Et målrettet angreb begynder ofte med en søgning. Hackere leder efter oplysninger som en medarbejders jobtitel, et jobopslag, der nævner dine forretningsværktøjer, en eksponeret e-mailadresse eller et gammelt subdomæne. Hver for sig virker disse detaljer ikke farlige. Men angribere indsamler målrettet mange små spor og oplysninger for at opbygge en phishing-e-mailkampagne, en falsk login-side eller et opkald med identitetsbedrageri, der virker troværdigt.

Open source-efterretning (OSINT) gør offentlig information til forberedelse af et mere målrettet angreb. Din OSINT-strategi for virksomhedssikkerhed er, hvordan din virksomhed beskytter sig selv. For virksomheder er udfordringen dobbelt: at gennemgå, hvad der allerede findes derude, og vide, hvad der overhovedet eksisterer, og derefter vurdere, hvilke offentlige detaljer der hjælper kunder, kandidater og partnere, og hvilke der i stilhed hjælper angribere med at kortlægge dine medarbejdere, værktøjer, legitimationsoplysninger og adgangspunkter.

Hvad OSINT betyder i cybersikkerhed

I en cybersikkerhedskontekst er OSINT brugen af offentligt tilgængelig information til at identificere mulige angrebsstier. Oplysningerne kan komme fra søgemaskiner, sociale medier, virksomheders websteder, jobportaler, offentlige kodelagre og andre kilder, der ikke kræver, at man bryder ind i et system.

Angribere bruger OSINT til at besvare praktiske spørgsmål om en virksomhed, som:

  • Hvem arbejder her?
  • Hvem godkender betalinger?
  • Hvilke værktøjer bruger virksomheden?
  • Hvordan ser e-mailformatet ud?
  • Hvilke leverandører eller kunder kan være betroede?
  • Hvilke konti kan allerede være eksponerede?
  • Hvilke systemer vender ud mod internettet?

OSINT giver hackere detaljer, der gør deres angreb troværdige. Et generisk svindelforsøg opfordrer blot til handling, men et velundersøgt svindelforsøg er målrettet en bestemt person, sendt fra en person, som modtageren kender eller har grund til at stole på, og nævner et rigtigt arbejdsprojekt eller ikke-offentlige oplysninger.

Storbritanniens Cyber Security Breaches Survey 2024(nyt vindue)⁠ viste, at halvdelen af britiske virksomheder rapporterede at have identificeret et cybersikkerhedsbrud eller cyberangreb inden for de seneste 12 måneder. Phishing var fortsat den mest almindelige type brud eller angreb blandt de berørte virksomheder. OSINT er ikke det samme som phishing, men det er en ressource, hackere kan bruge til at gøre phishing mere overbevisende og sværere for medarbejdere at afvise.

Hvad angribere kan lære om din virksomhed

Hackere bruger en række forskellige metoder til at indsamle oplysninger. Her er nogle af de mest almindelige og effektive angrebsstier.

Personer

LinkedIn, virksomheders biografisider, konferenceprogrammer, podcasts, webinarer og omtaler i pressen kan afsløre navne, jobtitler, rapporteringslinjer, anciennitet, placeringer og ansvarsområder. Det hjælper angribere med at vælge, hvem de skal udgive sig for, og hvem de skal lægge pres på.

For eksempel kan en angriber, der kender navnet på en økonomidirektør, virksomhedens e-mailformat og finansafdelingens aktuelle software, opbygge en besked, der virker meget mindre generisk end almindelig spam. Anmodningen kan nævne en rigtig leverandør, henvise til en betalingsproces, der findes i virksomheden, eller ankomme på et tidspunkt, hvor teamet allerede forventer kommunikation om fakturaer. Ingen af disse oplysninger kræver adgang til et privat system.

Værktøjer

Jobopslag nævner ofte de platforme, som kandidater forventes at kende: CRM-systemer, lønværktøjer, helpdesk-software, analyseplatforme, samarbejdsværktøjer og udviklermiljøer. Offentlige anmeldelser, casestudier, integrationer og medarbejderprofiler kan afsløre endnu mere.

Eksponering af værktøjer hjælper angribere med at skræddersy deres phishing-påskud. En phishing-e-mail, der siger ”din konto er blevet markeret”, er ikke overbevisende, men en besked, der nævner det præcise CRM, HR-system eller samarbejdsværktøj, som teamet bruger, er.

Teknisk fodaftryk

Subdomæner, eksponerede tjenester, certifikatposter, gamle stagingmiljøer og fejlkonfigurerede login-sider kan afsløre, hvor en virksomhed har onlinesystemer. Angribere kan også lede efter offentlige lagre, der indeholder gamle legitimationsoplysninger, API-nøgler, interne URL’er eller konfigurationsfiler, som ved et uheld er blevet committet under udvikling.

Data fra databrud

E-mailadresser, brugernavne, adgangskoder, telefonnumre og andre personlige eller forretningsmæssige detaljer, der er blevet eksponeret i tidligere databrud, kan blive råmateriale til et senere angreb. Protons Data Breach Observatory⁠ viser, hvordan lækkede data fortsat kan skabe risiko efter den oprindelige hændelse, især når legitimationsoplysninger, kontaktdetaljer og medarbejderoplysninger kan spores tilbage til en virksomhed.

Hvordan OSINT muliggør målrettede angreb

OSINT bliver farligt, når angribere bruger indsamlede data til at opbygge en troværdig historie. Tænk på en virksomhed, der offentliggør medarbejderprofiler, viser kundelogoer, nævner en nylig CRM-migrering i jobannoncer og bruger et forudsigeligt e-mailformat. En medarbejder i økonomiafdelingen modtager derefter en besked, der tilsyneladende kommer fra en ledende medarbejder, henviser til en rigtig leverandør og beder om hjælp til en hastebetaling. E-mailen skal kun indeholde nok velkendte detaljer til at mindske mistanken.

Det samme mønster gælder for angreb på legitimationsoplysninger. En angriber finder en medarbejders arbejds-e-mail i data fra databrud, ser på LinkedIn, at personen arbejder i driften, og lærer fra jobopslag, at virksomheden bruger en bestemt SaaS-platform. Den næste phishing-besked kan efterligne den platform og ankomme med et sprog, der matcher medarbejderens rolle.

Telefonsvindel kan også formes af OSINT. En opkalder, der kender virksomhedens it-leverandør, navnet på en afdelingsleder eller tidspunktet for et projekt, lyder troværdig. Det er derfor, OSINT og social engineering er tæt forbundet: offentlig information giver angribere den selvtillid og detaljerigdom, der er nødvendig for at manipulere folk i realtid.

Virksomheden kan opleve det endelige angreb som phishing, vishing, overtagelse af konto, fakturasvindel eller tyveri af legitimationsoplysninger. Forarbejdet kan hele tiden have været OSINT.

Lækkede legitimationsoplysninger er også OSINT

Data fra databrud bliver ofte diskuteret som en direkte risiko for overtagelse af konto: når en adgangskode lækkes, kan angribere prøve den på tværs af flere indgangspunkter. Det er stadig et alvorligt problem, især når medarbejdere genbruger adgangskoder på tværs af tjenester.

Men lækkede legitimationsoplysninger kan også hjælpe angribere med at forstå virksomheden bag kontoen. En eksponeret e-mailadresse kan bekræfte, hvilke tjenester en medarbejder har brugt, mens gamle adgangskoder, telefonnumre og gentagne virksomhedsdomæner kan tilføje kontekst til fremtidige phishing-, vishing- eller konto-overtagelsesforsøg. Databruddet kan være sket et andet sted, men oplysningerne kan stadig hjælpe en angriber med at danne et mere præcist billede af dit team.

Protons Data Breach Observatory⁠ fremhæver, hvordan eksponerede data kan understøtte phishing, angreb på legitimationsoplysninger og bredere social engineering. Det fremhæver også, at lækkede data ikke holder op med at være nyttige for angribere, efter det første databrud er rapporteret. Dataene kan genbruges, kombineres og omformes til fremtidig målretning.

Overvågning af eksponerede arbejds-e-mails og legitimationsoplysninger hjælper organisationer med at se mere end den adgangskode, der skal ændres. Det kan afsløre, hvor medarbejdere har brugt arbejdsadresser, hvilke tjenester der kan være forbundet til virksomheden, og om den samme identitet optræder på tværs af flere lækager.

Det er afgørende, fordi angribere kan genbruge oplysninger, ikke kun til at prøve gamle adgangskoder, men til at gøre fremtidige phishing-, vishing- eller efterligningsforsøg mere specifikke. En lækket legitimationsoplysning er sjældent blot en isoleret legitimationsoplysning. Den kan blive en del af den baggrundsundersøgelse, der gør det næste angreb mere effektivt.

Begræns, hvad angribere kan lære fra offentlige kilder

Ingen virksomhed kan fjerne sig selv fra offentlighedens søgelys, og det bør ikke være målet. Kunder, kandidater og partnere har stadig brug for tilstrækkelig information til at forstå, hvem du er, og hvordan de kan arbejde sammen med dig.

Risikoen ligger i at offentliggøre detaljer, der går ud over dette formål: interne værktøjsnavne, direkte kontaktmønstre, godkendelsesarbejdsgange eller tekniske spor, der giver angribere et skarpere billede af, hvordan virksomheden fungerer.

  • Start med dine offentligt tilgængelige oplysninger. Gennemgå virksomhedssider, teambeskrivelser, pressemeddelelser, casestudier, artikler i hjælp-centeret, jobopslag, opslag på sociale medier og offentlige dokumenter. Led efter detaljer, der afslører interne systemer, godkendelsesprocesser, adgangsveje eller følsomme arbejdsgange.
  • Jobopslag fortjener særlig opmærksomhed. Kandidater har måske brug for at kende de brede kategorier af værktøjer, de skal bruge, men offentlige annoncer behøver ikke altid at nævne enhver SaaS-platform, sikkerhedsprodukt, CRM, betalingsværktøj, skyudbyder eller intern arbejdsgang. Jo mere specifik værktøjslisten er, jo lettere bliver det at udforme en falsk loginprompt, supportbesked eller leverandøranmodning.
  • Medarbejderoplysninger har også brug for balance. Anciennitet, rolle og ekspertise kan være passende at dele, men direkte telefonnumre, personlige detaljer, rejsemønstre, interne projektnavne eller unødvendige detaljer om rapporteringsstruktur kan give angribere mere at arbejde med.
  • Offentlige kodelagre bør gennemgås regelmæssigt. Gamle projekter, testfiler, dokumentation eller konfigurationseksempler kan indeholde hemmeligheder, som ikke var beregnet til at være offentlige. Selv når legitimationsoplysninger er udløbet, kan interne URL’er, navngivningskonventioner og tjenestereferencer stadig hjælpe angribere med at forstå miljøet.

Reducér værdien af det, angribere finder

OSINT vil altid eksistere, fordi virksomheder har brug for at være synlige. Målet er at reducere mængden af unødvendige oplysninger, der er tilgængelige, og begrænse, hvad angribere kan gøre med de detaljer, de finder.

Offentlig information er det første sted at reducere unødig eksponering. Jobannoncer, virksomhedsprofiler, medarbejdersider, lagre, subdomæner og gamle dokumenter bør give folk nok kontekst til at stole på og forstå virksomheden, ikke en detaljeret visning af, hvordan den fungerer bag kulisserne. Når interne værktøjsnavne, tekniske spor eller procesdetaljer ikke er nødvendige offentligt, er det bedre at holde dem ude af syne.

Kontrol med legitimationsoplysninger er lige så vigtig. Eksponerede e-mailadresser og lækkede adgangskoder er nogle af de letteste OSINT-signaler at omsætte til handling. Unikke adgangskoder, MFA, adgangsnøgler, sikker deling, overvågning af databrud og kontrolleret adgang er alt sammen med til at gøre rekognoscering mindre nyttig.

Gennemgå dit tekniske fodaftryk uden at offentliggøre en køreplan

Teknisk eksponering er også en del af OSINT. Domæner, underdomæner, loginportaler, skytjenester, udviklingsmiljøer, API-endepunkter og offentlige repositories kan alle hjælpe angribere med at forstå, hvordan en virksomhed er struktureret online.

En regelmæssig gennemgang hjælper med at skelne mellem det, der bevidst er offentligt, og det, der er blevet offentliggjort og glemt. Gamle staging-sider, ubrugte underdomæner, standardtjenesteskærme, forældet dokumentation, eksponerede konfigurationsnoter og offentlige repositories med interne referencer virker måske ikke akutte, men de kan gøre rekognoscering lettere.

Mange rettelser er enkle: fjern gamle sider, begræns adgangen, opdater dokumentation, udskift eksponerede hemmeligheder, eller flyt interne detaljer ud af offentlige repositories. Andre fund har måske kun brug for en klar ejer og en grund til at forblive synlige. Offentlig eksponering bliver en beslutning i stedet for en forglemmelse.

Integrer OSINT-tjek i sikkerhedsrutiner

OSINT-eksponering er ikke statisk. Den vokser, hver gang en virksomhed offentliggør noget nyt, ændrer en arbejdsgang, ansætter til en rolle, starter et projekt, optræder på en leverandørside eller får medarbejderdata eksponeret i et databrud. Hver opdatering virker harmløs isoleret set, men over tid kan den give angribere et klarere billede af virksomhedens medarbejdere, værktøjer, relationer og adgangspunkter.

Et enkelt sæt tjek og gennemgange kan hjælpe:

  • Gennemgå offentligt tilgængelig virksomhedsinformation kvartalsvis
  • Tjek jobopslag før offentliggørelse for unødvendige detaljer om værktøjer eller arbejdsgange
  • Overvåg eksponering i databrud for virksomhedens e-mailadresser
  • Gennemgå offentlige repositories og eksponerede tjenester
  • Spørg afdelingsledere, om offentlig information afslører følsomme processer eller adgangsmønstre.

Før information offentliggøres, bør man altid spørge: Kan dette hjælpe en angriber med at skabe en mere overbevisende besked, opkald eller loginforsøg?

Gør legitimationsoplysninger sværere at forbinde med aliaser

E-mailaliaser kan hjælpe med at reducere mængden af information, som angribere kan forbinde på tværs af tjenester. Når den samme e-mailadresse bruges til alle tjenester, bliver det lettere at linke konti, søge i databrudsdata, gætte loginportaler og opbygge en profil af medarbejderen eller virksomheden.

For nogle forretningsgange er en standard-e-mailadresse nødvendig. Medarbejdere har brug for stabile identiteter til arbejde, kunder og samarbejde. Men aliaser kan være nyttige til tilmeldinger, nyhedsbreve, prøveversioner, leverandørtest, begivenheder eller tjenester, der ikke kræver en persons primære arbejdsadresse.

E-mailaliaser er nyttige, fordi de adskiller konti, som angribere ellers ville forbinde til den samme medarbejder, det samme team eller den samme virksomhedsadresse. De kan også gøre eksponering lettere at spore. Når et alias oprettet til én leverandør begynder at modtage uafhængige loginforsøg eller phishingbeskeder, har virksomheden et klarere signal om, hvor den adresse kan være blevet eksponeret.

Aliaser fungerer bedst, når de kombineres med en adgangskodeadministrator til virksomheder som Proton Pass for Business. Hver konto har stadig brug for en unik adgangskode, kontrolleret lagerplads og tydeligt ejerskab. Uden den struktur kan aliaser blive endnu en manuel vane, som medarbejderne selv skal administrere.

Administrer OSINT med Proton Pass for Business

En adgangskodeadministrator til virksomheder som Proton Pass for Business kan hjælpe dig med at overvåge databrud og beskytte dit netværk med funktioner til overvågning af legitimationsoplysninger. Med Proton Pass for Business⁠, teams kan oprette unikke adgangskoder, gemme dem i krypterede adgangskodebokse, bruge autofyld, dele legitimationsoplysninger sikkert, administrere adgangsnøgler og bruge indbygget tofaktorgodkendelse (2FA).

Adminfunktioner som politikker, rapportering, logfiler, rollebaseret adgangskontrol, SCIM-provisionering og SSO-integration hjælper virksomheder med at holde adgangen til legitimationsoplysninger mere kontrolleret, efterhånden som de vokser.

En adgangskodeadministrator til virksomheder fjerner ikke OSINT-eksponering, men den kan gøre informationen, som angribere finder, mindre brugbar. Når legitimationsoplysninger er unikke, lagret i krypterede bokse, delt gennem godkendte områder og beskyttet med 2FA eller adgangsnøgler, har en lækket adgangskode eller en overbevisende falsk login-side mindre plads til at udvikle sig til bredere adgang. Det giver også medarbejderne en klarere regel at følge: Virksomhedens legitimationsoplysninger bør blive inde i adgangskodeadministratoren, ikke i e-mails, chats, regneark eller telefonsamtaler.

Angribere vil stadig undersøge din virksomhed. Spørgsmålet er, hvor meget de kan lære, hvor præcist billedet er, og hvor langt de kan nå med det.

Reducer din virksomheds eksponering af legitimationsoplysninger med en adgangskodeadministrator til virksomheder⁠.