Dados Roubados na Dark Web: Estatísticas e Riscos

A circulação de dados roubados na dark web atingiu níveis sem precedentes, transformando o cibercrime numa indústria altamente profissionalizada e rentável. Compreender as estatísticas e os padrões deste comércio clandestino é essencial para que os gestores e responsáveis de TI em Portugal consigam antecipar ameaças antes de compromissos graves na infraestrutura.

Todos os dias, milhões de credenciais empresariais, registos confidenciais e dados financeiros são negociados em fóruns restritos e mercados da rede Tor. Quando os atacantes obtêm um par de credenciais válido, não precisam de explorar vulnerabilidades complexas: basta iniciarem sessão na rede corporativa.

Panorama global: o volume de dados roubados na dark web

Relatórios globais de cibersegurança, como o *Data Breach Investigations Report* da Verizon e estudos da ENISA, indicam que o roubo de credenciais está na génese de mais de 80% das intrusões corporativas. Nos últimos anos, os fóruns clandestinos registaram um crescimento exponencial no volume de ficheiros disponibilizados.

As principais métricas que desenham este cenário incluem:

• ▰Milhares de milhões de credenciais expostas: bases de dados agregadas (*combolists*) circulam livremente, contendo combinações de correio eletrónico e palavras-passe de serviços corporativos e pessoais.
• ▰Disseminação massiva de Infostealers: famílias de malware como RedLine, Vidar e Lumma infetam computadores pessoais e profissionais, extraindo instantaneamente sessões ativas (*session cookies*), credenciais guardadas no navegador e dados de preenchimento automático.
• ▰Proliferação de corretores de acesso inicial (*Initial Access Brokers*): agentes especializados que não realizam ataques diretos, mas vendem credenciais RDP e VPN de redes empresariais a grupos de ransomware pelo valor médio de algumas centenas a milhares de euros.

Tipos de informação empresarial mais comercializados na dark web

A ideia de que a dark web apenas transaciona dados de cartões de crédito é hoje ultrapassada. O valor real reside nos ativos que conferem persistência e autoridade dentro de uma organização.

Os registos mais procurados e monetizados abrangem:

• ▰Credenciais de acesso corporativo: acessos a portais VPN, serviços de ambiente de trabalho remoto (RDP), contas Microsoft 365 e Google Workspace.
• ▰Sessões ativas e tokens de autenticação: ficheiros extraídos de navegadores que permitem contornar mecanismos de autenticação multifator (MFA) sem necessidade da palavra-passe.
• ▰Documentação confidencial e propriedade intelectual: dados descarregados em incidentes de dupla extorsão, incluindo contratos, relatórios financeiros e projetos de engenharia.
• ▰Bases de dados de clientes e colaboradores: ficheiros com números de identificação fiscal, moradas, contactos e detalhes bancários sujeitos a sanções rigorosas no âmbito do RGPD.

O impacto real nas empresas e no tecido económico em Portugal

O ecossistema empresarial português, caracterizado por uma forte presença de pequenas e médias empresas (PMEs) e cadeias de fornecimento integradas, é um alvo prioritário para ataques automatizados. De acordo com os relatórios do Centro Nacional de Cibersegurança (CNCS), os incidentes de engenharia social, roubo de credenciais e ransomware mantêm-se entre as maiores preocupações nacionais.

O impacto direto de ter dados roubados na dark web reflete-se em três áreas críticas:

• ▰Paralisação de operações: o acesso inicial vendido a grupos de ransomware resulta frequentemente na encriptação de servidores e na interrupção de serviços durante dias ou semanas.
• ▰Custos financeiros e regulatórios: despesas forenses, potenciais coimas da Comissão Nacional de Proteção de Dados (CNPD) e encargos legais decorrentes da não comunicação atempada de incidentes.
• ▰Danos reputacionais severos: perda de confiança por parte de clientes e parceiros estratégicos quando os dados confidenciais são publicados em páginas de fuga (*leak sites*).

Da infeção à venda: o ciclo de vida dos dados na dark web

Para defender a infraestrutura é indispensável conhecer a cadeia de valor dos atacantes. A viagem de um dado corporativo segue etapas previsíveis:

• ▰Compromisso inicial: o utilizador é vítima de *phishing* ou descarrega software não autorizado com malware integrado no seu dispositivo.
• ▰Exfiltração automática: o malware recolhe credenciais, cookies e histórico do sistema em poucos segundos e envia-os para um servidor de comando e controlo (C2).
• ▰Triagem e empacotamento: os atacantes organizam os registos por domínio empresarial, país e privilégio de acesso (ex.: contas de administrador ou utilizadores comuns).
• ▰Comercialização: os lotes (*logs*) são colocados à venda em mercados clandestinos ou canais privados de plataformas de mensagens associadas à dark web.
• ▰Exploração secundária: compradores utilizam os acessos para movimentação lateral, fraude de faturas (CEO Fraud / BEC) ou implantação de ransomware.

Estratégias essenciais para mitigar a exposição de credenciais

Reduzir o risco de exposição exige uma abordagem em camadas que combine processos técnicos, formação contínua e visibilidade proativa sobre o exterior do perímetro.

Recomenda-se a implementação das seguintes medidas:

• ▰Implementar MFA resistente a phishing: priorizar métodos de autenticação baseados em FIDO2/chaves de segurança física em vez de códigos SMS facilmente intercetáveis.
• ▰Monitorização contínua da dark web: utilizar serviços especializados que detetem menções ao domínio da empresa, e-mails de colaboradores e credenciais expostas em tempo real.
• ▰Gestão rigorosa de acessos remotos: eliminar portas RDP expostas diretamente à Internet, utilizando ligações VPN com validação de postura do dispositivo e acesso condicional.
• ▰Avaliações regulares de vulnerabilidades e pentests: testar as defesas externas e internas para identificar portas de entrada antes dos atacantes.
• ▰Formação de consciencialização para colaboradores: treinar as equipas para identificar campanhas de engenharia social e não guardar palavras-passe corporativas em dispositivos pessoais.

Perguntas frequentes

Quanto tempo demora até uma credencial roubada surgir na dark web?

Pode demorar desde poucas horas até várias semanas. Em ataques automáticos com infostealers, os registos são frequentemente carregados em mercados clandestinos no próprio dia da infeção.

As PMEs portuguesas são visadas ou apenas as grandes organizações?

As PMEs representam a maioria dos registos expostos. Os cibercriminosos utilizam ferramentas automáticas massivas que recolhem credenciais indistintamente, procurando empresas com menor maturidade defensiva para exploração rápida.

Mudar a palavra-passe é suficiente após uma fuga de informação?

Não. Se a sessão ativa (*session cookie*) tiver sido roubada, o atacante pode aceder sem a palavra-passe. É necessário revogar todas as sessões ativas, rever permissões atribuídas e validar a integridade do dispositivo do utilizador.

Próximo passo

Saber se os seus colaboradores ou domínios empresariais constam atualmente em bases de dados clandestinas é o primeiro passo para travar invasões antes que causem danos operacionais.

Peça o relatório gratuito de exposição da CyberScan e receba uma análise detalhada sobre credenciais, acessos e ativos da sua empresa detetados na dark web.