標的型攻撃はしばしば検索から始まります。ハッカーは、従業員の役職、自社のビジネスツール名が記載された求人投稿、露出したメールアドレス、古いサブドメインなどの情報を探します。これらは単独では危険には見えません。しかし攻撃者は、説得力のあるフィッシングメールキャンペーン、偽のログインページ、なりすまし電話を組み立てるために、多くの小さな手がかりや情報を意図的に収集します。
オープンソースインテリジェンス（OSINT）は、公開情報を、より標的を絞った攻撃の準備に変えます。OSINTビジネスセキュリティ戦略とは、企業が自社を保護する方法です。企業にとって、課題は2つあります ： すでに公開されている情報を監査し、そもそも何が存在するかを把握した上で、どの公開詳細が顧客、候補者、パートナーの役に立ち、どの公開詳細が攻撃者にあなたの従業員、ツール、認証情報、アクセスポイントの把握を静かに手助けしているかを見極めることです。
サイバーセキュリティにおけるOSINTの意味
サイバーセキュリティの文脈では、OSINTとは、可能な攻撃パスを特定するために公開情報を利用することです。情報は、検索エンジン、ソーシャルメディア、企業のウェブサイト、求人掲示板、公開コードリポジトリ、およびシステムへの侵入を必要としないその他のソースから得られる場合があります。
攻撃者は、企業に関する実用的な疑問に答えるためにOSINTを使用します。例えば ：
- ここで働いているのは誰ですか？
- 支払いを承認するのは誰ですか？
- 会社はどのようなツールを使用していますか？
- メールの形式はどのようになっていますか？
- どのサプライヤーや顧客が信頼できる可能性がありますか？
- どのアカウントがすでに露出している可能性がありますか？
- どのシステムがインターネットに公開されていますか？
OSINTは、ハッカーに攻撃を信憑性のあるものにする詳細を与えます。一般的な詐欺は単に行動を求めますが、調査に基づいた詐欺は特定の人物を標的とし、その人物が知っているか信頼する理由のある人物から送信され、実際の仕事のプロジェクトや非公開情報に言及します。
英国のCyber Security Breaches Survey 2024(新しいウィンドウ)は、英国企業の半数が過去12か月間にサイバーセキュリティ侵害または攻撃を特定したと報告したことを明らかにしました。フィッシングは、影響を受けた企業の間で最も一般的な侵害または攻撃のタイプであり続けました。OSINTはフィッシングと同じではありませんが、ハッカーがフィッシングをより説得力のあるものにし、従業員が却下するのを難しくするために使用できる資産です。
攻撃者があなたの企業について学べること
ハッカーは情報を収集するためにさまざまな異なる方法を使用します。ここでは、最も一般的で効果的なパスのいくつかを紹介します。
人々
LinkedIn、企業の経歴ページ、カンファレンスの議題、ポッドキャスト、ウェビナー、プレスでの言及は、名前、役職、報告ライン、年次、位置、責任範囲を明らかにする可能性があります。これは、攻撃者が誰になりすまし、誰に圧力をかけるかを選ぶのに役立ちます。
たとえば、CFOの名前、会社のメール形式、財務チームの現在のソフトウェアを知っている攻撃者は、通常の迷惑メールよりもはるかに一般的でないと感じられるメッセージを構築できます。リクエストは、実際のサプライヤーに言及したり、企業内に存在する支払いプロセスに言及したり、チームがすでに請求書関連の通信を期待している瞬間に届いたりする可能性があります。これらの情報はどれも、プライベートシステムへのアクセスを必要としません。
ツール
求人情報では、候補者が知っていると期待されるプラットフォームがよく言及されます ： CRM、給与計算ツール、ヘルプデスクソフトウェア、分析プラットフォーム、コラボレーションツール、開発者環境などです。公開レビュー、ケーススタディ、統合、従業員プロフィールはさらに多くを明らかにする可能性があります。
ツールの露出は、攻撃者がフィッシングの口実を調整するのに役立ちます。”あなたのアカウントにフラグが立てられました”というフィッシングメールは説得力がありませんが、チームが使用している正確なCRM、HRシステム、またはコラボレーションツールを名指しするメッセージは説得力があります。
技術的フットプリント
サブドメイン、露出したサービス、証明書レコード、古いステージング環境、設定ミスのあるログインページは、企業がオンラインシステムをどこに持っているかを明らかにする可能性があります。攻撃者はまた、古い認証情報、APIキー、内部URL、または開発中に誤ってコミットされた構成ファイルを含む公開リポジトリを探す場合もあります。
侵害データ
以前の侵害で露出したメールアドレス、ユーザー名、パスワード、電話番号、その他の個人またはビジネスの詳細は、後の攻撃の原材料になる可能性があります。ProtonのData Breach Observatoryは、漏洩したデータが元のインシデント後もどのようにリスクを生み出し続けるかを示しています。特に、認証情報、連絡先の詳細、従業員情報が企業にリンクできる場合です。
OSINTが標的型攻撃をどのように強化するか
OSINTは、攻撃者が収集したデータを使用して信憑性のあるストーリーを構築するときに危険になります。スタッフプロフィールを公開し、顧客ロゴをリストし、求人広告で最近のCRM移行に言及し、予測可能なメール形式を使用している企業を考えてみましょう。その後、財務担当従業員は、上級リーダーから来たように見え、実際のサプライヤーに言及し、緊急の支払いサポートを求めるメッセージを受け取ります。メールは、疑念を下げるのに十分な使い慣れた詳細を含んでいるだけで十分です。
同じパターンが認証情報攻撃にも当てはまります。攻撃者は、侵害データで従業員のビジネスメールを見つけ、LinkedInでその人物が運用部門で働いていることを確認し、求人情報から会社が特定のSaaSプラットフォームを使用していることを知ります。次のフィッシングメッセージは、そのプラットフォームを模倣し、従業員の役割に一致する言語で届く可能性があります。
電話詐欺もOSINTによって形作られる可能性があります。会社のITプロバイダー、部門長の名前、またはプロジェクトのタイミングを知っている発信者は、正当に聞こえます。これが、OSINTとソーシャルエンジニアリングが絡み合っている理由です ： 公開情報は、攻撃者にリアルタイムで人々を操作するために必要な自信と詳細を与えます。
企業は最終的な攻撃をフィッシング、ビッシング、アカウント乗っ取り、請求書詐欺、または認証情報窃取として経験する可能性があります。その下準備はずっとOSINTであったかもしれません。
漏洩した認証情報もOSINTです。
侵害データは、直接的なアカウント乗っ取りリスクとしてよく議論されます ： パスワードが漏洩すると、攻撃者は複数のエントリポイントでそれを試すことができます。これは依然として深刻な問題です。特に、従業員が複数のサービスでパスワードを再利用している場合です。
しかし、漏洩した認証情報は、攻撃者がアカウントの背後にあるビジネスを理解するのにも役立ちます。露出したメールアドレスは、従業員がどのサービスを使用したかを確認する可能性があり、古いパスワード、電話番号、繰り返される会社のドメインは、将来のフィッシング、ビッシング、またはアカウント乗っ取りの試みのコンテキストを追加する可能性があります。侵害は別の場所で発生した可能性がありますが、情報は依然として攻撃者がチームのより正確な全体像を構築するのに役立ちます。
ProtonのData Breach Observatoryは、露出したデータがフィッシング、認証情報攻撃、より広範なソーシャルエンジニアリングをどのようにサポートできるかを強調しています。また、漏洩したデータが最初の侵害が報告された後も攻撃者にとって有用であり続けることを強調しています。そのデータは、将来の標的化のために再利用、結合、再形成される可能性があります。
露出したビジネスメールと認証情報を監視することで、組織は変更が必要なパスワード以上のものを把握できます。従業員が職場のアドレスをどこで使用したか、どのサービスがビジネスに接続されている可能性があるか、同じユーザー情報が複数の漏洩に現れているかどうかを明らかにできます。
これは重要です。攻撃者は情報を再利用して、古いパスワードを試すだけでなく、将来のフィッシング、ビッシング、なりすましの試みをより具体的に感じさせるために使用できるからです。漏洩した認証情報が単に孤立した認証情報であることはほとんどありません。それは、次の攻撃をより効果的にするバックグラウンド調査の一部になる可能性があります。
攻撃者が公開情報源から学べることを減らす
どの企業も公開の場から自らを削除することはできませんし、それは誰の目的でもありません。顧客、候補者、パートナーは、あなたが誰であり、どのように協力するかを理解するために、依然として十分な情報を必要としています。
リスクは、その目的を超えた詳細を公開することにあります ： 内部ツール名、直接の連絡パターン、承認ワークフロー、または攻撃者にビジネスの運営方法のより鮮明な全体像を与える技術的な手がかりなどです。
- 公開情報から始めましょう。 会社のページ、チームの経歴、プレスリリース、ケーススタディ、ヘルプセンターの記事、求人情報、ソーシャルメディアの投稿、公開文書を確認します。内部システム、承認プロセス、アクセスルート、または機密性の高いワークフローを明らかにする詳細を探します。
- 求人情報には特に注意が必要です。 候補者は、使用するツールの大まかなカテゴリを知る必要があるかもしれませんが、公開広告は、すべてのSaaSプラットフォーム、セキュリティ製品、CRM、支払いツール、クラウドプロバイダー、または内部ワークフローを常に名指しする必要はありません。ツールリストが具体的であるほど、偽のログインプロンプト、サポートメッセージ、またはベンダーリクエストを作成するのが容易になります。
- 従業員情報にもバランスが必要です。 年次、役割、専門知識は共有するのが適切かもしれませんが、直接の電話番号、個人の詳細、旅行パターン、内部プロジェクト名、または不要な報告構造の詳細は、攻撃者により多くの材料を与える可能性があります。
- 公開コードリポジトリは定期的にレビューする必要があります。 古いプロジェクト、テストファイル、ドキュメント、または構成例には、公開されるべきではなかった秘密が含まれている可能性があります。認証情報の有効期限が切れていても、内部URL、命名規則、サービス参照は、攻撃者が環境を理解するのに役立つ可能性があります。
攻撃者が見つけるものの価値を減らす
OSINTは、企業が可視化される必要があるため、常に存在します。目標は、利用可能な不必要な情報の量を減らし、攻撃者が見つけた詳細でできることを制限することです。
公開情報は、不必要な露出を減らす最初の場所です。求人広告、企業プロフィール、従業員ページ、リポジトリ、サブドメイン、古い文書は、人々が企業を信頼し理解するのに十分なコンテキストを提供すべきであり、舞台裏での運営方法の詳細なビューではありません。内部ツール名、技術的な手がかり、またはプロセスの詳細が公的に必要とされない場合、それらは見えないようにしておく方がよいです。
認証情報の管理も同じくらい重要です。露出したメールアドレスと漏洩したパスワードは、行動に移すのが最も簡単なOSINTシグナルの一部です。一意のパスワード、MFA、パスキー、安全な共有、侵害監視、制御されたアクセスはすべて、偵察をあまり有用でなくします。
ロードマップを公開せずに技術的フットプリントをレビューする
技術的露出もOSINTの一部です。ドメイン、サブドメイン、ログインポータル、クラウドサービス、開発環境、APIエンドポイント、公開リポジトリはすべて、攻撃者が企業のオンライン上の構成を理解するのに役立ちます。
定期的なレビューは、意図的に公開されているものと、公開されたまま忘れられているものを区別するのに役立ちます。古いステージングページ、未使用のサブドメイン、デフォルトのサービス画面、古くなったドキュメント、露出した構成メモ、内部参照を含む公開リポジトリは、緊急ではないように見えるかもしれませんが、偵察を容易にする可能性があります。
多くの修正は簡単です。古いページを削除し、アクセスを制限し、ドキュメントを更新し、露出したシークレットをローテーションし、内部の詳細を公開リポジトリから移動します。その他の発見には、明確な所有者と、公開したままにする理由が必要なだけかもしれません。公開露出は、見落としではなく、意思決定になります。
セキュリティルーチンにOSINTチェックを組み込む
OSINTの露出は静的ではありません。企業が何か新しいものを公開したり、ワークフローを変更したり、役割のために採用したり、プロジェクトを開始したり、サプライヤーページに登場したり、侵害で従業員データが露出したりするたびに増加します。各更新は単独では無害に見えますが、時間の経過とともに、攻撃者に会社の人員、ツール、関係、アクセスポイントのより明確な見方を与える可能性があります。
シンプルなチェックとレビューのセットが役立ちます：
- 公開向けのビジネス情報を四半期ごとにレビューする
- 公開前に、不要なツールやワークフローの詳細がないか求人情報を確認する
- ビジネス用メールアドレスの侵害露出を監視する
- 公開リポジトリと露出したサービスをレビューする
- 部門責任者に、公開情報が機密プロセスやアクセスパターンを明らかにしていないか確認する。
情報が公開される前に、常に自問すべきです。これは攻撃者がより説得力のあるメッセージ、電話、ログイン試行を作成するのに役立つでしょうか？
エイリアスで認証情報を接続しにくくする
メールエイリアスは、攻撃者がサービス間で接続できる情報の量を減らすのに役立ちます。同じメールアドレスがすべてのサービスで使用されていると、アカウントをリンクしたり、侵害データを検索したり、ログインポータルを推測したり、従業員や企業のプロファイルを構築したりするのが容易になります。
一部のビジネスワークフローでは、標準のメールアドレスが必要です。従業員は、仕事、顧客、コラボレーションのために安定したユーザー情報を必要とします。ただし、エイリアスは、サインアップ、ニュースレター、トライアル、ベンダーテスト、予定、または個人のプライマリービジネスアドレスを必要としないサービスに役立ちます。
メールエイリアスは、攻撃者が同じ従業員、チーム、またはビジネスアドレスに接続するであろうアカウントを分離するため、役立ちます。また、露出を追跡しやすくすることもできます。あるベンダー用に作成されたエイリアスが、無関係なログイン試行やフィッシングメッセージを受信し始めた場合、企業はそのアドレスがどこで露出した可能性があるかについて、よりクリアなシグナルを得ることができます。
エイリアスは、Proton Pass for Business などのビジネスパスワードマネージャーと組み合わせると最も効果的に機能します。各アカウントには依然として一意のパスワード、管理されたストレージ、明確な所有権が必要です。そのような構造がなければ、エイリアスは従業員が自分で管理するもう一つの手作業になる可能性があります。
Proton Pass for Business で OSINT を管理する
Proton Pass for Business のようなビジネスパスワードマネージャーは、侵害を監視し、認証情報の健全性機能でネットワークを保護するのに役立ちます。Proton Pass for Business では、チームは一意のパスワードを作成し、暗号化されたパスワード保管庫に保管し、自動入力を使用し、認証情報を安全に共有し、パスキーを管理し、組み込みの2要素認証（2FA）を使用できます。
ポリシー、レポート、ログ、役割ベースのアクセス制御、SCIM プロビジョニング、SSO 統合などの管理者機能は、企業が成長するにつれて認証情報へのアクセスをより制御しやすくするのに役立ちます。
ビジネスパスワードマネージャーはOSINT露出を排除するものではありませんが、攻撃者が見つける情報をあまり役に立たなくすることができます。認証情報が一意で、暗号化された保管庫に保管され、承認されたスペースを通じて共有され、2要素認証またはパスキーで保護されている場合、漏洩したパスワードや説得力のある偽のログインページが、より広いアクセスに変わる余地は少なくなります。また、従業員が従うべきより明確なルールも与えます。ビジネス認証情報はパスワードマネージャー内に留めるべきであり、メール、チャット、スプレッドシート、電話での会話には含めるべきではありません。
攻撃者は依然としてあなたのビジネスを調査します。問題は、彼らがどれだけ学べるか、そのイメージがどれだけ正確か、そしてそれでどこまでできるかです。
ビジネスパスワードマネージャーでビジネスの認証情報露出を減らしましょう。
