Kohdennettu hyökkäys alkaa usein etsinnällä. Hakkerit etsivät tietoja, kuten työntekijän työnimikettä, rekrytointi-ilmoitusta, jossa mainitaan yrityksesi työkalut, paljastunutta sähköpostiosoitetta tai vanhaa aliverkkotunnusta. Yksittäin nämä tiedot eivät vaikuta vaarallisilta. Mutta hyökkääjät keräävät tarkoituksella monia pieniä vihjeitä ja tietoja rakentaakseen tietojenkalastelukampanjan, väärennetyn kirjautumissivun tai uskottavalta tuntuvan tekeytymispuhelun.
Avoin lähdetiedustelu (OSINT) muuttaa julkisen tiedon valmistautumiseksi kohdennetumpaan hyökkäykseen. OSINT-yritysturvallisuusstrategiasi on se, miten yrityksesi suojaa itseään. Yrityksille haaste on kaksijakoinen: on kartoitettava, mitä tietoa on jo julkisesti saatavilla ja mitä ylipäätään on olemassa, ja arvioitava, mitkä julkiset tiedot auttavat asiakkaita, ehdokkaita ja kumppaneita ja mitkä taas auttavat hiljaisesti hyökkääjiä kartoittamaan henkilöstösi, työkalusi, kirjautumistietosi ja pääsypisteet.
Mitä OSINT tarkoittaa kyberturvallisuudessa
Kyberturvallisuuden yhteydessä OSINT tarkoittaa julkisesti saatavilla olevan tiedon käyttöä mahdollisten hyökkäysreittien tunnistamiseen. Tieto voi tulla hakukoneista, sosiaalisesta mediasta, yritysten verkkosivustoilta, työpaikkailmoituksista, julkisista koodivarastoista ja muista lähteistä, jotka eivät vaadi järjestelmään murtautumista.
Hyökkääjät käyttävät OSINTia vastatakseen käytännön kysymyksiin yrityksestä, kuten:
- Ketkä työskentelevät täällä?
- Kuka hyväksyy maksut?
- Mitä työkaluja yritys käyttää?
- Millainen on sähköpostiosoitteen muoto?
- Mitkä toimittajat tai asiakkaat voivat olla luotettuja?
- Mitkä tilit ovat jo mahdollisesti paljastuneet?
- Mitkä järjestelmät ovat yhteydessä internetiin?
OSINT antaa hakkereille tietoja, jotka tekevät heidän hyökkäyksistään uskottavia. Yleinen huijaus yksinkertaisesti pyytää toimintaa, mutta taustatutkittu huijaus on kohdennettu tiettyyn henkilöön, lähetetty henkilöltä, jonka he tuntevat tai johon heillä on syytä luottaa, ja se mainitsee todellisen työprojektin tai ei-julkista tietoa.
Yhdistyneen kuningaskunnan Cyber Security Breaches Survey 2024(uusi ikkuna) havaitsi, että puolet brittiyrityksistä ilmoitti havainneensa kyberturvallisuusmurron tai -hyökkäyksen edellisten 12 kuukauden aikana. Tietojenkalastelu oli edelleen yleisin murto- tai hyökkäystyyppi kohdanneiden yritysten keskuudessa. OSINT ei ole sama asia kuin tietojenkalastelu, mutta se on voimavara, jota hakkerit voivat käyttää tehdäkseen tietojenkalastelusta vakuuttavampaa ja vaikeampaa työntekijöiden hylätä.
Mitä hyökkääjät voivat oppia yrityksestäsi
Hakkerit käyttävät monenlaisia menetelmiä tietojen keräämiseen. Tässä on joitakin yleisimmistä ja tehokkaimmista reiteistä.
Ihmiset
LinkedIn, yritysten esittelysivut, konferenssiohjelmat, podcastit, webinaarit ja lehdistömaininnat voivat paljastaa nimiä, työnimikkeitä, raportointisuhteita, asemaa, sijainteja ja vastuualueita. Tämä auttaa hyökkääjiä valitsemaan, ketä tekeytyä ja kehen painostaa.
Esimerkiksi hyökkääjä, joka tietää talousjohtajan nimen, yrityksen sähköpostiosoitteen muodon ja talousosaston nykyisen ohjelmiston, voi rakentaa viestin, joka tuntuu paljon vähemmän yleisluontoiselta kuin tavallinen roskaposti. Pyyntö voi mainita todellisen toimittajan, viitata yrityksen sisäiseen maksuprosessiin tai saapua hetkellä, jolloin tiimi jo odottaa laskuihin liittyvää viestintää. Mikään näistä tiedoista ei vaadi pääsyä yksityiseen järjestelmään.
Työkalut
Työpaikkailmoitukset mainitsevat usein alustoja, joita ehdokkaiden odotetaan tuntevan: CRM-järjestelmät, palkanlaskentatyökalut, tukipalveluohjelmistot, analytiikka-alustat, yhteistyötyökalut ja kehittäjäympäristöt. Julkiset arvostelut, tapaustutkimukset, integraatiot ja työntekijäprofiilit voivat paljastaa vielä enemmän.
Työkalujen paljastuminen auttaa hyökkääjiä räätälöimään tietojenkalastelun taustatarinaa. Tietojenkalastelusähköposti, jossa sanotaan “tilisi on merkitty”, ei ole vakuuttava, mutta viesti, joka nimeää tarkan CRM:n, HR-järjestelmän tai tiimin käyttämän yhteistyötyökalun, on.
Tekninen jalanjälki
Aliverkkotunnukset, paljastuneet palvelut, varmennetiedot, vanhat testiympäristöt ja väärin konfiguroidut kirjautumissivut voivat paljastaa, missä yrityksellä on verkkoyhteydessä olevia järjestelmiä. Hyökkääjät voivat myös etsiä julkisia koodivarastoja, jotka sisältävät vanhoja kirjautumistietoja, API-avaimia, sisäisiä URL-osoitteita tai kehityksen aikana vahingossa commitoituja määritystiedostoja.
Murtoaineisto
Sähköpostiosoitteet, käyttäjätunnukset, salasanat, puhelinnumerot ja muut henkilökohtaiset tai liiketoimintaan liittyvät tiedot, jotka ovat paljastuneet aiemmissa murroissa, voivat joutua raaka-aineeksi myöhempään hyökkäykseen. Protonin Data Breach Observatory näyttää, miten vuotaneet tiedot voivat jatkaa riskin aiheuttamista alkuperäisen tapauksen jälkeen, erityisesti kun kirjautumistiedot, yhteystiedot ja työntekijätiedot voidaan yhdistää takaisin yritykseen.
Miten OSINT mahdollistaa kohdennetut hyökkäykset
OSINT muuttuu vaaralliseksi, kun hyökkääjät käyttävät kerättyä dataa rakentaakseen uskottavan tarinan. Ajatellaan yritystä, joka julkaisee henkilöstöprofiileja, luettelee asiakkaiden logoja, mainitsee äskettäisestä CRM-muutosta työpaikkailmoituksissa ja käyttää ennustettavaa sähköpostiosoitteen muotoa. Talousosaston työntekijä saa sitten viestin, joka näyttää tulevan johtajalta, viittaa todelliseen toimittajaan ja pyytää kiireellistä maksutukea. Sähköpostin tarvitsee sisältää vain tarpeeksi tuttuja yksityiskohtia epäilyksen vähentämiseksi.
Sama malli pätee kirjautumistietoihin kohdistuviin hyökkäyksiin. Hyökkääjä löytää työntekijän työsähköpostin murtoaineistosta, näkee LinkedInissä, että henkilö työskentelee operaatioissa, ja oppii työpaikkailmoituksista, että yritys käyttää tiettyä SaaS-alustaa. Seuraava tietojenkalasteluviesti voi jäljitellä kyseistä alustaa ja saapua kielellä, joka vastaa työntekijän tehtävää.
Puhelinhuijauksia voidaan myös muovata OSINTin avulla. Soittaja, joka tietää yrityksen IT-palveluntarjoajan, osaston johtajan nimen tai projektin ajoituksen, kuulostaa uskottavalta. Tästä syystä OSINT ja sosiaalinen manipulointi kietoutuvat yhteen: julkinen tieto antaa hyökkääjille itseluottamuksen ja yksityiskohdat, joita tarvitaan ihmisten manipuloimiseen reaaliajassa.
Yritys voi kokea lopullisen hyökkäyksen tietojenkalasteluna, vishinginä, tilin haltuunottona, laskupetoksena tai kirjautumistietojen varastamisena. Taustatyö on voinut olla OSINTia koko ajan.
Vuotaneet kirjautumistiedot ovat myös OSINTia
Murtoaineistosta puhutaan usein suorana tilin haltuunoton riskinä: kun salasana vuotaa, hyökkääjät voivat kokeilla sitä useissa eri sisääntulopisteissä. Tämä on edelleen vakava ongelma, erityisesti kun työntekijät käyttävät samoja salasanoja eri palveluissa.
Mutta vuotaneet kirjautumistiedot voivat myös auttaa hyökkääjiä ymmärtämään tilin taustalla olevaa liiketoimintaa. Paljastunut sähköpostiosoite voi vahvistaa, mitä palveluita työntekijä on käyttänyt, kun taas vanhat salasanat, puhelinnumerot ja toistuvat yritysten verkkotunnukset voivat lisätä kontekstia tuleville tietojenkalastelu-, vishing- tai tilin haltuunottoyrityksille. Murto on voinut tapahtua jossain muualla, mutta tiedot voivat silti auttaa hyökkääjää muodostamaan tarkemman kuvan tiimistäsi.
Protonin Data Breach Observatory korostaa, miten paljastuneet tiedot voivat tukea tietojenkalastelua, kirjautumistietoihin kohdistuvia hyökkäyksiä ja laajempaa sosiaalista manipulointia. Se korostaa myös, että vuotaneet tiedot eivät lakkaa olemasta hyödyllisiä hyökkääjille sen jälkeen, kun ensimmäinen murto on raportoitu. Näitä tietoja voidaan käyttää uudelleen, yhdistää ja muokata tulevaa kohdentamista varten.
Paljastuneiden työsähköpostien ja kirjautumistietojen valvonta auttaa organisaatioita näkemään muutakin kuin salasanan, joka on vaihdettava. Se voi paljastaa, missä työntekijät ovat käyttäneet työosoitteita, mitkä palvelut voivat olla yhteydessä yritykseen ja esiintyykö sama henkilöllisyys useissa vuodoissa.
Tämä on olennaista, koska hyökkääjät voivat käyttää tietoja uudelleen, ei vain kokeillakseen vanhoja salasanoja, vaan tehdäkseen tulevista tietojenkalastelu-, vishing- tai tekeytymisyrityksistä tarkempia. Vuotanut kirjautumistieto on harvoin vain erillinen kirjautumistieto. Siitä voi tulla osa taustatutkimusta, joka tekee seuraavasta hyökkäyksestä tehokkaamman.
Vähennä sitä, mitä hyökkääjät voivat oppia julkisista lähteistä
Yksikään yritys ei voi poistaa itseään julkisuudesta, eikä se saisi olla kenenkään tavoite. Asiakkaat, ehdokkaat ja kumppanit tarvitsevat edelleen tarpeeksi tietoa ymmärtääkseen, keitä olette ja miten kanssanne työskennellään.
Riski piilee sellaisten tietojen julkaisemisessa, jotka menevät pidemmälle kuin tämä tarkoitus: sisäisten työkalujen nimet, suorat yhteydenottotavat, hyväksymistyönkulut tai tekniset vihjeet, jotka antavat hyökkääjille tarkemman kuvan siitä, miten yritys toimii.
- Aloita julkisista tiedoistasi. Käy läpi yrityssivut, tiimien esittelyt, lehdistötiedotteet, tapaustutkimukset, tukikeskuksen artikkelit, työpaikkailmoitukset, sosiaalisen median julkaisut ja julkiset asiakirjat. Etsi tietoja, jotka paljastavat sisäisiä järjestelmiä, hyväksymisprosesseja, pääsyreittejä tai arkaluonteisia työnkulkuja.
- Työpaikkailmoitukset ansaitsevat erityistä huomiota. Ehdokkaat voivat tarvita tietoa työkalujen laajoista luokista, mutta julkisten ilmoitusten ei aina tarvitse nimetä jokaista SaaS-alustaa, tietoturvatuotetta, CRM:ää, maksutyökalua, pilvipalveluntarjoajaa tai sisäistä työnkulkua. Mitä tarkempi työkaluluettelo on, sitä helpompaa on rakentaa väärennetty kirjautumiskehote, tukiviesti tai toimittajapyyntö.
- Myös työntekijätietojen jakaminen vaatii tasapainoa. Asema, tehtävä ja asiantuntemus voivat olla sopivia jaettavia tietoja, mutta suorat puhelinnumerot, henkilökohtaiset tiedot, matkustustottumukset, sisäiset projektinimet tai tarpeettomat raportointirakenteen tiedot voivat antaa hyökkääjille enemmän työkaluja.
- Julkiset koodivarastot tulee tarkistaa säännöllisesti. Vanhat projektit, testitiedostot, dokumentaatio tai määritysesimerkit voivat sisältää salaisuuksia, joita ei ollut tarkoitettu julkisiksi. Vaikka kirjautumistiedot olisivat vanhentuneet, sisäiset URL-osoitteet, nimeämiskäytännöt ja palveluviittaukset voivat silti auttaa hyökkääjiä ymmärtämään ympäristöä.
Vähennä sen arvoa, mitä hyökkääjät löytävät
OSINTia tulee aina olemaan, koska yritysten on oltava näkyviä. Tavoitteena on vähentää saatavilla olevan tarpeettoman tiedon määrää ja rajoittaa sitä, mitä hyökkääjät voivat tehdä löytämillään tiedoilla.
Julkinen tieto on ensimmäinen paikka vähentää tarpeetonta näkyvyyttä. Työpaikkailmoitusten, yritysprofiilien, työntekijäsivujen, koodivarastojen, aliverkkotunnusten ja vanhojen asiakirjojen tulisi antaa ihmisille tarpeeksi kontekstia luottaa yritykseen ja ymmärtää sitä, ei yksityiskohtaista kuvaa siitä, miten se toimii kulissien takana. Kun sisäisten työkalujen nimiä, teknisiä vihjeitä tai prosessien yksityiskohtia ei tarvita julkisesti, ne on parempi pitää poissa näkyvistä.
Kirjautumistietojen hallinta on yhtä tärkeää. Paljastuneet sähköpostiosoitteet ja vuotaneet salasanat ovat joitakin helpoimmin toiminnaksi muutettavia OSINT-signaaleja. Yksilölliset salasanat, MFA, pääsyavaimet, turvallinen jakaminen, murtojen valvonta ja hallittu pääsy tekevät kaikki tiedustelusta vähemmän hyödyllistä.
Tarkista tekninen jalanjälkesi julkaisematta tiekarttaa
Tekninen näkyvyys on osa OSINTia. Verkkotunnukset, aliverkkotunnukset, kirjautumisportaalit, pilvipalvelut, kehitysympäristöt, API-päätepisteet ja julkiset repositoriot voivat kaikki auttaa hyökkääjiä ymmärtämään, miten yritys on rakentunut verkossa.
Säännöllinen tarkastelu auttaa erottamaan sen, mikä on tarkoituksella julkista, siitä, mikä on julkaistu ja unohdettu. Vanhat testisivut, käyttämättömät aliverkkotunnukset, palvelujen oletusnäkymät, vanhentunut dokumentaatio, paljastuneet määritysmuistiinpanot ja julkiset repositoriot, joissa on sisäisiä viittauksia, eivät ehkä tunnu kiireellisiltä, mutta ne voivat helpottaa tiedustelua.
Monet korjaukset ovat yksinkertaisia: poista vanhat sivut, rajoita käyttöä, päivitä dokumentaatio, vaihda paljastuneet salaisuudet tai siirrä sisäiset tiedot pois julkisista repositorioista. Muut havainnot voivat tarvita vain selkeän omistajan ja syyn pysyä näkyvissä. Julkinen näkyvyys muuttuu päätökseksi, ei laiminlyönniksi.
Sisällytä OSINT-tarkistukset tietoturvarutiineihin
OSINT-näkyvyys ei ole staattista. Se kasvaa joka kerta, kun yritys julkaisee jotain uutta, muuttaa työnkulkua, palkkaa henkilön tehtävään, käynnistää projektin, ilmestyy toimittajasivulle tai sen työntekijätiedot paljastuvat tietomurrossa. Jokainen päivitys vaikuttaa yksinään harmittomalta, mutta ajan myötä se voi antaa hyökkääjille selkeämmän kuvan yrityksen ihmisistä, työkaluista, suhteista ja pääsypisteistä.
Yksinkertainen tarkistus- ja tarkastelusarja voi auttaa:
- Käy läpi julkisesti näkyvät yritystiedot neljännesvuosittain
- Tarkista työpaikkailmoitukset ennen julkaisua tarpeettomien työkalu- tai työnkulkutietojen varalta
- Seuraa yrityksen sähköpostiosoitteiden paljastumista tietomurroissa
- Käy läpi julkiset repositoriot ja paljastuneet palvelut
- Kysy osastojen esihenkilöiltä, paljastavatko julkiset tiedot arkaluonteisia prosesseja tai käyttömalleja.
Ennen kuin tiedot tulevat julkisiksi, jonkun pitäisi aina kysyä: voisiko tämä auttaa hyökkääjää luomaan vakuuttavamman viestin, puhelun tai kirjautumisyrityksen?
Vaikeuta kirjautumistietojen yhdistämistä aliaksilla
Sähköpostialiakset voivat auttaa vähentämään tiedon määrää, jonka hyökkääjät voivat yhdistää eri palveluiden välillä. Kun samaa sähköpostiosoitetta käytetään kaikissa palveluissa, on helpompaa linkittää tilejä, etsiä tietomurtoaineistoa, arvata kirjautumisportaaleja ja rakentaa profiili työntekijästä tai yrityksestä.
Joissakin yrityksen työnkuluissa tarvitaan tavallista sähköpostiosoitetta. Työntekijät tarvitsevat vakaat henkilöllisyydet työtä, asiakkaita ja yhteistyötä varten. Aliakset voivat kuitenkin olla hyödyllisiä rekisteröitymisissä, uutiskirjeissä, kokeiluissa, toimittajatesteissä, tapahtumissa tai palveluissa, jotka eivät vaadi henkilön ensisijaista yritysosoitetta.
Sähköpostialiakset ovat hyödyllisiä, koska ne erottavat tilejä, jotka hyökkääjät muuten yhdistäisivät samaan työntekijään, tiimiin tai yritysosoitteeseen. Ne voivat myös helpottaa altistumisen jäljittämistä. Kun yhdelle toimittajalle luotu alias alkaa vastaanottaa aiheettomia kirjautumisyrityksiä tai tietojenkalasteluviestejä, yrityksellä on selkeämpi signaali siitä, missä tämä osoite on saattanut paljastua.
Aliakset toimivat parhaiten, kun ne yhdistetään yrityssalasananhallintaan, kuten Proton Pass for Business. Jokainen tili tarvitsee edelleen yksilöllisen salasanan, hallitun tallennuksen ja selkeän omistajuuden. Ilman tätä rakennetta aliaksista voi tulla jälleen yksi manuaalinen tapa, jota työntekijöiden on hallittava itse.
Hallitse OSINTia Proton Pass for Businessin avulla
Yrityssalasananhallinta, kuten Proton Pass for Business, voi auttaa seuraamaan tietomurtoja ja suojaamaan verkkoa kirjautumistietojen tilaa seuraavilla ominaisuuksilla. Proton Pass for Businessin avulla tiimit voivat luoda yksilöllisiä salasanoja, tallentaa ne salattuihin salasanaholveihin, käyttää automaattitäyttöä, jakaa kirjautumistietoja turvallisesti, hallita pääsyavaimia ja käyttää sisäänrakennettua kaksivaiheista tunnistautumista (2FA).
Ylläpitäjäominaisuudet, kuten käytännöt, raportointi, lokit, tehtäväpohjainen käytönvalvonta, SCIM-provisiointi ja SSO-integraatio, auttavat yrityksiä pitämään kirjautumistietojen käytön paremmin hallinnassa niiden kasvaessa.
Yrityssalasananhallinta ei poista OSINT-näkyvyyttä, mutta se voi tehdä tiedoista, jotka hyökkääjät löytävät, vähemmän hyödyllisiä. Kun kirjautumistiedot ovat yksilöllisiä, tallennettu salattuihin holveihin, jaettu hyväksyttyjen tilojen kautta ja suojattu 2FA:lla tai pääsyavaimilla, vuotaneella salasanalla tai vakuuttavalla väärennetyllä kirjautumissivulla on vähemmän mahdollisuuksia laajempaan käyttöön. Se antaa työntekijöille myös selkeämmän säännön noudatettavaksi: yrityksen kirjautumistietojen tulee pysyä salasananhallinnassa, ei sähköposteissa, keskusteluissa, laskentataulukoissa tai puhelinkeskusteluissa.
Hyökkääjät tutkivat yritystäsi edelleen. Kysymys on siitä, kuinka paljon he voivat oppia, kuinka tarkka tämä kuva on ja kuinka pitkälle he voivat päästä sen avulla.
Vähennä yrityksesi kirjautumistietojen altistumista yrityssalasananhallinnalla.
