Na jednym z forów dark webu pojawił się wpis oferujący bazę danych rzekomo zawierającą dane osobowe 473 tysięcy klientów fińskiej sieci handlowej Kärkkäinen. Cena wyrażona w kryptowalucie, próbkowy plik z wybranymi rekordami, standardowy schemat ogłoszenia. Informacja szybko rozeszła się w mediach społecznościowych, docierając do klientów sieci i dziennikarzy. Firma zaprzeczyła. Przeprowadziła własną weryfikację i zewnętrzny audyt bezpieczeństwa. Wyniki: żadnego włamania, żadnych śladów wycieku danych.
Kärkkäinen nie jest w tej sprawie odosobniona. Dokładnie w tym samym czasie na tych samych forach pojawiły się analogiczne ogłoszenia dotyczące Verkkokauppa.com — jednego z największych fińskich sklepów internetowych. Firma przeprowadziła identyczny audyt i doszła do identycznych wniosków: systemy nienaruszone, brak jakichkolwiek wskaźników kompromitacji danych. To zbieżność, która sama w sobie mówi dużo. Kiedy dwa różne podmioty atakowane są jednocześnie tą samą metodą i obie niezależne weryfikacje dają ten sam rezultat, przypadkowe przesłanki zamieniają się w dość wyraźny schemat.
Sprzedaż fałszywych danych pod cudzą marką to znana praktyka w środowisku cyberprzestępczym. Mechanizmy są różne, ale wszystkie opierają się na tym samym założeniu: reputacja rozpoznawalnej firmy podnosi wiarygodność oferty. Najczęstsza metoda to zebranie starych, wyciekłych wcześniej baz danych z zupełnie innych incydentów i przepakowanie ich pod nową nazwą.
Inną opcją jest scraping — masowe pobieranie publicznie dostępnych danych ze stron internetowych i katalogów, które technicznie nie stanowi włamania do systemu, ale pozwala stworzyć przekonujące na pierwszy rzut oka zestawy. Bywa też, że dane są po prostu sfabrykowane — wystarczy przygotować kilkadziesiąt realnie wyglądających próbek, żeby skusić nabywców.
Nabywcami w takich transakcjach są zazwyczaj inni przestępcy, chcący kupić gotową bazę do phishingu albo ataków na przejęcie kont. Sprzedawca inkasuje kryptowalutę, dostarcza bezwartościowy plik i znika. Ofiara transakcji — zarówno rzekomy poszkodowany klient, jak i nabywca bazy danych — dostaje nic lub coś, co pochodzi z zupełnie innego miejsca. To oszustwo skierowane w obie strony jednocześnie.
Dla rzeczywistych klientów Kärkkäinen czy Verkkokauppa.com sytuacja wygląda następująco: zewnętrzne audyty nie potwierdziły żadnego wycieku, co jest dobrą informacją. Jednocześnie warto pamiętać, że nasze dane mogły wyciec z innych serwisów w przeszłości — i to w połączeniu z nową sytuacją może być dla kogoś niepokojące.
Serwis Have I Been Pwned pozwala sprawdzić, czy dany adres e-mail pojawił się w którejkolwiek z historycznych, publicznie udokumentowanych baz wyciekłych danych. To narzędzie niezwiązane z Kärkkäinen — po prostu agreguje wszystkie znane incydenty z ostatnich lat.
W przypadku rzeczywistego podejrzenia kradzieży tożsamości fińskie prawo i zasoby rządowe na platformie Suomi.fi oferują praktyczne kroki, w tym możliwość zablokowania zdolności kredytowej czy weryfikacji, czy na dane osoby nie zostały zaciągnięte zobowiązania. Na razie jednak nic nie wskazuje na to, żeby w przypadku tych dwóch firm takie działania były konieczne. Audyty mówią to samo: dane są bezpieczne, a ogłoszenie na dark webie to najprawdopodobniej próba wyłudzenia od innych przestępców.
