกอร์ใช้ข้อมูลที่พวกเขาขโมยมาเพื่อเรียกค่าไถ่จาก Vastaamo ไม่เพียงเท่านั้น แต่ยังมาจากผู้ป่วยด้วย พวกเขา ผู้ป่วยที่ส่งอีเมล ด้วยการคุกคามที่จะเปิดเผยบันทึกสุขภาพจิตของพวกเขาเว้นแต่ผู้ที่ตกเป็นเหยื่อจะจ่ายค่าไถ่จำนวน 200 ยูโรเป็น bitcoin อย่างน้อย 300 สิ่งเหล่านี้ มีการโพสต์บันทึกที่ถูกขโมยทางออนไลน์ตามรายงานของ Associated Press

ข้อมูลที่ถูกขโมยรวมถึงประกาศนียบัตรทางการแพทย์ ใบอนุญาตทางการแพทย์ และเอกสารประกัน ยังสามารถใช้เพื่อ used สร้างพื้นฐานทางการแพทย์.

จะรู้ได้อย่างไรและต้องทำอย่างไร

คุณสามารถทำอะไรได้บ้างเพื่อลดความเสี่ยงจากข้อมูลที่ถูกขโมย? ขั้นตอนแรกคือการค้นหาว่าข้อมูลของคุณถูกขายบนเว็บมืดหรือไม่ คุณสามารถใช้เว็บไซต์เช่น haveibeenpwned และ หน่วยสืบราชการลับX เพื่อดูว่าอีเมลของคุณเป็นส่วนหนึ่งของข้อมูลที่ถูกขโมยหรือไม่ เป็นความคิดที่ดีที่จะสมัครสมาชิก บริการป้องกันการโจรกรรมข้อมูลประจำตัว.

หากคุณตกเป็นเหยื่อของการละเมิดข้อมูล คุณสามารถรับ ขั้นตอนเหล่านี้ เพื่อลดผลกระทบ: แจ้งหน่วยงานรายงานเครดิตและองค์กรอื่นๆ ที่รวบรวมข้อมูลเกี่ยวกับคุณ เช่น ผู้ให้บริการดูแลสุขภาพ บริษัทประกันภัย ธนาคาร และบริษัทบัตรเครดิต และเปลี่ยนรหัสผ่านสำหรับบัญชีของคุณ คุณยังสามารถรายงานเหตุการณ์ดังกล่าวไปยัง Federal Trade Commission เพื่อรับ แผนงาน เพื่อฟื้นจากเหตุการณ์สนทนา

เกี่ยวกับผู้เขียน

รวิ เสน, รองศาสตราจารย์ด้านการจัดการสารสนเทศและการดำเนินงาน, มหาวิทยาลัย Texas A&M

บทความนี้ตีพิมพ์ซ้ำจาก สนทนา ภายใต้ใบอนุญาตครีเอทีฟคอมมอนส์ อ่าน บทความต้นฉบับ.