Et målrettet angrep begynner ofte med et søk. Hackere leter etter informasjon som en ansatts jobbtittel, en utlysning som navngir bedriftens verktøy, en eksponert e-postadresse eller et gammelt subdomene. Hver for seg virker ikke disse detaljene farlige. Men angripere samler bevisst inn mange små spor og informasjonsbiter for å bygge en nettfiskingskampanje på e-post, falsk påloggingsside eller identitetsbedrageri som virker troverdig.

Åpen kildekode-etterretning (OSINT) gjør offentlig informasjon om til forberedelse for et mer målrettet angrep. Din OSINT-strategi for bedriftssikkerhet er hvordan bedriften beskytter seg selv. For bedrifter er utfordringen todelt: å revidere hva som allerede er der ute og vite hva som finnes i utgangspunktet, og deretter vurdere hvilke offentlige detaljer som hjelper kunder, kandidater og partnere, og hvilke som stille og rolig hjelper angripere med å kartlegge dine ansatte, verktøy, påloggingsinformasjon og tilgangspunkter.

Hva OSINT betyr i cybersikkerhet

I en cybersikkerhetskontekst er OSINT bruk av offentlig tilgjengelig informasjon for å identifisere mulige angrepsbaner. Informasjonen kan komme fra søkemotorer, sosiale medier, bedrifters nettsteder, jobbportaler, offentlige kodearkiver og andre kilder som ikke krever å bryte seg inn i et system.

Angripere bruker OSINT for å svare på praktiske spørsmål om en bedrift, som:

  • Hvem jobber her?
  • Hvem godkjenner betalinger?
  • Hvilke verktøy bruker bedriften?
  • Hvordan ser e-postformatet ut?
  • Hvilke leverandører eller kunder kan være klarert?
  • Hvilke kontoer kan allerede være eksponert?
  • Hvilke systemer vender mot internett?

OSINT gir hackere detaljer som gjør angrepene deres troverdige. Et generisk svindelforsøk ber bare om handling, men et gjennomtenkt svindelforsøk er rettet mot en bestemt person, sendt fra en person de kjenner eller har grunn til å stole på, og nevner et reelt arbeidsprosjekt eller ikke-offentlig informasjon.

Storbritannias Cyber Security Breaches Survey 2024(nytt vindu)⁠ viste at halvparten av britiske bedrifter rapporterte om et cybersikkerhetsbrudd eller angrep de siste 12 månedene. Nettfisking forble den vanligste typen brudd eller angrep blant berørte bedrifter. OSINT er ikke det samme som nettfisking, men det er en ressurs hackere kan bruke for å gjøre nettfisking mer overbevisende og vanskeligere for ansatte å avvise.

Hva angripere kan lære om bedriften din

Hackere bruker en rekke ulike metoder for å samle informasjon. Her er noen av de vanligste og mest effektive banene.

Personer

LinkedIn, bedrifters biografisider, konferanseagendaer, podkaster, nettmøter og presseomtaler kan avsløre navn, jobbtitler, rapporteringslinjer, ansiennitet, plasseringer og ansvarsområder. Det hjelper angripere med å velge hvem de skal utgi seg for, og hvem de skal presse.

For eksempel kan en angriper som kjenner navnet på en økonomisjef, bedriftens e-postformat og økonomiavdelingens nåværende programvare bygge en melding som føles mye mindre generisk enn vanlig søppelpost. Forespørselen kan nevne en reell leverandør, referere til en betalingsprosess som finnes i bedriften, eller komme på et tidspunkt da teamet allerede forventer kommunikasjon om fakturaer. Ingen av disse opplysningene krever tilgang til et privat system.

Verktøy

Stillingsannonser nevner ofte plattformene kandidatene forventes å kjenne: CRM-systemer, lønnsverktøy, kundestøtteprogramvare, analyseplattformer, samarbeidsverktøy og utviklermiljøer. Offentlige anmeldelser, casestudier, integrasjoner og ansattprofiler kan avsløre enda mer.

Eksponering av verktøy hjelper angripere med å skreddersy nettfiskingspåskuddet sitt. En nettfiskingse-post som sier «kontoen din har blitt flagget» er ikke overbevisende, men en melding som navngir det nøyaktige CRM-systemet, HR-systemet eller samarbeidsverktøyet teamet bruker, er det.

Teknisk fotavtrykk

Subdomener, eksponerte tjenester, sertifikatposter, gamle testmiljøer og feilkonfigurerte påloggingssider kan avsløre hvor en bedrift har systemer på nett. Angripere kan også lete etter offentlige arkiver som inneholder gamle påloggingsdata, API-nøkler, interne nettadresser eller konfigurasjonsfiler som ved et uhell er lagt inn under utvikling.

Innbruddsdata

E-postadresser, brukernavn, passord, telefonnummer og andre personlige eller forretningsmessige detaljer som er eksponert i tidligere brudd, kan bli råmateriale for et senere angrep. Protons Data Breach Observatory⁠ viser hvordan lekket data kan fortsette å skape risiko etter den opprinnelige hendelsen, spesielt når påloggingsinformasjon, kontaktdetaljer og ansattinformasjon kan kobles tilbake til en bedrift.

Hvordan OSINT driver målrettede angrep

OSINT blir farlig når angripere bruker innsamlet data til å bygge en troverdig historie. Tenk deg en bedrift som publiserer ansattprofiler, viser kundelogoer, nevner en nylig CRM-migrering i stillingsannonser og bruker et forutsigbart e-postformat. En ansatt i økonomiavdelingen mottar deretter en melding som ser ut til å komme fra en leder, refererer til en reell leverandør og ber om hastestøtte for betaling. E-posten trenger bare å inneholde nok kjente detaljer til å senke mistanken.

Det samme mønsteret gjelder for angrep på påloggingsinformasjon. En angriper finner en ansatts jobb-e-post i innbruddsdata, ser på LinkedIn at personen jobber i driftsavdelingen, og lærer fra stillingsannonser at bedriften bruker en bestemt SaaS-plattform. Den neste nettfiskingsmeldingen kan imitere den plattformen og komme med språk som passer den ansattes rolle.

Telefonsvindel kan også formes av OSINT. En som ringer og kjenner bedriftens IT-leverandør, navnet på en avdelingsleder eller tidspunktet for et prosjekt, høres troverdig ut. Dette er grunnen til at OSINT og sosial manipulering er sammenvevd: offentlig informasjon gir angripere den selvtilliten og detaljene som trengs for å manipulere folk i sanntid.

Bedriften kan oppleve det endelige angrepet som nettfisking, visking, kontoovertakelse, fakturasvindel eller tyveri av påloggingsinformasjon. Forarbeidet kan ha vært OSINT hele tiden.

Lekket påloggingsinformasjon er også OSINT

Innbruddsdata blir ofte diskutert som en direkte risiko for kontoovertakelse: når et passord lekker, kan angripere prøve det på tvers av flere inngangspunkter. Det er fortsatt et alvorlig problem, spesielt når ansatte gjenbruker passord på tvers av tjenester.

Men lekket påloggingsinformasjon kan også hjelpe angripere med å forstå virksomheten bak kontoen. En eksponert e-postadresse kan bekrefte hvilke tjenester en ansatt har brukt, mens gamle passord, telefonnummer og gjentatte bedriftsdomener kan gi kontekst for fremtidige nettfisking-, visking- eller kontoovertakelsesforsøk. Bruddet kan ha skjedd et annet sted, men informasjonen kan fortsatt hjelpe en angriper med å bygge et mer nøyaktig bilde av teamet ditt.

Protons Data Breach Observatory fremhever hvordan eksponert data kan støtte nettfisking, angrep på påloggingsinformasjon og bredere sosial manipulering. Det fremhever også at lekket data ikke slutter å være nyttig for angripere etter at det første bruddet er rapportert. Disse dataene kan gjenbrukes, kombineres og omformes for fremtidig målretting.

Overvåking av eksponerte jobb-e-poster og påloggingsinformasjon hjelper organisasjoner med å se mer enn passordet som må endres. Det kan avsløre hvor ansatte har brukt jobbadresser, hvilke tjenester som kan være koblet til bedriften, og om den samme identiteten dukker opp i flere lekkasjer.

Dette er viktig fordi angripere kan gjenbruke informasjon, ikke bare for å prøve gamle passord, men for å gjøre fremtidige nettfisking-, visking- eller identitetsbedrageriforsøk mer spesifikke. En lekket påloggingsdetalj er sjelden bare en isolert påloggingsdetalj. Den kan bli en del av bakgrunnsresearch som gjør det neste angrepet mer effektivt.

Reduser hva angripere kan lære fra offentlige kilder

Ingen bedrift kan fjerne seg helt fra offentligheten, og det bør ikke være målet. Kunder, kandidater og partnere trenger fortsatt nok informasjon til å forstå hvem du er og hvordan de kan samarbeide med deg.

Risikoen ligger i å publisere detaljer som går utover dette formålet: interne verktøynavn, direkte kontaktmønstre, godkjenningsflyter eller tekniske spor som gir angripere et skarpere bilde av hvordan bedriften opererer.

  • Start med informasjonen som er offentlig tilgjengelig. Gå gjennom bedriftssider, teambeskrivelser, pressemeldinger, casestudier, artikler i hjelpesenteret, stillingsannonser, innlegg i sosiale medier og offentlige dokumenter. Se etter detaljer som avslører interne systemer, godkjenningsprosesser, tilgangsveier eller sensitive arbeidsflyter.
  • Stillingsannonser fortjener spesiell oppmerksomhet. Kandidater kan trenge å vite de overordnede kategoriene av verktøy de vil bruke, men offentlige annonser trenger ikke alltid å navngi hver SaaS-plattform, sikkerhetsprodukt, CRM, betalingsverktøy, skyleverandør eller intern arbeidsflyt. Jo mer spesifikk verktøylisten er, jo lettere blir det å lage en falsk påloggingsforespørsel, støttemelding eller leverandørforespørsel.
  • Ansattinformasjon trenger også balanse. Ansiennitet, rolle og ekspertise kan være greit å dele, men direkte telefonnummer, personlige detaljer, reisemønstre, interne prosjektnavn eller unødvendige detaljer om rapporteringsstruktur kan gi angripere mer å jobbe med.
  • Offentlige kodearkiver bør gjennomgås jevnlig. Gamle prosjekter, testfiler, dokumentasjon eller konfigurasjonseksempler kan inneholde hemmeligheter som ikke var ment å være offentlige. Selv når påloggingsinformasjon er utløpt, kan interne nettadresser, navnekonvensjoner og tjenestreferanser fortsatt hjelpe angripere med å forstå miljøet.

Reduser verdien av det angripere finner

OSINT vil alltid eksistere fordi bedrifter trenger å være synlige. Målet er å redusere mengden unødvendig informasjon som er tilgjengelig, og begrense hva angripere kan gjøre med detaljene de finner.

Offentlig informasjon er det første stedet å redusere unødvendig eksponering. Stillingsannonser, bedriftsprofiler, ansattsider, arkiver, subdomener og gamle dokumenter bør gi folk nok kontekst til å stole på og forstå bedriften, ikke en detaljert oversikt over hvordan den opererer bak kulissene. Når interne verktøynavn, tekniske spor eller prosessdetaljer ikke er nødvendige offentlig, er det bedre å holde dem utenfor syne.

Kontroll av påloggingsinformasjon er like viktig. Eksponerte e-postadresser og lekke passord er noen av de enkleste OSINT-signalene å omsette til handling. Unike passord, MFA, passnøkler, sikker deling, bruddovervåking og kontrollert tilgang gjør alle rekognosering mindre nyttig.

Gå gjennom ditt tekniske fotavtrykk uten å publisere et veikart

Teknisk eksponering er også en del av OSINT. Domener, underdomener, påloggingsportaler, skytjenester, utviklingsmiljøer, API-endepunkter og offentlige repositorier kan alle hjelpe angripere med å forstå hvordan en virksomhet er strukturert på nett.

En regelmessig gjennomgang hjelper med å skille det som er bevisst offentlig fra det som er publisert og glemt. Gamle staging-sider, ubrukte underdomener, standard tjenesteskjermer, utdatert dokumentasjon, eksponerte konfigurasjonsnotater og offentlige repositorier med interne referanser virker kanskje ikke akutte, men de kan gjøre rekognosering enklere.

Mange rettelser er enkle: fjern gamle sider, begrens tilgang, oppdater dokumentasjon, roter eksponerte hemmeligheter, eller flytt interne detaljer ut av offentlige repositorier. Andre funn trenger kanskje bare en tydelig eier og en grunn til å forbli synlige. Offentlig eksponering blir en beslutning, snarere enn en utelatelse.

Integrer OSINT-sjekker i sikkerhetsrutiner

OSINT-eksponering er ikke statisk. Den vokser hver gang en virksomhet publiserer noe nytt, endrer en arbeidsflyt, ansetter for en rolle, lanserer et prosjekt, vises på en leverandørside, eller får ansattdata eksponert i et brudd. Hver oppdatering virker harmløs isolert sett, men over tid kan den gi angripere et klarere bilde av selskapets ansatte, verktøy, relasjoner og tilgangspunkter.

Et enkelt sett med sjekker og gjennomganger kan hjelpe:

  • Gå gjennom offentlig tilgjengelig forretningsinformasjon kvartalsvis
  • Sjekk stillingsannonser før publisering for unødvendige verktøy- eller arbeidsflytdetaljer
  • Overvåk bruddeksponering for bedriftens e-postadresser
  • Gå gjennom offentlige repositorier og eksponerte tjenester
  • Spør avdelingsledere om offentlig informasjon avslører sensitive prosesser eller tilgangsmønstre.

Før informasjon blir offentlig, bør noen alltid spørre: kan dette hjelpe en angriper med å lage en mer overbevisende melding, samtale eller påloggingsforsøk?

Gjør påloggingsinformasjon vanskeligere å koble til med aliaser

E-postaliaser kan bidra til å redusere mengden informasjon angripere kan koble sammen på tvers av tjenester. Når samme e-postadresse brukes for hver tjeneste, blir det enklere å koble sammen kontoer, søke i bruddata, gjette påloggingsportaler og bygge en profil av den ansatte eller virksomheten.

For noen forretningsarbeidsflyter er en standard e-postadresse nødvendig. Ansatte trenger stabile identiteter for arbeid, kunder og samarbeid. Men aliaser kan være nyttige for påmeldinger, nyhetsbrev, prøveversjoner, leverandørtesting, hendelser eller tjenester som ikke krever en persons primære forretningsadresse.

E-postaliaser er nyttige fordi de skiller kontoer som angripere ellers ville koblet til samme ansatte, team eller forretningsadresse. De kan også gjøre eksponering enklere å spore. Når et alias opprettet for én leverandør begynner å motta urelaterte påloggingsforsøk eller nettfiskingsmeldinger, har virksomheten et tydeligere signal om hvor den adressen kan ha blitt eksponert.

Aliaser fungerer best når de kombineres med en forretningspassordapp som Proton Pass for Business. Hver konto trenger fortsatt et unikt passord, kontrollert lagring og tydelig eierskap. Uten denne strukturen kan aliaser bli en annen manuell vane for ansatte å administrere på egen hånd.

Administrer OSINT med Proton Pass for Business

En forretningspassordapp som Proton Pass for Business kan hjelpe deg med å overvåke brudd og beskytte nettverket ditt med funksjoner for påloggingsinformasjonshelse. Med Proton Pass for Business⁠ kan team opprette unike passord, lagre dem i krypterte passordhvelv, bruke autofyll, dele påloggingsinformasjon sikkert, administrere passnøkler og bruke innebygd tofaktorautentisering (2FA).

Administratorfunksjoner som retningslinjer, rapportering, logger, rollebasert tilgangskontroll, SCIM-provisjonering og SSO-integrasjon hjelper virksomheter med å holde tilgangen til påloggingsinformasjon mer kontrollert etter hvert som de vokser.

En forretningspassordapp eliminerer ikke OSINT-eksponering, men den kan gjøre informasjonen angripere finner mindre nyttig. Når påloggingsinformasjon er unik, lagret i krypterte hvelv, delt gjennom godkjente områder og beskyttet med 2FA eller passnøkler, har et lekket passord eller en overbevisende falsk påloggingsside mindre rom for å bli utvidet tilgang. Den gir også ansatte en tydeligere regel å følge: forretningspåloggingsinformasjon bør forbli inne i passordappen, ikke i e-poster, chatter, regneark eller telefonsamtaler.

Angripere vil fortsatt undersøke virksomheten din. Spørsmålet er hvor mye de kan lære, hvor nøyaktig det bildet er, og hvor langt de kan komme med det.

Reduser virksomhetens eksponering av påloggingsinformasjon med en forretningspassordapp⁠.