표적 공격은 종종 검색에서 시작됩니다. 해커는 직원의 직책, 비즈니스 도구의 이름을 언급한 채용 포스트, 노출된 이메일 주소, 오래된 하위 도메인과 같은 정보를 찾습니다. 개별적으로 보면 이러한 세부사항은 위험해 보이지 않습니다. 하지만 공격자는 여러 작은 단서와 정보를 의도적으로 수집하여 그럴듯하게 느껴지는 피싱 이메일 캠페인, 가짜 로그인 페이지 또는 사칭 전화를 만듭니다.
오픈 소스 인텔리전스(OSINT)는 공개 정보를 보다 표적화된 공격을 위한 준비로 바꿉니다. OSINT 비즈니스 보안 전략은 비즈니스가 스스로를 보호하는 방식입니다. 기업의 경우 과제는 두 가지입니다. 이미 공개된 정보를 감사하고, 애초에 무엇이 존재하는지 파악한 다음, 어떤 공개 세부사항이 고객, 후보자, 파트너에게 도움이 되는지, 어떤 것이 공격자가 귀하의 인력, 도구, 자격 증명, 접근 지점을 파악하도록 조용히 돕는지 판단하는 것입니다.
사이버 보안에서 OSINT의 의미
사이버 보안 맥락에서 OSINT는 가능한 공격 경로를 식별하기 위해 공개적으로 이용 가능한 정보를 사용하는 것입니다. 정보는 검색 엔진, 소셜 미디어, 회사 웹사이트, 채용 게시판, 공개 코드 저장소 및 시스템에 침입할 필요가 없는 기타 출처에서 나올 수 있습니다.
공격자는 OSINT를 사용해 비즈니스에 관한 실용적인 질문에 답합니다. 예를 들어:
- 여기서 누가 일하나요?
- 누가 결제를 승인하나요?
- 회사는 어떤 도구를 사용하나요?
- 이메일 형식은 어떻게 되나요?
- 어떤 공급업체나 고객이 신뢰받을 수 있나요?
- 어떤 계정이 이미 노출되었을 수 있나요?
- 어떤 시스템이 인터넷에 노출되어 있나요?
OSINT는 해커에게 공격을 그럴듯하게 만드는 세부사항을 제공합니다. 일반적인 사기는 단순히 행동을 요구하지만, 조사된 사기는 특정 개인을 대상으로 하며, 그들이 알거나 신뢰할 만한 이유가 있는 사람이 보낸 것처럼 보이고, 실제 업무 프로젝트나 비공개 정보를 언급합니다.
영국의 2024년 사이버 보안 사고 조사(새 창)에 따르면 영국 기업의 절반이 지난 12개월 동안 사이버 보안 사고 또는 공격을 확인했다고 보고했습니다. 피싱은 영향을 받은 기업에서 가장 흔한 보안 사고 또는 공격 유형으로 남아 있었습니다. OSINT는 피싱과 동일하지 않지만, 해커가 피싱을 더 설득력 있게 만들고 직원이 무시하기 어렵게 만드는 데 사용할 수 있는 자산입니다.
공격자가 비즈니스에 대해 알아낼 수 있는 것
해커는 정보를 수집하기 위해 다양한 방법을 사용합니다. 다음은 가장 일반적이고 효과적인 경로 중 일부입니다.
인력
LinkedIn, 회사 약력 페이지, 컨퍼런스 일정, 팟캐스트, 웨비나, 언론 언급은 이름, 직책, 보고 체계, 직급, 국가, 책임 영역을 드러낼 수 있습니다. 이는 공격자가 누구를 사칭하고 누구에게 압력을 가할지 선택하는 데 도움이 됩니다.
예를 들어, CFO의 이름, 회사의 이메일 형식, 재무 팀의 현재 소프트웨어를 아는 공격자는 일반 스팸보다 훨씬 덜 일반적으로 느껴지는 메시지를 만들 수 있습니다. 요청은 실제 공급업체를 언급하거나, 비즈니스 내부에 존재하는 결제 프로세스를 참조하거나, 팀이 이미 송장 관련 커뮤니케이션을 예상하고 있는 순간에 도착할 수 있습니다. 이 정보 중 어느 것도 개인 시스템에 대한 접근이 필요하지 않습니다.
도구
채용 공고는 종종 후보자가 알아야 할 플랫폼을 언급합니다. CRM, 급여 도구, 헬프데스크 소프트웨어, 분석 플랫폼, 협업 도구, 개발자 환경 등입니다. 공개 리뷰, 사례 연구, 통합, 직원 프로필은 더 많은 것을 드러낼 수 있습니다.
도구 노출은 공격자가 피싱 구실을 맞춤화하는 데 도움이 됩니다. “귀하의 계정이 신고되었습니다”라고 말하는 피싱 이메일은 설득력이 없지만, 팀이 사용하는 정확한 CRM, HR 시스템 또는 협업 도구를 언급하는 메시지는 설득력이 있습니다.
기술적 흔적
하위 도메인, 노출된 서비스, 인증서 기록, 오래된 스테이징 환경, 잘못 구성된 로그인 페이지는 비즈니스가 온라인 시스템을 어디에 두고 있는지 드러낼 수 있습니다. 공격자는 개발 중에 실수로 커밋된 오래된 자격 증명, API 키, 내부 URL 또는 설정 파일이 포함된 공개 저장소를 찾을 수도 있습니다.
보안 사고 데이터
이전 보안 사고에서 노출된 이메일 주소, 사용자 이름, 비밀번호, 전화번호 및 기타 개인 또는 비즈니스 세부사항은 이후 공격의 원료가 될 수 있습니다. Proton의 데이터 유출 관측소는 유출된 데이터가 원래 사고 이후에도 어떻게 위험을 계속 만들 수 있는지 보여줍니다. 특히 자격 증명, 연락처 정보, 직원 정보가 비즈니스와 다시 연결될 수 있을 때 그렇습니다.
OSINT가 표적 공격을 가능하게 하는 방법
OSINT는 공격자가 수집한 데이터를 사용해 믿을 만한 이야기를 만들 때 위험해집니다. 직원 프로필을 게시하고, 고객 로고를 나열하고, 채용 광고에서 최근 CRM 마이그레이션을 언급하고, 예측 가능한 이메일 형식을 사용하는 비즈니스를 생각해 보십시오. 그러면 재무 직원이 고위 리더로부터 온 것처럼 보이고, 실제 공급업체를 언급하며, 긴급 결제 지원을 요청하는 메시지를 받습니다. 이메일은 의심을 낮추기에 충분한 친숙한 세부사항만 포함하면 됩니다.
동일한 패턴이 자격 증명 공격에도 적용됩니다. 공격자는 보안 사고 데이터에서 직원의 비즈니스 이메일을 찾고, LinkedIn에서 해당 직원이 운영 부서에서 일한다는 것을 확인하고, 채용 공고에서 회사가 특정 SaaS 플랫폼을 사용한다는 것을 알게 됩니다. 다음 피싱 메시지는 해당 플랫폼을 모방하고 직원의 역할과 일치하는 언어로 도착할 수 있습니다.
전화 사기도 OSINT에 의해 형성될 수 있습니다. 회사의 IT 제공업체, 부서장의 이름 또는 프로젝트 시기를 아는 발신자는 합법적으로 들립니다. 이것이 OSINT와 사회 공학이 얽혀 있는 이유입니다. 공개 정보는 공격자에게 실시간으로 사람을 조종하는 데 필요한 자신감과 세부사항을 제공합니다.
비즈니스는 최종 공격을 피싱, 비싱, 계정 탈취, 송장 사기 또는 자격 증명 도용으로 경험할 수 있습니다. 기반 작업은 처음부터 OSINT였을 수 있습니다.
유출된 자격 증명도 OSINT입니다
보안 사고 데이터는 종종 직접적인 계정 탈취 위험으로 논의됩니다. 비밀번호가 유출되면 공격자는 여러 진입점에서 이를 시도할 수 있습니다. 이는 여전히 심각한 문제이며, 특히 직원이 여러 서비스에서 비밀번호를 재사용할 때 그렇습니다.
하지만 유출된 자격 증명은 공격자가 계정 뒤에 있는 비즈니스를 이해하는 데도 도움이 될 수 있습니다. 노출된 이메일 주소는 직원이 어떤 서비스를 사용했는지 확인해 줄 수 있으며, 오래된 비밀번호, 전화번호, 반복되는 회사 도메인은 향후 피싱, 비싱 또는 계정 탈취 시도에 맥락을 추가할 수 있습니다. 보안 사고는 다른 곳에서 발생했을 수 있지만, 정보는 여전히 공격자가 귀하의 팀에 대한 더 정확한 그림을 구축하는 데 도움이 될 수 있습니다.
Proton의 데이터 유출 관측소는 노출된 데이터가 어떻게 피싱, 자격 증명 공격 및 더 광범위한 사회 공학을 지원할 수 있는지 강조합니다. 또한 유출된 데이터가 첫 번째 보안 사고가 보고된 후에도 공격자에게 유용하지 않게 되지 않는다는 점을 강조합니다. 해당 데이터는 향후 표적 공격을 위해 재사용, 결합 및 재구성될 수 있습니다.
노출된 비즈니스 이메일과 자격 증명을 모니터링하면 조직이 변경해야 할 비밀번호 이상의 것을 볼 수 있습니다. 직원이 어디에서 업무 주소를 사용했는지, 어떤 서비스가 비즈니스에 연결되어 있을 수 있는지, 동일한 신원이 여러 유출에서 나타나는지 여부를 드러낼 수 있습니다.
이는 필수적입니다. 공격자는 정보를 재사용하여 오래된 비밀번호를 시도할 뿐만 아니라 향후 피싱, 비싱 또는 사칭 시도를 더 구체적으로 느껴지게 만들 수 있기 때문입니다. 유출된 자격 증명은 단독으로 고립된 자격 증명인 경우가 거의 없습니다. 다음 공격을 더 효과적으로 만드는 배경 조사의 일부가 될 수 있습니다.
공격자가 공개 출처에서 알아낼 수 있는 것 줄이기
어떤 비즈니스도 대중의 시야에서 스스로를 삭제할 수 없으며, 그것이 누구의 목표도 되어서는 안 됩니다. 고객, 후보자, 파트너는 귀하가 누구인지, 귀하와 어떻게 일하는지 이해하기에 충분한 정보를 여전히 필요로 합니다.
위험은 그 목적을 넘어서는 세부사항을 게시하는 데 있습니다. 내부 도구 이름, 직접 연락 패턴, 승인 워크플로 또는 공격자에게 비즈니스 운영 방식에 대한 더 선명한 그림을 제공하는 기술적 단서 등입니다.
- 공개 대상 정보부터 시작하십시오. 회사 페이지, 팀 약력, 보도 자료, 사례 연구, 지원 센터 기사, 채용 공고, 소셜 미디어 포스트, 공개 문서를 검토하십시오. 내부 시스템, 승인 프로세스, 접근 경로 또는 민감한 워크플로를 드러내는 세부사항을 찾으십시오.
- 채용 공고는 특별한 주의가 필요합니다. 후보자는 사용할 도구의 대략적인 범주를 알아야 할 수 있지만, 공개 광고가 모든 SaaS 플랫폼, 보안 제품, CRM, 결제 도구, 클라우드 제공업체 또는 내부 워크플로를 항상 명시할 필요는 없습니다. 도구 목록이 구체적일수록 가짜 로그인 프롬프트, 지원 메시지 또는 공급업체 요청을 만들기가 더 쉬워집니다.
- 직원 정보도 균형이 필요합니다. 직급, 역할, 전문성은 공유하기에 적절할 수 있지만, 직통 전화번호, 개인 세부사항, 여행 패턴, 내부 프로젝트 이름 또는 불필요한 보고 구조 세부사항은 공격자에게 더 많은 재료를 제공할 수 있습니다.
- 공개 코드 저장소는 정기적으로 검토해야 합니다. 오래된 프로젝트, 테스트 파일, 문서 또는 설정 예시에는 공개될 의도가 없었던 비밀이 포함되어 있을 수 있습니다. 자격 증명이 만료되었더라도 내부 URL, 명명 규칙, 서비스 참조는 공격자가 환경을 이해하는 데 여전히 도움이 될 수 있습니다.
공격자가 찾는 정보의 가치 줄이기
비즈니스는 가시성을 가져야 하므로 OSINT는 항상 존재할 것입니다. 목표는 이용 가능한 불필요한 정보의 양을 줄이고 공격자가 찾은 세부사항으로 할 수 있는 일을 제한하는 것입니다.
공개 정보는 불필요한 노출을 줄일 수 있는 첫 번째 장소입니다. 채용 광고, 회사 프로필, 직원 페이지, 저장소, 하위 도메인, 오래된 문서는 사람들이 비즈니스를 신뢰하고 이해하는 데 충분한 맥락을 제공해야 하며, 비즈니스가 뒤에서 어떻게 운영되는지에 대한 상세한 보기를 제공해서는 안 됩니다. 내부 도구 이름, 기술적 단서 또는 프로세스 세부사항이 공개적으로 필요하지 않다면, 보이지 않게 유지하는 것이 좋습니다.
자격 증명 제어도 마찬가지로 중요합니다. 노출된 이메일 주소와 유출된 비밀번호는 행동으로 전환하기 가장 쉬운 OSINT 신호 중 일부입니다. 고유한 비밀번호, MFA, 패스키, 보안 공유, 보안 사고 모니터링, 통제된 접근은 모두 정찰을 덜 유용하게 만듭니다.
로드맵을 공개하지 않고 기술적 흔적 검토하기
기술적 노출도 OSINT의 일부입니다. 도메인, 하위 도메인, 로그인 포털, 클라우드 서비스, 개발 환경, API 엔드포인트, 공개 리포지토리 등은 모두 공격자가 비즈니스가 온라인에서 어떻게 구성되어 있는지 이해하는 데 도움이 될 수 있습니다.
정기적인 검토는 의도적으로 공개된 정보와 게시되었다가 잊힌 정보를 구분하는 데 도움이 됩니다. 오래된 스테이징 페이지, 사용하지 않는 하위 도메인, 기본 서비스 화면, 오래된 문서, 노출된 설정 메모, 내부 참조가 포함된 공개 리포지토리는 긴급해 보이지 않을 수 있지만, 정찰을 더 쉽게 만들 수 있습니다.
많은 수정은 간단합니다: 오래된 페이지를 삭제하고, 접근을 제한하고, 문서를 업데이트하고, 노출된 비밀을 교체하거나, 내부 세부사항을 공개 리포지토리에서 옮기는 것입니다. 다른 발견 사항은 명확한 담당자와 계속 표시되어야 할 이유만 필요할 수 있습니다. 공개 노출은 누락이 아니라 결정이 됩니다.
OSINT 점검을 보안 루틴에 포함하세요
OSINT 노출은 정적이지 않습니다. 비즈니스가 새로운 것을 게시하거나, 워크플로를 변경하거나, 역할을 채용하거나, 프로젝트를 시작하거나, 공급업체 페이지에 나타나거나, 직원 데이터가 보안 사고로 노출될 때마다 증가합니다. 각 업데이트는 개별적으로는 무해해 보이지만, 시간이 지나면 공격자에게 회사의 인력, 도구, 관계, 접근 지점에 대한 더 명확한 시야를 제공할 수 있습니다.
간단한 점검과 검토가 도움이 될 수 있습니다:
- 공개 비즈니스 정보를 분기별로 검토하세요
- 게시 전에 채용 공고에서 불필요한 도구 또는 워크플로 세부사항이 있는지 확인하세요
- 비즈니스 이메일 주소의 보안 사고 노출을 모니터링하세요
- 공개 리포지토리와 노출된 서비스를 검토하세요
- 부서 책임자에게 공개 정보가 민감한 프로세스나 접근 패턴을 드러내는지 문의하세요.
정보가 공개되기 전에 항상 누군가가 물어봐야 합니다: 이것이 공격자가 더 설득력 있는 메시지, 전화, 로그인 시도를 만드는 데 도움이 될 수 있을까?
별칭으로 자격 증명 연결을 어렵게 만드세요
이메일 별칭은 공격자가 서비스 전반에서 연결할 수 있는 정보의 양을 줄이는 데 도움이 될 수 있습니다. 동일한 이메일 주소가 모든 서비스에 사용되면 계정을 연결하고, 유출 데이터를 검색하고, 로그인 포털을 추측하고, 직원이나 비즈니스의 프로필을 작성하기가 더 쉬워집니다.
일부 비즈니스 워크플로에서는 표준 이메일 주소가 필요합니다. 직원은 업무, 고객, 협업을 위해 안정적인 신원이 필요합니다. 그러나 별칭은 가입, 뉴스레터, 체험판, 공급업체 테스트, 이벤트 또는 개인의 기본 비즈니스 주소가 필요하지 않은 서비스에 유용할 수 있습니다.
이메일 별칭은 공격자가 동일한 직원, 팀 또는 비즈니스 주소에 연결할 수 있는 계정을 분리하기 때문에 유용합니다. 또한 노출을 추적하기 더 쉽게 만들 수 있습니다. 한 공급업체를 위해 생성된 별칭이 관련 없는 로그인 시도나 피싱 메시지를 받기 시작하면, 비즈니스는 해당 주소가 어디에서 노출되었을 수 있는지 더 명확한 신호를 얻을 수 있습니다.
별칭은 Proton Pass for Business와 같은 비즈니스 비밀번호 관리자와 함께 사용할 때 가장 잘 작동합니다. 각 계정에는 여전히 고유한 비밀번호, 통제된 저장공간, 명확한 소유권이 필요합니다. 이러한 구조가 없으면 별칭은 직원이 스스로 관리해야 하는 또 다른 수동 습관이 될 수 있습니다.
Proton Pass for Business로 OSINT를 관리하세요
Proton Pass for Business와 같은 비즈니스 비밀번호 관리자는 보안 사고를 모니터링하고 자격 증명 상태 기능으로 네트워크를 보호하는 데 도움이 될 수 있습니다. Proton Pass for Business를 사용하면 팀은 고유한 비밀번호를 생성하고, 암호화된 비밀번호 보관함에 저장하고, 자동완성을 사용하고, 자격 증명을 안전하게 공유하고, 패스키를 관리하고, 내장된 2단계 인증(2FA)을 사용할 수 있습니다.
정책, 보고, 로그, 역할 기반 접근 제어, SCIM 프로비저닝 및 SSO 통합과 같은 관리자 기능은 비즈니스가 성장함에 따라 자격 증명 접근을 더 통제된 상태로 유지하도록 도와줍니다.
비즈니스 비밀번호 관리자는 OSINT 노출을 제거하지는 않지만, 공격자가 찾는 정보를 덜 유용하게 만들 수 있습니다. 자격 증명이 고유하고, 암호화된 보관함에 저장되고, 승인된 공간을 통해 공유되고, 2FA 또는 패스키로 보호되면 유출된 비밀번호나 설득력 있는 가짜 로그인 페이지가 더 넓은 접근으로 이어질 여지가 줄어듭니다. 또한 직원이 따라야 할 더 명확한 규칙을 제공합니다: 비즈니스 자격 증명은 이메일, 채팅, 스프레드시트 또는 전화 대화가 아닌 비밀번호 관리자 내부에 있어야 합니다.
공격자는 여전히 귀하의 비즈니스를 조사할 것입니다. 문제는 그들이 얼마나 많은 것을 배울 수 있는지, 그 그림이 얼마나 정확한지, 그리고 그것을 가지고 얼마나 멀리 갈 수 있는지입니다.
비즈니스 비밀번호 관리자로 비즈니스의 자격 증명 노출을 줄이세요.
