La tua strategia di sicurezza aziendale OSINT: come gli attaccanti analizzano le aziende

Un attacco mirato inizia spesso con una ricerca. Gli hacker cercano informazioni come il ruolo di un dipendente, un annuncio di assunzione che nomina i tuoi strumenti aziendali, un indirizzo email esposto o un vecchio sottodominio. Presi singolarmente, questi dettagli non sembrano pericolosi. Ma gli attaccanti raccolgono intenzionalmente molti piccoli indizi e informazioni per costruire una campagna di phishing via email, una pagina di login falsa o una chiamata di impersonificazione che risulti credibile.

L’open source intelligence (OSINT) trasforma le informazioni pubbliche in preparazione per un attacco più mirato. La tua strategia di sicurezza aziendale OSINT è il modo in cui la tua azienda si protegge. Per le aziende, la sfida è duplice: verificare ciò che è già là fuori e sapere cosa esiste in primo luogo, per poi valutare quali dettagli pubblici aiutano clienti, candidati e partner e quali invece aiutano silenziosamente gli attaccanti a mappare le tue persone, i tuoi strumenti, le tue credenziali e i tuoi punti di accesso.

Che cosa significa OSINT nella sicurezza informatica

In un contesto di sicurezza informatica, OSINT è l’uso di informazioni disponibili pubblicamente per identificare possibili percorsi di attacco. Le informazioni possono provenire da motori di ricerca, social media, siti web aziendali, bacheche di annunci di lavoro, repository di codice pubblici e altre fonti che non richiedono l’accesso a un sistema.

Gli attaccanti usano OSINT per rispondere a domande pratiche su un’azienda, come:

• Chi lavora qui?
• Chi approva i pagamenti?
• Quali strumenti usa l’azienda?
• Che aspetto ha il formato email?
• Quali fornitori o clienti potrebbero essere attendibili?
• Quali account potrebbero essere già esposti?
• Quali sistemi sono esposti su internet?

OSINT fornisce agli hacker dettagli che rendono credibili i loro attacchi. Una truffa generica si limita a chiedere un’azione, ma una truffa studiata è mirata a una persona specifica, inviata da una persona che conosce o di cui ha motivo di fidarsi, e menziona un progetto di lavoro reale o informazioni non pubbliche.

Il Cyber Security Breaches Survey 2024(nuova finestra)⁠ del Regno Unito ha rilevato che metà delle aziende britanniche ha dichiarato di aver identificato una violazione o un attacco di sicurezza informatica nei 12 mesi precedenti. Il phishing è rimasto il tipo più comune di violazione o attacco tra le aziende colpite. OSINT non è la stessa cosa del phishing, ma è una risorsa che gli hacker possono usare per rendere il phishing più convincente e più difficile da ignorare per i dipendenti.

Cosa possono imparare gli attaccanti sulla tua azienda

Gli hacker usano diversi metodi per raccogliere informazioni. Ecco alcuni dei percorsi più comuni ed efficaci.

Persone

LinkedIn, le pagine bio aziendali, i programmi delle conferenze, i podcast, i webinar e le menzioni sulla stampa possono rivelare nomi, ruoli, linee di riporto, seniority, posizioni e aree di responsabilità. Questo aiuta gli attaccanti a scegliere chi impersonare e su chi fare pressione.

Per esempio, un attaccante che conosce il nome di un CFO, il formato email dell’azienda e il software attuale del team finanziario può costruire un messaggio che sembra molto meno generico dello spam ordinario. La richiesta può menzionare un fornitore reale, riferirsi a un processo di pagamento esistente all’interno dell’azienda o arrivare in un momento in cui il team si aspetta già comunicazioni relative alle fatture. Nessuna di queste informazioni richiede l’accesso a un sistema privato.

Strumenti

Gli annunci di lavoro spesso menzionano le piattaforme che i candidati dovrebbero conoscere: CRM, strumenti per le paghe, software di helpdesk, piattaforme di analisi, strumenti di collaborazione e ambienti di sviluppo. Recensioni pubbliche, casi di studio, integrazioni e profili dei dipendenti possono rivelare ancora di più.

L’esposizione degli strumenti aiuta gli attaccanti a personalizzare il pretesto di phishing. Un’email di phishing che dice “il tuo account è stato segnalato” non è convincente, ma un messaggio che nomina l’esatto CRM, sistema HR o strumento di collaborazione usato dal team lo è.

Impronta tecnica

Sottodomini, servizi esposti, record dei certificati, vecchi ambienti di staging e pagine di login mal configurate possono rivelare dove un’azienda ha sistemi online. Gli attaccanti possono anche cercare repository pubblici che includono vecchie credenziali, chiavi API, URL interni o file di configurazione committati accidentalmente durante lo sviluppo.

Dati sulle violazioni

Indirizzi email, nomi utente, password, numeri di telefono e altri dettagli personali o aziendali esposti in violazioni precedenti possono diventare materia prima per un attacco successivo. Il Data Breach Observatory⁠ di Proton mostra come i dati trapelati possono continuare a creare rischi dopo l’incidente originale, soprattutto quando credenziali, dettagli di contatto e informazioni sui dipendenti possono essere ricollegati a un’azienda.

Come OSINT alimenta gli attacchi mirati

OSINT diventa pericoloso quando gli attaccanti usano i dati raccolti per costruire una storia credibile. Si consideri un’azienda che pubblica profili del personale, elenca i loghi dei clienti, menziona una recente migrazione CRM negli annunci di lavoro e usa un formato email prevedibile. Un dipendente del reparto finanziario riceve quindi un messaggio che sembra provenire da un dirigente senior, fa riferimento a un fornitore reale e chiede un supporto urgente per un pagamento. L’email deve solo contenere abbastanza dettagli familiari per ridurre i sospetti.

Lo stesso schema si applica agli attacchi alle credenziali. Un attaccante trova l’email aziendale di un dipendente nei dati sulle violazioni, vede su LinkedIn che la persona lavora nelle operations e apprende dagli annunci di lavoro che l’azienda usa una specifica piattaforma SaaS. Il successivo messaggio di phishing può imitare quella piattaforma e arrivare con un linguaggio adatto al ruolo del dipendente.

Anche le truffe telefoniche possono essere modellate tramite OSINT. Un chiamante che conosce il provider IT dell’azienda, il nome di un responsabile di reparto o i tempi di un progetto sembra legittimo. Ecco perché OSINT e social engineering sono intrecciati: le informazioni pubbliche danno agli attaccanti la sicurezza e i dettagli necessari per manipolare le persone in tempo reale.

L’azienda può vivere l’attacco finale come phishing, vishing, compromissione dell’account, frode sulle fatture o furto di credenziali. Il lavoro preparatorio potrebbe essere stato OSINT fin dall’inizio.

Anche le credenziali trapelate sono OSINT

I dati sulle violazioni sono spesso discussi come un rischio diretto di compromissione dell’account: quando una password trapela, gli attaccanti possono provarla su più punti di ingresso. Questo resta un problema serio, soprattutto quando i dipendenti riutilizzano le password su più servizi.

Ma le credenziali trapelate possono anche aiutare gli attaccanti a comprendere l’azienda dietro l’account. Un indirizzo email esposto può confermare quali servizi ha usato un dipendente, mentre vecchie password, numeri di telefono e domini aziendali ricorrenti possono aggiungere contesto per futuri tentativi di phishing, vishing o compromissione dell’account. La violazione può essere avvenuta altrove, ma le informazioni possono comunque aiutare un attaccante a costruire un quadro più accurato del tuo team.

Il Data Breach Observatory⁠ di Proton evidenzia come i dati esposti possano supportare phishing, attacchi alle credenziali e social engineering più ampio. Evidenzia anche che i dati trapelati non smettono di essere utili agli attaccanti dopo che viene segnalata la prima violazione. Questi dati possono essere riutilizzati, combinati e rimodellati per future attività mirate.

Il monitoraggio delle email aziendali esposte e delle credenziali aiuta le organizzazioni a vedere più della semplice password da cambiare. Può rivelare dove i dipendenti hanno usato indirizzi di lavoro, quali servizi possono essere collegati all’azienda e se la stessa identità compare in più perdite di dati.

Questo è essenziale perché gli attaccanti possono riutilizzare le informazioni, non solo per provare vecchie password, ma per rendere futuri tentativi di phishing, vishing o impersonificazione più specifici. Una credenziale trapelata è raramente solo una credenziale isolata. Può diventare parte della ricerca di base che rende il prossimo attacco più efficace.

Riduci ciò che gli attaccanti possono imparare dalle fonti pubbliche

Nessuna azienda può rimuoversi completamente dalla vista pubblica, e non dovrebbe essere l’obiettivo di nessuno. Clienti, candidati e partner hanno comunque bisogno di informazioni sufficienti per capire chi sei e come lavorare con te.

Il rischio sta nel pubblicare dettagli che vanno oltre quello scopo: nomi di strumenti interni, schemi di contatto diretto, flussi di approvazione o indizi tecnici che offrono agli attaccanti un quadro più preciso di come opera l’azienda.

• Inizia dalle informazioni rivolte al pubblico. Esamina pagine aziendali, biografie del team, comunicati stampa, casi di studio, articoli del centro assistenza, annunci di lavoro, post sui social media e documenti pubblici. Cerca dettagli che rivelano sistemi interni, processi di approvazione, percorsi di accesso o flussi di lavoro sensibili.
• Gli annunci di lavoro meritano un’attenzione particolare. I candidati possono aver bisogno di conoscere le grandi categorie di strumenti che useranno, ma gli annunci pubblici non devono sempre nominare ogni piattaforma SaaS, prodotto di sicurezza, CRM, strumento di pagamento, provider cloud o flusso di lavoro interno. Più l’elenco degli strumenti è specifico, più diventa facile creare un falso prompt di login, un messaggio di supporto o una richiesta di fornitore.
• Anche le informazioni sui dipendenti richiedono equilibrio. Seniority, ruolo e competenze possono essere appropriati da condividere, ma numeri di telefono diretti, dettagli personali, schemi di viaggio, nomi di progetti interni o dettagli non necessari sulla struttura gerarchica possono dare agli attaccanti più materiale su cui lavorare.
• I repository di codice pubblici dovrebbero essere controllati regolarmente. Vecchi progetti, file di test, documentazione o esempi di configurazione possono contenere segreti che non erano destinati a essere pubblici. Anche quando le credenziali sono scadute, URL interni, convenzioni di denominazione e riferimenti a servizi possono comunque aiutare gli attaccanti a comprendere l’ambiente.

Riduci il valore di ciò che gli attaccanti trovano

OSINT esisterà sempre perché le aziende devono essere visibili. L’obiettivo è ridurre la quantità di informazioni non necessarie disponibili e limitare ciò che gli attaccanti possono fare con i dettagli che trovano.

Le informazioni pubbliche sono il primo posto in cui ridurre l’esposizione non necessaria. Annunci di lavoro, profili aziendali, pagine dei dipendenti, repository, sottodomini e vecchi documenti dovrebbero dare alle persone abbastanza contesto per fidarsi e comprendere l’azienda, non una visione dettagliata di come opera dietro le quinte. Quando nomi di strumenti interni, indizi tecnici o dettagli di processo non sono necessari pubblicamente, è meglio tenerli fuori dalla vista.

I controlli sulle credenziali sono altrettanto importanti. Indirizzi email esposti e password trapelate sono alcuni dei segnali OSINT più facili da trasformare in azione. Password uniche, MFA, chiavi di accesso, condivisione sicura, monitoraggio delle violazioni e accesso controllato rendono tutte le attività di ricognizione meno utili.

Esamina la tua impronta tecnica senza pubblicare una roadmap

Anche l’esposizione tecnica fa parte dell’OSINT. Domini, sottodomini, portali di login, servizi cloud, ambienti di sviluppo, endpoint API e repository pubblici possono tutti aiutare gli attaccanti a capire come è strutturata online un’azienda.

Una revisione regolare aiuta a distinguere ciò che è intenzionalmente pubblico da ciò che è stato pubblicato e dimenticato. Vecchie pagine di staging, sottodomini inutilizzati, schermate di servizio predefinite, documentazione obsoleta, note di configurazione esposte e repository pubblici con riferimenti interni possono non sembrare urgenti, ma possono facilitare la ricognizione.

Molte correzioni sono semplici: rimuovere vecchie pagine, limitare l’accesso, aggiornare la documentazione, ruotare i segreti esposti o spostare i dettagli interni fuori dai repository pubblici. Altre scoperte possono richiedere solo un proprietario chiaro e una ragione per rimanere visibili. L’esposizione pubblica diventa una decisione, piuttosto che un’omissione.

Integra i controlli OSINT nelle routine di sicurezza

L’esposizione OSINT non è statica. Cresce ogni volta che un’azienda pubblica qualcosa di nuovo, cambia un flusso di lavoro, assume per un ruolo, lancia un progetto, appare su una pagina di fornitore o ha dati dei dipendenti esposti in una violazione. Ogni aggiornamento sembra innocuo se preso singolarmente, ma col tempo può dare agli attaccanti una visione più chiara delle persone, degli strumenti, delle relazioni e dei punti di accesso dell’azienda.

Un semplice insieme di controlli e revisioni può aiutare:

• Rivedi le informazioni aziendali pubbliche ogni trimestre
• Controlla gli annunci di lavoro prima della pubblicazione per dettagli non necessari su strumenti o flussi di lavoro
• Monitora l’esposizione alle violazioni per gli indirizzi email aziendali
• Rivedi i repository pubblici e i servizi esposti
• Chiedi ai responsabili di dipartimento se qualche informazione pubblica rivela processi sensibili o modelli di accesso.

Prima che un’informazione diventi pubblica, qualcuno dovrebbe sempre chiedersi: potrebbe aiutare un attaccante a creare un messaggio, una chiamata o un tentativo di login più convincenti?

Rendi più difficile collegare le credenziali con gli alias

Alias email possono aiutare a ridurre la quantità di informazioni che gli attaccanti possono collegare tra i servizi. Quando lo stesso indirizzo email viene utilizzato per ogni servizio, diventa più facile collegare account, cercare dati sulle violazioni, indovinare i portali di login e costruire un profilo del dipendente o dell’azienda.

Per alcuni flussi di lavoro aziendali, è necessario un indirizzo email standard. I dipendenti hanno bisogno di identità stabili per il lavoro, i clienti e la collaborazione. Ma gli alias possono essere utili per registrazioni, newsletter, prove, test di fornitori, eventi o servizi che non richiedono l’indirizzo aziendale principale di una persona.

Gli alias email sono utili perché separano gli account che gli attaccanti altrimenti collegherebbero allo stesso dipendente, team o indirizzo aziendale. Possono anche rendere l’esposizione più facile da tracciare. Quando un alias creato per un fornitore inizia a ricevere tentativi di login o messaggi di phishing non correlati, l’azienda ha un segnale più chiaro di dove quell’indirizzo potrebbe essere stato esposto.

Gli alias funzionano meglio quando sono abbinati a un gestore di password aziendale come Proton Pass for Business. Ogni account ha comunque bisogno di una password unica, di un’archiviazione controllata e di una proprietà chiara. Senza quella struttura, gli alias possono diventare un’altra abitudine manuale che i dipendenti devono gestire da soli.

Gestisci l’OSINT con Proton Pass for Business

Un gestore di password aziendale come Proton Pass for Business può aiutarti a monitorare le violazioni e proteggere la tua rete con funzionalità di integrità delle credenziali. Con Proton Pass for Business, i team possono creare password uniche, archiviarle in cassaforti di password crittografate, usare il riempimento automatico, condividere le credenziali in modo sicuro, gestire le chiavi di accesso e usare l’autenticazione a due fattori (2FA) integrata.

Funzionalità di amministrazione come policy, report, log, controllo degli accessi basato sui ruoli, provisioning SCIM e integrazione SSO aiutano le aziende a mantenere l’accesso alle credenziali più controllato man mano che crescono.

Un gestore di password aziendale non elimina l’esposizione OSINT, ma può rendere meno utili le informazioni che gli attaccanti trovano. Quando le credenziali sono uniche, archiviate in cassaforti crittografate, condivise tramite spazi approvati e protette con 2FA o chiavi di accesso, una password trapelata o una pagina di login falsa convincente ha meno spazio per trasformarsi in un accesso più ampio. Inoltre, offre ai dipendenti una regola più chiara da seguire: le credenziali aziendali dovrebbero rimanere all’interno del gestore di password, non nelle email, nelle chat, nei fogli di calcolo o nelle conversazioni telefoniche.

Gli attaccanti continueranno comunque a studiare la tua azienda. La domanda è quanto possono imparare, quanto è accurata quella fotografia e fin dove possono spingersi con essa.

Riduci l’esposizione delle credenziali della tua azienda con un gestore di password aziendale⁠.