Dark Web
A dark web é a parte da internet acessível apenas por meio de redes de anonimato, como o Tor, nas quais tanto os visitantes quanto os servidores podem ocultar sua localização. Ela não é sinônimo de crime — esse mesmo anonimato beneficia jornalistas e pessoas sob vigilância —, mas é onde dados de identidade roubados são comprados e vendidos, e essa é a parte que importa para a verificação de identidade.
| Acesso | Requer um software específico; os sites não podem ser acessados por meio de navegadores comuns |
| Diferente da deep web | A deep web é tudo o que não é indexado pelos mecanismos de busca — a maior parte disso é algo comum |
| Como funciona o anonimato | Tráfego encaminhado por meio de vários repetidores, cada um dos quais conhece apenas o salto anterior e o seguinte |
| Usos legítimos | Contornar a censura, proteger fontes, comunicação privada |
| Mercados relevantes para a identidade | Credenciais roubadas, pacotes completos de identidade, imagens de documentos, digitalizações e modelos |
| Sinal de preço | Pacotes completos de identidade são vendidos a preços baixos — a oferta supera amplamente a demanda |
| O que o monitoramento detecta | A exposição após o fato, e não a violação em si |
| Consequência para a verificação | Deve-se presumir que qualquer identificador estático está disponível para compra |
Dark Web, Deep Web, Surface Web
| Camada | O que é isso | Escala |
|---|---|---|
| Web superficial | Páginas que os mecanismos de busca indexam e que qualquer pessoa pode acessar | Uma pequena fração do todo |
| Deep Web | Qualquer conteúdo protegido por login ou acesso pago, ou que não esteja indexado — e-mail, serviços bancários, bancos de dados | A esmagadora maioria |
| Dark Web | Sites acessíveis apenas por meio de redes de anonimato | Uma pequena fração da deep web |
Esses termos são usados de forma intercambiável, mas têm significados diferentes. Seu banco online fica na deep web. O mesmo vale para esta frase, se você estiver lendo-a após fazer login. A deep web é enorme e quase totalmente comum; a dark web é pequena e deliberadamente oculta.
O que é realmente vendido e quanto custa
Os mercados relevantes para a identidade abrangem um pequeno número de categorias.
Par de credenciais — combinações de e-mail e senha provenientes de violações de segurança, vendidas em grandes quantidades e utilizadas para ataque de preenchimento de credenciais em comparação com outros serviços.
Pacotes completos de identidade visual, conhecido como fullz — nome, data de nascimento, endereço, número do INSS ou de identificação nacional e, muitas vezes, respostas a perguntas de segurança comuns.
Imagens de documentos — fotografias e digitalizações de passaportes e carteiras de motorista, às vezes acompanhadas de uma selfie correspondente, com preço definido especificamente porque os processos de verificação exigem ambos.
Acesso e ferramentas — acesso a contas comprometidas e os kits de phishing e injeção utilizados para obter mais.
O preço diz mais do que o estoque. Um pacote completo de identidade é vendido por um preço muito baixo, pois a oferta é abundante e tem sido assim há anos. A implicação não é que os dados sejam baratos de se comprar — é que qualquer medida de controle cuja segurança dependa do fato de um invasor não conhecer um dado estático sobre uma pessoa já está fadada ao fracasso. Esse é todo o argumento contra autenticação baseada no conhecimento, expressos em preços de mercado.
Por que isso é importante para a verificação de identidade
A premissa correta do projeto é que todos os identificadores estáticos pertencentes a uma determinada pessoa possam ser obtidos. Nome, data de nascimento, histórico de endereços, números de identificação, credores anteriores, respostas de segurança — tudo isso. A verificação que consiste em solicitar esses dados ou comparar-lhes com um arquivo de agência de crédito equivale a confirmar que a pessoa fez o que era necessário.
O que não está à venda por nenhum preço razoável é uma pessoa viva que corresponda a um documento específico. Vender a imagem de um documento roubado é algo trivial; apresentar a pessoa a quem ele foi emitido, em tempo real, diante de uma câmera, não é. Essa assimetria é a razão pela qual a autenticação de documentos, combinada com detecção de atividade funciona mesmo quando a comparação de dados não dá certo.
A assimetria está diminuindo, mas não desaparecendo. As ferramentas generativas tornaram mais acessíveis a criação de rostos sintéticos e a manipulação de imagens de documentos, e é por isso que detecção de deepfakes e injeções agora faz parte da verificação biométrica, em vez de ser opcional a ela. Identidade falsa e identidade roubada Existem controles voltados exatamente para a população que esses mercados atendem.
O que o monitoramento da dark web não consegue fazer
Ele não consegue remover nada. Uma vez que os dados começam a circular, eles são copiados indefinidamente. Uma notificação é uma informação, não uma solução.
Ele informa a exposição após o fato ter ocorrido. Quando os dados são divulgados em um mercado monitorado, geralmente já vêm sendo negociados de forma privada há algum tempo.
A cobertura é parcial. O monitoramento abrange os mercados aos quais tem acesso. Fóruns fechados e vendas particulares não são visíveis.
Isso não informa o que foi usado. O fato de saber que um identificador está exposto não indica se alguém agiu com base nele.
Perguntas frequentes
Qual é a diferença entre a deep web e a dark web?
A deep web é tudo o que os mecanismos de busca não indexam — e-mails, serviços bancários online, bancos de dados, qualquer coisa que exija login. Ela representa a esmagadora maioria da internet e é quase inteiramente comum. A dark web é um pequeno subconjunto acessível apenas por meio de softwares de anonimato, como o Tor.
Que tipos de dados de identidade são vendidos na dark web?
Par de credenciais provenientes de violações, pacotes completos de identidade conhecidos como “fullz”, imagens e digitalizações de documentos de identidade — às vezes acompanhadas de uma selfie correspondente — e acesso a contas comprometidas. Os pacotes completos de identidade são vendidos por preços baixos, o que é o sinal mais claro de quão abundante é a oferta.
O monitoramento da dark web é útil?
É útil para saber que ocorreu uma exposição, mas não é possível reverter a situação. Os dados não podem ser recuperados uma vez que estejam em circulação; a cobertura se limita aos mercados que o monitor pode alcançar; e o aparecimento dos dados em um mercado geralmente ocorre algum tempo depois da violação. Trate isso como um alerta para alterar os controles, e não como uma solução.
Como a verificação deveria mudar caso se presuma que os dados de identidade tenham sido comprometidos?
Ao não se basear no conhecimento de fatos estáticos. Qualquer coisa que um invasor possa adquirir — números de identificação, histórico de endereços, respostas de segurança — não comprova nada. O que continua sendo difícil de obter é uma pessoa real que corresponda a um documento autenticado específico; é por isso que a verificação de documentos com detecção de vida real é eficaz onde a comparação de dados não é.
Leitura relacionada
- Fullz — os dados de identidade padronizados em torno dos quais esses mercados se estruturam
- Vazamento de dados — de onde provém o fornecimento
- Ataque por preenchimento de credenciais — para que servem os pares de credenciais vazados
- Autenticação baseada em conhecimento — o controle que esses mercados destruíram
