📊 На подпольном рынке продают доступы к учетным данным компаний Сотни продавцов на андеграунд-форумах за последние полтора года превратили многомиллиардные дампы инфостилеров в платный сервис поиска «под заказчика». Исследователи Flare проанализировали 470 постов за январь 2025 – июнь 2026: покупатель платит фиксированную сумму, указывает домен, приложение, гео или просто список email, а продавец вытаскивает из своего «озера» подходящие пары логин-пароль, cookie или URL. Механика напоминает DDoS-as-a-Service — цель присылается, данные возвращаются, готовые к немедленной проверке и захвату аккаунта. Сервис закрывает ровно тот стык, где раньше атакующий был вынужден перелопачивать сырые комбо-листы самостоятельно. Теперь индексация, дедупликация и форматирование отдаются на аутсорс, а результат приходит в форматах URL:LOGIN:PASS или MAIL:PHONE. Это не столько конкурент Initial Access Broker, сколько дешёвая предтеча: за $20 без проверки валидности вы получаете не готовый вход в сеть, а сырую подборку, которую ещё надо очистить. По отзывам покупателей реальный объём обычно ниже рекламного, дубликаты достигают 90%, а продавцы честно признаются, что валидность не проверяли. Объём баз: от «5kkk+ строк» (5 млрд) до 10 млрд+ и 1 ТБ логов URL:LOG Типовой запрос: $20 + доплата за количество возвращённых записей Форматы выдачи: URL:LOGIN:PASS, MAIL:PASS, LOGIN:PASS, PHONE:PASS, MAIL:PHONE Продавцы делятся на MaaS-операторов и потребителей, часто работают как брокеры-обработчики Несмотря на скверное качество, рынок «поиска по цели» меняет модель угрозы. Порог входа снижается до уровня «платишь $20 — получаешь список сотрудников компании с украденными паролями». SOC, мониторящий только факт продажи дампа, пропускает более тонкий сигнал — кто-то ищет именно ваш домен. Ответная реакция начинается не после утечки, а в момент покупки запроса, и это ранний разведданные, которые большинство команд пока не собирают. По данным BleepingComputer #credentialsearch #infostealers #underground #ATO