monitoring dark webu

Monitoring dark webu (dark web monitoring) to śledzenie forów przestępczych, rynków, kanałów i witryn wycieków w celu wczesnego wykrycia wykradzionych danych, sprzedawanych dostępów albo przygotowań do ataku na organizację. Niebezpiecznik opisuje go jako monitorowanie danych w sieci, w którym usługi typu „dark web monitoring” pozwalają wykrywać wycieki danych osobowych i loginów ^[1]. Monitoring jest jednym ze źródeł, z których korzysta threat intelligence, i uzupełnia jawny wywiad OSINT.

Jak działa

Dark web to część internetu dostępna tylko przez sieci anonimizujące. Tor Project opisuje usługi cebulowe jako usługi dostępne wyłącznie przez sieć Tor ^[7]. Na takich serwisach, a także w komunikatorach i na zwykłych forach o ograniczonym dostępie, przestępcy handlują danymi. MITRE ATT&CK odnotowuje, że napastnicy mogą kupować informacje o ofiarach ze źródeł o złej reputacji, takich jak dark web i czarne rynki cyberprzestępcze, w tym dane kontaktowe pracowników, poświadczenia i szczegóły infrastruktury ^[3].

Usługa monitoringu robi odwrotną rzecz. Zbiera zawartość tych źródeł, indeksuje ją i porównuje z listą obserwowanych identyfikatorów organizacji: domen, adresów e-mail, nazw produktów, zakresów IP. Trafienie wywołuje powiadomienie. Przebieg pokazuje schemat poniżej.

RYS. 1Od wycieku do reakcji

Najczęściej wykrywane są dane uwierzytelniające. MITRE opisuje, że napastnicy mogą kupować poświadczenia na rynkach w dark webie albo zdobywać je przez kanały w Telegramie, które rozprowadzają logi ze złośliwego oprogramowania typu infostealer ^[4]. Poświadczenia trafiają też do publicznych zrzutów wycieków, wyszukiwarek i repozytoriów kodu ^[4].

Rodzaje źródeł

Połączenia loginów i haseł z wielu wycieków tworzą combolisty, wykorzystywane do ataków credential stuffing. Witryny wycieków są narzędziem podwójnego wymuszenia, w którym grupa ransomware grozi publikacją danych. Na forach działa też broker początkowego dostępu, który sprzedaje gotowe wejście do sieci.

W WordPressie

Dla właściciela strony WordPress najważniejsze są konta z dostępem do panelu, do hostingu i do poczty. Hasło administratora, które wyciekło z innego serwisu, pozwala zalogować się do witryny bez żadnej podatności. MITRE zwraca uwagę, że napastnicy wykorzystują skłonność użytkowników do używania tych samych haseł w kontach prywatnych i służbowych ^[4]. Podobnie działa log infostealera z komputera osoby, która zarządza stroną.

Dostępne narzędzia pozwalają sprawdzać te ryzyka bez kupowania drogiej usługi. Serwis Have I Been Pwned oferuje wyszukiwanie w domenie. Po weryfikacji domeny organizacja pobiera wszystkie adresy e-mail z tej domeny, które pojawiły się w wyciekach, wraz z nazwami wycieków ^[6]. Usługa Pwned Passwords pozwala sprawdzić hasło, wysyłając tylko pierwszych 5 znaków jego skrótu SHA-1 albo NTLM; serwer zwraca pasujące końcówki, więc pełny skrót nie opuszcza klienta ^[6]. Z tego samego mechanizmu może korzystać formularz zmiany hasła, który odrzuca hasła znane z wycieków.

Praktyczne kroki dla strony WordPress:

• zweryfikować domenę firmową w usłudze wyszukiwania wycieków i przeglądać wyniki ^[6];
• po trafieniu zmienić hasło, unieważnić sesje i sprawdzić listę kont administratorów;
• włączyć uwierzytelnianie wieloskładnikowe (MFA) dla kont z uprawnieniami, by samo hasło nie wystarczało;
• przejrzeć hasła aplikacji jako osobne wejście do API.

Ograniczenia

Monitoring wykrywa skutki, nie przyczyny. MITRE zaznacza, że zakupu danych przez napastnika nie da się łatwo zapobiec, bo odbywa się poza zasięgiem zabezpieczeń organizacji; wysiłek powinien iść w ograniczanie ilości i wrażliwości danych dostępnych na zewnątrz ^[3]. Wykrywanie tej aktywności jest trudne i obarczone wysokim odsetkiem fałszywych trafień, dlatego MITRE zaleca skupienie się na etapach ataku, które następują później, zwłaszcza na uzyskaniu dostępu początkowego ^[3].

Informacje z dark webu bywają niepewne. Ogłoszenie grupy przestępczej może być blefem, narzędziem nacisku albo prawdą. Monitoring daje sygnał do weryfikacji, a nie gotowy wniosek. Zasięg usług jest też ograniczony: zamknięte fora i prywatne kanały pozostają poza indeksami.

Historia i przykłady

Przykładem bezpłatnego narzędzia do sprawdzania wycieków jest Have I Been Pwned. Serwis uruchomił Troy Hunt w 2013 roku, po wycieku z Adobe, by każdy mógł sprawdzić, czy jego konto znalazło się w wycieku ^[5].

Przykład z Polski pokazuje, jak wygląda sygnał z monitoringu. 10 kwietnia 2026 roku Sekurak opisał wpis na portalu monitorującym aktywność grup cyberprzestępczych: grupa ALP-001, działająca w modelu RaaS, ogłosiła wyciek ponad 75 GB danych z Polsatu ^[2]. W dniu publikacji napastnicy nie udostępnili próbki potwierdzającej autentyczność danych, a wpis zniknął z portalu, co mogło oznaczać blef albo negocjacje ^[2]. Redakcja zaleciła podchodzenie do sprawy z rezerwą ^[2]. Taki przypadek to typowy materiał dla zespołu, który prowadzi reagowanie na incydenty: sygnał jest ważny, ale wymaga sprawdzenia we własnych logach.