Serangan yang ditargetkan sering dimulai dengan pencarian. Peretas mencari informasi seperti jabatan karyawan, postingan lowongan yang menyebutkan alat bisnis Anda, alamat email yang terekspos atau subdomain lama. Secara terpisah, rincian ini tampak tidak berbahaya. Namun penyerang dengan sengaja mengumpulkan banyak petunjuk kecil dan informasi untuk membangun kampanye email phishing, halaman masuk palsu, atau panggilan peniruan yang terasa meyakinkan.

Intelijen open source (OSINT) mengubah informasi publik menjadi persiapan untuk serangan yang lebih tertarget. Strategi keamanan bisnis OSINT Anda adalah cara bisnis Anda melindungi diri. Bagi bisnis, tantangannya ada dua: mengaudit apa yang sudah ada di luar sana dan mengetahui apa yang sudah ada sejak awal, lalu menilai rincian publik mana yang membantu pelanggan, kandidat, dan mitra, dan mana yang diam-diam membantu penyerang memetakan orang, alat, kredensial, dan titik akses Anda.

Apa arti OSINT dalam keamanan siber

Dalam konteks keamanan siber, OSINT adalah penggunaan informasi yang tersedia untuk umum untuk mengidentifikasi kemungkinan jalur serangan. Informasi tersebut dapat berasal dari mesin pencari, media sosial, situs web perusahaan, papan lowongan, repositori kode publik, dan sumber lain yang tidak memerlukan pembobolan sistem.

Penyerang menggunakan OSINT untuk menjawab pertanyaan praktis tentang bisnis, seperti:

  • Siapa yang bekerja di sini?
  • Siapa yang menyetujui pembayaran?
  • Alat apa yang digunakan perusahaan?
  • Seperti apa format emailnya?
  • Pemasok atau pelanggan mana yang mungkin tepercaya?
  • Akun mana yang mungkin sudah terekspos?
  • Sistem mana yang menghadap internet?

OSINT memberi peretas rincian yang membuat serangan mereka meyakinkan. Penipuan generik hanya meminta tindakan, tetapi penipuan yang diteliti menargetkan orang tertentu, dikirim dari orang yang mereka kenal atau yang punya alasan untuk dipercaya, dan menyebutkan proyek kerja nyata atau informasi non-publik.

Survei Pembobolan Keamanan Siber 2024 di Inggris Cyber Security Breaches Survey 2024(jendela baru)⁠ menemukan bahwa setengah bisnis di Inggris melaporkan mengidentifikasi pelanggaran atau serangan keamanan siber dalam 12 bulan sebelumnya. Phishing tetap menjadi jenis pelanggaran atau serangan yang paling umum di antara bisnis yang terdampak. OSINT tidak sama dengan phishing, tetapi ini adalah aset yang dapat digunakan peretas untuk membuat phishing lebih meyakinkan dan lebih sulit diabaikan karyawan.

Apa yang dapat dipelajari penyerang tentang bisnis Anda

Peretas menggunakan berbagai metode berbeda untuk mengumpulkan informasi. Berikut adalah beberapa jalur yang paling umum dan efektif.

Orang

LinkedIn, halaman bio perusahaan, agenda konferensi, podcast, webinar, dan penyebutan di media dapat mengungkap nama, jabatan, jalur pelaporan, senioritas, lokasi, dan area tanggung jawab. Itu membantu penyerang memilih siapa yang akan ditiru dan siapa yang akan ditekan.

Misalnya, penyerang yang mengetahui nama seorang CFO, format email perusahaan, dan perangkat lunak tim keuangan saat ini dapat membuat pesan yang terasa jauh lebih tidak generik daripada spam biasa. Permintaan tersebut mungkin menyebutkan pemasok nyata, merujuk pada proses pembayaran yang ada di dalam bisnis, atau tiba pada saat tim sudah mengharapkan komunikasi terkait faktur. Tidak ada informasi ini yang memerlukan akses ke sistem pribadi.

Alat

Lowongan kerja sering menyebutkan platform yang diharapkan diketahui kandidat: CRM, alat penggajian, perangkat lunak helpdesk, platform analitik, alat kolaborasi, dan lingkungan pengembang. Ulasan publik, studi kasus, integrasi, dan profil karyawan dapat mengungkap lebih banyak lagi.

Paparan alat membantu penyerang menyesuaikan dalih phishing mereka. Email phishing yang mengatakan “akun Anda telah ditandai” tidak meyakinkan, tetapi pesan yang menyebutkan CRM, sistem HR, atau alat kolaborasi yang digunakan tim itu meyakinkan.

Jejak teknis

Subdomain, layanan yang terekspos, catatan sertifikat, lingkungan staging lama, dan halaman masuk yang salah konfigurasi dapat mengungkap di mana bisnis memiliki sistem daring. Penyerang juga dapat mencari repositori publik yang menyertakan kredensial lama, kunci API, URL internal, atau file konfigurasi yang tidak sengaja disimpan selama pengembangan.

Data pembobolan

Alamat email, nama pengguna, kata sandi, nomor telepon, dan rincian pribadi atau bisnis lainnya yang terekspos dalam pembobolan sebelumnya dapat menjadi bahan mentah untuk serangan berikutnya. Data Breach Observatory⁠ Proton menampilkan bagaimana data yang bocor dapat terus menimbulkan risiko setelah insiden awal, terutama ketika kredensial, rincian kontak, dan informasi karyawan dapat dikaitkan kembali ke bisnis.

Bagaimana OSINT menggerakkan serangan tertarget

OSINT menjadi berbahaya ketika penyerang menggunakan data yang dikumpulkan untuk membangun cerita yang meyakinkan. Pertimbangkan bisnis yang memublikasikan profil staf, mencantumkan logo pelanggan, menyebutkan migrasi CRM baru-baru ini di iklan lowongan, dan menggunakan format email yang dapat diprediksi. Seorang karyawan keuangan kemudian menerima pesan yang tampaknya berasal dari pemimpin senior, merujuk pada pemasok nyata, dan meminta dukungan pembayaran mendesak. Email tersebut hanya perlu berisi cukup rincian yang familier untuk menurunkan kecurigaan.

Pola yang sama berlaku untuk serangan kredensial. Penyerang menemukan email bisnis karyawan dalam data pembobolan, melihat di LinkedIn bahwa orang tersebut bekerja di operasional, dan mengetahui dari lowongan kerja bahwa perusahaan menggunakan platform SaaS tertentu. Pesan phishing berikutnya dapat meniru platform tersebut dan datang dengan bahasa yang sesuai dengan peran karyawan.

Penipuan telepon juga dapat dibentuk oleh OSINT. Penelepon yang mengetahui penyedia TI perusahaan, nama kepala departemen, atau waktu proyek terdengar sah. Inilah sebabnya OSINT dan rekayasa sosial saling terkait: informasi publik memberi penyerang kepercayaan diri dan rincian yang diperlukan untuk memanipulasi orang secara real time.

Bisnis mungkin mengalami serangan akhir sebagai phishing, vishing, pengambilalihan akun, penipuan faktur, atau pencurian kredensial. Persiapan awalnya mungkin memang OSINT sejak awal.

Kredensial yang bocor juga merupakan OSINT

Data pembobolan sering dibahas sebagai risiko pengambilalihan akun langsung: ketika kata sandi bocor, penyerang dapat mencobanya di berbagai titik masuk. Itu masih merupakan masalah serius, terutama ketika karyawan menggunakan kembali kata sandi yang sama di berbagai layanan.

Tetapi kredensial yang bocor juga dapat membantu penyerang memahami bisnis di balik akun tersebut. Alamat email yang terekspos mungkin mengonfirmasi layanan apa yang pernah digunakan karyawan, sementara kata sandi lama, nomor telepon, dan domain perusahaan yang berulang dapat menambah konteks untuk upaya phishing, vishing, atau pengambilalihan akun di masa mendatang. Pembobolan mungkin terjadi di tempat lain, tetapi informasi tersebut tetap dapat membantu penyerang membangun gambaran yang lebih akurat tentang tim Anda.

Data Breach Observatory⁠ Proton menyoroti bagaimana data yang terekspos dapat mendukung phishing, serangan kredensial, dan rekayasa sosial yang lebih luas. Ini juga menyoroti bahwa data yang bocor tidak berhenti berguna bagi penyerang setelah pembobolan pertama dilaporkan. Data tersebut dapat digunakan kembali, digabungkan, dan dibentuk ulang untuk penargetan di masa mendatang.

Memantau email bisnis dan kredensial yang terekspos membantu organisasi melihat lebih dari sekadar kata sandi yang perlu diubah. Ini dapat mengungkap di mana karyawan telah menggunakan alamat kerja, layanan mana yang mungkin terhubung ke bisnis, dan apakah identitas yang sama muncul di beberapa kebocoran.

Ini penting karena penyerang dapat menggunakan kembali informasi, bukan hanya untuk mencoba kata sandi lama, tetapi untuk membuat upaya phishing, vishing, atau peniruan di masa mendatang terasa lebih spesifik. Kredensial yang bocor jarang hanya merupakan kredensial yang terisolasi. Ini dapat menjadi bagian dari riset latar belakang yang membuat serangan berikutnya lebih efektif.

Kurangi apa yang dapat dipelajari penyerang dari sumber publik

Tidak ada bisnis yang dapat menghapus dirinya dari pandangan publik, dan itu tidak boleh menjadi tujuan siapa pun. Pelanggan, kandidat, dan mitra tetap membutuhkan cukup informasi untuk memahami siapa Anda dan bagaimana bekerja dengan Anda.

Risikonya terletak pada memublikasikan rincian yang melampaui tujuan tersebut: nama alat internal, pola kontak langsung, alur kerja persetujuan, atau petunjuk teknis yang memberi penyerang gambaran lebih tajam tentang cara bisnis beroperasi.

  • Mulai dari informasi publik Anda. Tinjau halaman perusahaan, bio tim, siaran pers, studi kasus, artikel pusat bantuan, lowongan kerja, postingan media sosial, dan dokumen publik. Cari rincian yang mengungkap sistem internal, proses persetujuan, jalur akses, atau alur kerja sensitif.
  • Lowongan kerja perlu perhatian khusus. Kandidat mungkin perlu mengetahui kategori luas alat yang akan mereka gunakan, tetapi iklan publik tidak selalu perlu menyebutkan setiap platform SaaS, produk keamanan, CRM, alat pembayaran, penyedia cloud, atau alur kerja internal. Semakin spesifik daftar alat, semakin mudah membuat perintah masuk palsu, pesan dukungan, atau permintaan vendor.
  • Informasi karyawan juga perlu keseimbangan. Senioritas, peran, dan keahlian mungkin pantas untuk dibagikan, tetapi nomor telepon langsung, rincian pribadi, pola perjalanan, nama proyek internal, atau rincian struktur pelaporan yang tidak perlu dapat memberi penyerang lebih banyak bahan.
  • Repositori kode publik harus ditinjau secara berkala. Proyek lama, file pengujian, dokumentasi, atau contoh konfigurasi mungkin berisi rahasia yang tidak dimaksudkan untuk publik. Bahkan ketika kredensial telah kedaluwarsa, URL internal, konvensi penamaan, dan referensi layanan tetap dapat membantu penyerang memahami lingkungan.

Kurangi nilai dari apa yang ditemukan penyerang

OSINT akan selalu ada karena bisnis perlu terlihat. Tujuannya adalah mengurangi jumlah informasi yang tidak perlu tersedia dan membatasi apa yang dapat dilakukan penyerang dengan rincian yang mereka temukan.

Informasi publik adalah tempat pertama untuk mengurangi paparan yang tidak perlu. Iklan lowongan, profil perusahaan, halaman karyawan, repositori, subdomain, dan dokumen lama harus memberi orang cukup konteks untuk mempercayai dan memahami bisnis, bukan pandangan terperinci tentang cara bisnis beroperasi di balik layar. Ketika nama alat internal, petunjuk teknis, atau rincian proses tidak diperlukan secara publik, lebih baik tidak ditampilkan.

Kontrol kredensial sama pentingnya. Alamat email yang terekspos dan kata sandi yang bocor adalah beberapa sinyal OSINT yang paling mudah diubah menjadi tindakan. Kata sandi unik, MFA, kunci sandi, berbagi aman, pemantauan pembobolan, dan akses terkendali semuanya membuat pengintaian kurang berguna.

Tinjau jejak teknis Anda tanpa memublikasikan peta jalan

Paparan teknis juga merupakan bagian dari OSINT. Domain, subdomain, portal masuk, layanan cloud, lingkungan pengembangan, endpoint API, dan repositori publik semuanya dapat membantu penyerang memahami bagaimana suatu bisnis terstruktur secara daring.

Tinjauan rutin membantu memisahkan apa yang sengaja dipublikasikan dari apa yang telah dipublikasikan lalu terlupakan. Halaman staging lama, subdomain yang tidak digunakan, layar layanan bawaan, dokumentasi kedaluwarsa, catatan konfigurasi yang terekspos, dan repositori publik dengan referensi internal mungkin tampak tidak mendesak, tetapi semuanya dapat mempermudah pengintaian.

Banyak perbaikan yang sederhana: hapus halaman lama, batasi akses, perbarui dokumentasi, ganti rahasia yang terekspos, atau pindahkan rincian internal dari repositori publik. Temuan lain mungkin hanya memerlukan pemilik yang jelas dan alasan untuk tetap terlihat. Paparan publik menjadi sebuah keputusan, bukan kelalaian.

Integrasikan pemeriksaan OSINT ke dalam rutinitas keamanan

Paparan OSINT tidak statis. Paparan ini bertambah setiap kali bisnis mempublikasikan sesuatu yang baru, mengubah alur kerja, merekrut untuk suatu peran, meluncurkan proyek, muncul di halaman pemasok, atau memiliki data karyawan yang terekspos dalam pembobolan. Setiap pembaruan tampak tidak berbahaya jika berdiri sendiri, tetapi seiring waktu dapat memberi penyerang pandangan yang lebih jelas tentang orang, alat, hubungan, dan titik akses perusahaan.

Serangkaian pemeriksaan dan tinjauan sederhana dapat membantu:

  • Tinjau informasi bisnis yang bersifat publik setiap kuartal.
  • Periksa lowongan pekerjaan sebelum dipublikasikan untuk rincian alat atau alur kerja yang tidak perlu.
  • Pantau paparan pembobolan untuk alamat email bisnis.
  • Tinjau repositori publik dan layanan yang terekspos.
  • Tanyakan kepada pimpinan departemen apakah ada informasi publik yang mengungkap proses sensitif atau pola akses.

Sebelum informasi dipublikasikan, seseorang harus selalu bertanya: bisakah ini membantu penyerang membuat pesan, panggilan, atau upaya masuk yang lebih meyakinkan?

Buat kredensial lebih sulit dihubungkan dengan alias

Alias email dapat membantu mengurangi jumlah informasi yang dapat dihubungkan penyerang di berbagai layanan. Ketika alamat email yang sama digunakan untuk setiap layanan, akan lebih mudah menautkan akun, mencari data pembobolan, menebak portal masuk, dan membangun profil karyawan atau bisnis.

Untuk beberapa alur kerja bisnis, alamat email standar diperlukan. Karyawan memerlukan identitas yang stabil untuk pekerjaan, pelanggan, dan kolaborasi. Namun, alias dapat berguna untuk pendaftaran, buletin, uji coba, pengujian vendor, acara, atau layanan yang tidak memerlukan alamat bisnis utama seseorang.

Alias email berguna karena memisahkan akun yang jika tidak demikian akan dihubungkan penyerang ke alamat karyawan, tim, atau bisnis yang sama. Alias juga dapat membuat paparan lebih mudah dilacak. Ketika alias yang dibuat untuk satu vendor mulai menerima upaya masuk atau pesan phishing yang tidak terkait, bisnis memiliki sinyal yang lebih jelas tentang di mana alamat tersebut mungkin telah terekspos.

Alias bekerja paling baik bila dipasangkan dengan pengelola kata sandi bisnis seperti Proton Pass for Business. Setiap akun tetap memerlukan kata sandi unik, penyimpanan yang terkendali, dan kepemilikan yang jelas. Tanpa struktur tersebut, alias dapat menjadi kebiasaan manual lain yang harus dikelola karyawan sendiri.

Kelola OSINT dengan Proton Pass for Business

Pengelola kata sandi bisnis seperti Proton Pass for Business dapat membantu Anda memantau pembobolan dan melindungi jaringan dengan fitur kesehatan kredensial. Dengan Proton Pass for Business⁠, tim dapat membuat kata sandi unik, menyimpannya di brankas kata sandi terenkripsi, menggunakan isi otomatis, membagikan kredensial dengan aman, mengelola kunci sandi, dan menggunakan autentikasi dua faktor bawaan (2FA).

Fitur admin seperti kebijakan, pelaporan, log, kontrol akses berbasis peran, penyediaan SCIM, dan integrasi SSO membantu bisnis menjaga akses kredensial lebih terkendali seiring pertumbuhan mereka.

Pengelola kata sandi bisnis tidak menghilangkan paparan OSINT, tetapi dapat membuat informasi yang ditemukan penyerang menjadi kurang berguna. Ketika kredensial bersifat unik, tersimpan di brankas terenkripsi, dibagikan melalui ruang yang disetujui, dan dilindungi dengan 2FA atau kunci sandi, kata sandi yang bocor atau halaman masuk palsu yang meyakinkan memiliki lebih sedikit ruang untuk berubah menjadi akses yang lebih luas. Ini juga memberi karyawan aturan yang lebih jelas untuk diikuti: kredensial bisnis harus tetap berada di dalam pengelola kata sandi, bukan di email, obrolan, spreadsheet, atau percakapan telepon.

Penyerang tetap akan meneliti bisnis Anda. Pertanyaannya adalah seberapa banyak yang dapat mereka pelajari, seberapa akurat gambaran tersebut, dan sejauh mana mereka dapat melangkah dengannya.

Kurangi paparan kredensial bisnis Anda dengan pengelola kata sandi bisnis⁠.