Le tue credenziali sono già trapelate: dark web monitoring con Wazuh Umbra

L’evoluzione di Wazuh · Capitolo 3 di 3

×Partner

Le tue credenziali sono già trapelate: dark web monitoring con Wazuh Umbra

**Il problema non è "se", ma "quanto tempo fa"**
Se gestisci l'IT di una PMI, parti da un presupposto scomodo ma realistico: alcune credenziali della tua azienda sono probabilmente già in circolazione. Non serve un attacco mirato. Basta un dipendente che ha riusato la password aziendale su un servizio poi violato, o un portatile di casa infettato da un infostealer. La domanda utile non è se sei esposto, ma da quanto tempo, e se te ne accorgerai prima che qualcuno provi quelle chiavi.

**Come si perde una credenziale, davvero**
Le due fonti principali sono i breach dump e i log degli infostealer. I breach nascono quando un servizio online viene violato e milioni di coppie email-password finiscono in archivi scaricabili. Se un collega si è registrato con la mail aziendale, il tuo dominio è lì dentro.

I log degli infostealer sono più recenti e più gravi. Questo malware, distribuito tramite software craccati, falsi installer, phishing e pubblicità malevola, copia in pochi secondi tutte le password salvate nel browser e, soprattutto, i **cookie di sessione**. Il cookie è la prova che ti sei già autenticato: chi lo ruba riusa la tua sessione aperta e **bypassa l'MFA**, perché non ha bisogno di autenticarsi di nuovo. Da qui le credenziali finiscono in combolist e vengono rivendute, spesso per mesi, prima che qualcuno se ne accorga.

**Perché gli strumenti classici non bastano**
Molti sanno di Have I Been Pwned e lo usano per un controllo occasionale. È utile, ma è una fotografia. Il problema è la continuità e il contesto: sapere che una mail è "pwned" non ti dice quando, da quale fonte, se la password era riusata altrove e se il dispositivo dietro è compromesso. Un check manuale ogni tanto non regge il ritmo con cui nuovi log emergono ogni giorno.

**Cosa fa Umbra**
Umbra è il modulo di Identity Risk & Dark Web Monitoring di Wazuh. Sorveglia in continuo i tuoi domini contro infostealer, breach dump e combolist, cercati live, e integra la base già nota di Wazuh: HIBP per i breach e threat intelligence come CloudSEK e Criminal IP. Tre caratteristiche lo rendono adatto a un uso operativo. Ogni record è **datato**, così valuti l'attualità dell'esposizione. Ogni record porta la **fonte**, così distingui un breach esterno da un log di infostealer, cioè da un dispositivo compromesso. E le **password restano mascherate**: indaghi in sicurezza, senza esporre il segreto in chiaro né accumulare dati sensibili.

**Dalla lista al grafo: il blast radius**
La differenza pratica è la console, che non è un elenco ma un **entity graph**. Il grafo collega l'identità all'infezione, apre il dossier del dispositivo infetto, mostra ogni credenziale rubata da quella macchina e, soprattutto, calcola il **password-reuse blast radius**: dove la stessa password apre altre porte. Così una singola credenziale trapelata rivela la sua reale estensione (VPN, gestionale, posta, portali fornitori) e tu stabilisci le priorità di intervento sui fatti, non a intuito. Gli alert arrivano in console e, con il piano Pro, vengono instradati via email, Slack o webhook verso i tuoi strumenti.

**Cosa fare quando scatta un alert**
La sequenza è semplice ma va rispettata. Resetta la password sull'account e su ogni servizio dove il grafo la ritrova. **Revoca le sessioni attive**: cambiare la password non invalida i cookie già rubati, quindi il logout globale è obbligatorio contro l'infostealer. Verifica l'MFA e controlla che l'attaccante non abbia aggiunto metodi. Se la fonte è un log di infostealer, tratta il **dispositivo come compromesso**: isolalo e bonificalo, altrimenti il malware ruberà di nuovo le credenziali appena reimpostate. Infine documenta: in ottica NIS2 un'esposizione di credenziali può rientrare tra gli incidenti da gestire e valutare per la notifica, e la ricostruzione con data, fonte e blast radius è la base della valutazione.

**Il punto per un IT manager PMI**
Non serve un SOC per iniziare a difendersi dove oggi sei più scoperto: l'identità. Umbra ti dà la visibilità continua che manca, con dati concreti e consultabili in sicurezza. ArcaSafe ti affianca portando il monitoraggio fino alla risposta gestita, integrando Umbra con Exigence per orchestrare i passi di contenimento in modo tracciato. Il primo passo è il più economico: una verifica della tua esposizione attuale. Se non lo controlli tu, lo sta già facendo qualcun altro, e non per aiutarti.

—

Dentro Wazuh · Identity & Dark Web

Cos’è Umbra

Umbra è l’Identity & Dark Web Monitoring di Wazuh: sorveglia i tuoi domini contro infostealer, breach dump e combolist, cercati live. Ogni record è datato, con la sua fonte, e le password restano mascherate. Il grafo dell’identità misura il blast radius del riuso password.