Cílený útok často začíná hledáním. Hackeři hledají informace, jako je pracovní pozice zaměstnance, náborový příspěvek, který uvádí vaše firemní nástroje, odhalená e-mailová adresa nebo stará subdoména. Izolovaně se tyto detaily nezdají nebezpečné. Útočníci však záměrně shromažďují mnoho malých stop a informací, aby vytvořili phishingovou e-mailovou kampaň, falešnou přihlašovací stránku nebo podvodný telefonát, který působí věrohodně.
Open source intelligence (OSINT) přeměňuje veřejné informace na přípravu pro cílenější útok. Vaše obchodní bezpečnostní strategie OSINT je způsob, jakým se vaše firma chrání. Pro firmy je výzva dvojí: auditovat, co už je venku, a vědět, co vůbec existuje, a poté posoudit, které veřejné detaily pomáhají zákazníkům, uchazečům a partnerům a které naopak tiše pomáhají útočníkům zmapovat vaše lidi, nástroje, přihlašovací údaje a přístupové body.
Co znamená OSINT v kybernetické bezpečnosti
V kontextu kybernetické bezpečnosti je OSINT využití veřejně dostupných informací k identifikaci možných útočných cest. Informace mohou pocházet z vyhledávačů, sociálních médií, firemních webů, pracovních portálů, veřejných úložišť kódu a dalších zdrojů, které nevyžadují proniknutí do systému.
Útočníci používají OSINT k zodpovězení praktických otázek o firmě, jako například:
- Kdo zde pracuje?
- Kdo schvaluje platby?
- Jaké nástroje společnost používá?
- Jak vypadá formát e-mailu?
- Kteří dodavatelé nebo zákazníci mohou být důvěryhodní?
- Které účty už mohou být odhalené?
- Které systémy jsou připojeny k internetu?
OSINT poskytuje hackerům detaily, které činí jejich útoky věrohodnými. Obecný podvod jednoduše žádá o akci, ale prozkoumaný podvod je cílený na konkrétní osobu, odeslaný od osoby, kterou zná nebo které má důvod důvěřovat, a zmiňuje skutečný pracovní projekt nebo neveřejné informace.
Britský průzkum kybernetických bezpečnostních incidentů 2024(nové okno) zjistil, že polovina britských firem uvedla, že za posledních 12 měsíců zaznamenala kybernetický bezpečnostní incident nebo útok. Phishing zůstal nejčastějším typem incidentu nebo útoku mezi postiženými firmami. OSINT není totéž co phishing, ale je to aktivum, které hackeři mohou použít, aby byl phishing přesvědčivější a pro zaměstnance obtížnější ho odmítnout.
Co se útočníci mohou dozvědět o vaší firmě
Hackeři používají různé metody ke sběru informací. Zde jsou některé z nejčastějších a nejúčinnějších cest.
Lidé
LinkedIn, firemní profilové stránky, programy konferencí, podcasty, webináře a zmínky v tisku mohou odhalit jména, pracovní pozice, nadřízené vztahy, senioritu, umístění a oblasti odpovědnosti. To pomáhá útočníkům vybrat, koho napodobit a na koho vyvinout tlak.
Například útočník, který zná jméno finančního ředitele, formát firemního e-mailu a současný software finančního týmu, může sestavit zprávu, která působí mnohem méně obecně než běžný spam. Žádost může zmiňovat skutečného dodavatele, odkazovat na platební proces, který ve firmě existuje, nebo dorazit v momentě, kdy tým už očekává komunikaci ohledně faktur. Žádná z těchto informací nevyžaduje přístup k soukromému systému.
Nástroje
Pracovní inzeráty často uvádějí platformy, které mají uchazeči znát: CRM, mzdové nástroje, software pro helpdesk, analytické platformy, nástroje pro spolupráci a vývojářská prostředí. Veřejné recenze, případové studie, integrace a profily zaměstnanců mohou odhalit ještě více.
Odhalení nástrojů pomáhá útočníkům přizpůsobit jejich phishingový pretext. Phishingový e-mail, který říká „váš účet byl označen“, není přesvědčivý, ale zpráva, která jmenuje přesný CRM, HR systém nebo nástroj pro spolupráci, který tým používá, ano.
Technická stopa
Subdomény, odhalené služby, záznamy certifikátů, stará stagingová prostředí a chybně nakonfigurované přihlašovací stránky mohou odhalit, kde má firma online systémy. Útočníci mohou také hledat veřejná úložiště, která obsahují staré přihlašovací údaje, API klíče, interní URL nebo konfigurační soubory omylem potvrzené během vývoje.
Data z úniků
E-mailové adresy, uživatelská jména, hesla, telefonní čísla a další osobní nebo firemní údaje odhalené při předchozích únicích se mohou stát surovinou pro pozdější útok. Protonova Observatoř úniků dat ukazuje, jak mohou uniklá data pokračovat ve vytváření rizika po původním incidentu, zejména když lze přihlašovací údaje, kontaktní údaje a informace o zaměstnancích spojit zpět s firmou.
Jak OSINT pohání cílené útoky
OSINT se stává nebezpečným, když útočníci použijí shromážděná data k vytvoření věrohodného příběhu. Představte si firmu, která zveřejňuje profily zaměstnanců, uvádí loga zákazníků, v pracovních inzerátech zmiňuje nedávnou migraci CRM a používá předvídatelný formát e-mailu. Zaměstnanec finančního oddělení pak obdrží zprávu, která vypadá, že přichází od vedoucího pracovníka, odkazuje na skutečného dodavatele a žádá o naléhavou platební podporu. E-mail musí obsahovat jen dostatek známých detailů, aby se snížilo podezření.
Stejný vzorec platí pro útoky na přihlašovací údaje. Útočník najde firemní e-mail zaměstnance v datech z úniku, na LinkedIn uvidí, že daná osoba pracuje v provozu, a z pracovních inzerátů zjistí, že firma používá konkrétní SaaS platformu. Další phishingová zpráva může napodobit tuto platformu a dorazit s jazykem, který odpovídá roli zaměstnance.
Telefonní podvody mohou být také formovány pomocí OSINT. Volající, který zná poskytovatele IT firmy, jméno vedoucího oddělení nebo načasování projektu, zní legitimně. Proto jsou OSINT a sociální inženýrství propojeny: veřejné informace dávají útočníkům sebevědomí a detaily potřebné k manipulaci s lidmi v reálném čase.
Firma může konečný útok pocítit jako phishing, vishing, převzetí účtu, podvod s fakturami nebo krádež přihlašovacích údajů. Příprava mohla být celou dobu OSINT.
Uniklé přihlašovací údaje jsou také OSINT
O datech z úniků se často mluví jako o přímém riziku převzetí účtu: když unikne heslo, útočníci jej mohou vyzkoušet na více vstupních bodech. To je stále vážný problém, zejména když zaměstnanci znovu používají hesla napříč službami.
Uniklé přihlašovací údaje však mohou útočníkům také pomoci pochopit firmu stojící za účtem. Odhalená e-mailová adresa může potvrdit, které služby zaměstnanec používal, zatímco stará hesla, telefonní čísla a opakující se firemní domény mohou dodat kontext pro budoucí phishing, vishing nebo pokusy o převzetí účtu. Únik mohl nastat někde jinde, ale informace mohou útočníkovi stále pomoci vytvořit si přesnější obrázek o vašem týmu.
Protonova Observatoř úniků dat upozorňuje, jak mohou odhalená data podporovat phishing, útoky na přihlašovací údaje a širší sociální inženýrství. Rovněž upozorňuje, že uniklá data nepřestávají být pro útočníky užitečná poté, co je nahlášen první únik. Tato data mohou být znovu použita, kombinována a přetvářena pro budoucí cílení.
Sledování odhalených firemních e-mailů a přihlašovacích údajů pomáhá organizacím vidět více než jen heslo, které je třeba změnit. Může odhalit, kde zaměstnanci používali pracovní adresy, které služby mohou být připojeny k firmě a zda se stejná identita objevuje ve více únicích.
To je zásadní, protože útočníci mohou informace znovu použít nejen k vyzkoušení starých hesel, ale také k tomu, aby budoucí phishing, vishing nebo pokusy o vydávání se za někoho jiného působily konkrétněji. Uniklý přihlašovací údaj je málokdy jen izolovaný údaj. Může se stát součástí průzkumu, který činí další útok účinnějším.
Omezte, co se útočníci mohou dozvědět z veřejných zdrojů
Žádná firma se nemůže zcela odstranit z veřejného pohledu a to by nemělo být cílem. Zákazníci, uchazeči a partneři stále potřebují dostatek informací, aby pochopili, kdo jste a jak s vámi spolupracovat.
Riziko spočívá ve zveřejňování detailů, které přesahují tento účel: interní názvy nástrojů, přímé kontaktní vzorce, schvalovací postupy nebo technické stopy, které útočníkům poskytují ostřejší obrázek o tom, jak firma funguje.
- Začněte s informacemi určenými pro veřejnost. Projděte si firemní stránky, profily týmu, tiskové zprávy, případové studie, články v centru podpory, pracovní inzeráty, příspěvky na sociálních sítích a veřejné dokumenty. Hledejte detaily, které odhalují interní systémy, schvalovací procesy, přístupové cesty nebo citlivé pracovní postupy.
- Pracovní inzeráty si zaslouží zvláštní pozornost. Uchazeči mohou potřebovat znát široké kategorie nástrojů, které budou používat, ale veřejné inzeráty nemusí vždy uvádět každou SaaS platformu, bezpečnostní produkt, CRM, platební nástroj, poskytovatele cloudu nebo interní pracovní postup. Čím konkrétnější je seznam nástrojů, tím snazší je vytvořit falešnou přihlašovací výzvu, zprávu podpory nebo žádost dodavatele.
- Informace o zaměstnancích také potřebují rovnováhu. Seniorita, role a odbornost mohou být vhodné ke sdílení, ale přímá telefonní čísla, osobní detaily, cestovní vzorce, interní názvy projektů nebo zbytečné detaily o struktuře nadřízených mohou útočníkům poskytnout více materiálu.
- Veřejná úložiště kódu by měla být pravidelně kontrolována. Staré projekty, testovací soubory, dokumentace nebo příklady konfigurace mohou obsahovat tajemství, která nebyla určena ke zveřejnění. I když přihlašovací údaje vypršely, interní URL, konvence pojmenování a odkazy na služby mohou útočníkům stále pomoci pochopit prostředí.
Snižte hodnotu toho, co útočníci najdou
OSINT bude vždy existovat, protože firmy musí být viditelné. Cílem je snížit množství dostupných zbytečných informací a omezit, co mohou útočníci dělat s detaily, které najdou.
Veřejné informace jsou prvním místem, kde lze snížit zbytečnou expozici. Pracovní inzeráty, firemní profily, stránky zaměstnanců, úložiště, subdomény a staré dokumenty by měly lidem poskytnout dostatek kontextu, aby firmě důvěřovali a rozuměli jí, nikoli podrobný pohled na to, jak funguje v zákulisí. Pokud interní názvy nástrojů, technické stopy nebo detaily procesů nejsou veřejně potřeba, je lepší je držet mimo dohled.
Kontroly přihlašovacích údajů jsou stejně důležité. Odhalené e-mailové adresy a uniklá hesla patří k nejjednodušším signálům OSINT, které lze proměnit v akci. Jedinečná hesla, MFA, přístupové klíče, bezpečné sdílení, sledování úniků a řízený přístup – to vše činí průzkum méně užitečným.
Zkontrolujte svou technickou stopu, aniž byste zveřejnili plán
Technická expozice je také součástí OSINT. Domény, subdomény, přihlašovací portály, cloudové služby, vývojová prostředí, koncové body API a veřejné repozitáře mohou útočníkům pomoci pochopit, jak je firma strukturovaná online.
Pravidelná kontrola pomáhá oddělit to, co je záměrně veřejné, od toho, co bylo zveřejněno a zapomenuto. Staré testovací stránky, nevyužívané subdomény, výchozí obrazovky služeb, zastaralá dokumentace, vystavené poznámky ke konfiguraci a veřejné repozitáře s interními odkazy se nemusí zdát naléhavé, ale mohou útočníkům usnadnit průzkum.
Mnohé opravy jsou jednoduché: odebrat staré stránky, omezit přístup, aktualizovat dokumentaci, obměnit vystavené tajné údaje nebo přesunout interní detaily z veřejných repozitářů. Jiné nálezy mohou potřebovat jen jasného vlastníka a důvod, proč zůstat viditelné. Veřejné vystavení se tak stává rozhodnutím, nikoli opomenutím.
Začleňte kontroly OSINT do bezpečnostních rutin
Expozice OSINT není statická. Roste pokaždé, když firma zveřejní něco nového, změní pracovní postup, přijme na roli, spustí projekt, objeví se na stránce dodavatele nebo když jsou data zaměstnanců vystavena při úniku informací. Každá aktualizace se sama o sobě zdá neškodná, ale postupem času může útočníkům poskytnout jasnější pohled na lidi, nástroje, vztahy a přístupové body společnosti.
Jednoduchá sada kontrol a revizí může pomoci:
- Čtvrtletně kontrolujte veřejně dostupné informace o firmě
- Před zveřejněním kontrolujte pracovní inzeráty, zda neobsahují zbytečné detaily o nástrojích nebo pracovních postupech
- Sledujte vystavení firemních e-mailových adres v únicích informací
- Kontrolujte veřejné repozitáře a vystavené služby
- Zeptejte se vedoucích oddělení, zda nějaké veřejné informace neprozrazují citlivé procesy nebo vzorce přístupu.
Než se informace zveřejní, je vždy na místě se zeptat: Mohlo by to útočníkovi pomoci vytvořit přesvědčivější zprávu, telefonát nebo pokus o přihlášení?
Ztížit propojení přihlašovacích údajů pomocí aliasů
E-mailové aliasy mohou pomoci omezit množství informací, které mohou útočníci propojit napříč službami. Když se stejná e-mailová adresa používá pro všechny služby, je snazší propojit účty, vyhledávat data z úniků, hádat přihlašovací portály a sestavit profil zaměstnance nebo firmy.
Pro některé firemní postupy je standardní e-mailová adresa nezbytná. Zaměstnanci potřebují stabilní identity pro práci, zákazníky a spolupráci. Ale aliasy mohou být užitečné pro registrace, newslettery, zkušební verze, testování dodavatelů, události nebo služby, které nevyžadují primární firemní adresu dané osoby.
E-mailové aliasy jsou užitečné, protože oddělují účty, které by útočníci jinak propojili se stejným zaměstnancem, týmem nebo firemní adresou. Mohou také usnadnit dohledání expozice. Když alias vytvořený pro jednoho dodavatele začne dostávat nesouvisející pokusy o přihlášení nebo phishingové zprávy, firma má jasnější signál o tom, kde mohla být tato adresa vystavena.
Aliasy fungují nejlépe, když jsou spojeny s firemním správcem hesel, jako je Proton Pass for Business. Každý účet stále potřebuje jedinečné heslo, kontrolované úložiště a jasné vlastnictví. Bez této struktury se aliasy mohou stát dalším ručním návykem, který musí zaměstnanci spravovat sami.
Spravujte OSINT pomocí Proton Pass for Business
Firemní správce hesel, jako je Proton Pass for Business, vám může pomoci sledovat úniky informací a chránit vaši síť pomocí funkcí pro kontrolu stavu přihlašovacích údajů. S Proton Pass for Business mohou týmy vytvářet jedinečná hesla, ukládat je do šifrovaných trezorů hesel, používat automatické vyplňování, bezpečně sdílet přihlašovací údaje, spravovat přístupové klíče a používat vestavěné dvoufázové ověření (2FA).
Funkce pro správce, jako jsou zásady, reporting, logy, řízení přístupu na základě rolí, zřizování SCIM a integrace SSO, pomáhají firmám lépe kontrolovat přístup k přihlašovacím údajům během růstu.
Firemní správce hesel neodstraňuje expozici OSINT, ale může zajistit, aby informace, které útočníci najdou, byly méně užitečné. Když jsou přihlašovací údaje jedinečné, uložené v šifrovaných trezorech, sdílené prostřednictvím schválených prostorů a chráněné pomocí 2FA nebo přístupových klíčů, zbývá uniklému heslu nebo přesvědčivé falešné přihlašovací stránce méně prostoru proměnit se v širší přístup. Zároveň to zaměstnancům dává jasnější pravidlo, které mají dodržovat: firemní přihlašovací údaje by měly zůstat ve správci hesel, nikoli v e-mailech, chatech, tabulkách nebo telefonních hovorech.
Útočníci budou vaši firmu stále zkoumat. Otázkou je, kolik se toho mohou dozvědět, jak přesný je tento obrázek a jak daleko s ním mohou zajít.
Snižte expozici přihlašovacích údajů vaší firmy pomocí firemního správce hesel.
