Uw OSINT-strategie voor bedrijfsbeveiliging: hoe aanvallers bedrijven onderzoeken

Een gerichte aanval begint vaak met een zoekopdracht. Hackers zoeken naar informatie zoals de functietitel van een medewerker, een vacaturebericht waarin je zakelijke tools worden genoemd, een blootgesteld e-mailadres of een oud subdomein. Op zichzelf lijken deze gegevens niet gevaarlijk. Maar aanvallers verzamelen doelbewust vele kleine aanwijzingen en stukjes informatie om een phishing-e-mailcampagne, nep-inlogpagina of telefoontje met een valse identiteit op te bouwen dat geloofwaardig aanvoelt.

Open source intelligence (OSINT) verandert openbare informatie in voorbereiding voor een gerichtere aanval. Uw OSINT-strategie voor bedrijfsbeveiliging is hoe uw bedrijf zichzelf beschermt. Voor bedrijven is de uitdaging tweeledig: onderzoeken wat al openbaar is en weten wat er überhaupt bestaat, en vervolgens beoordelen welke openbare gegevens klanten, kandidaten en partners helpen, en welke stilletjes aanvallers helpen om uw mensen, tools, inloggegevens en toegangspunten in kaart te brengen.

Wat OSINT betekent in cyberbeveiliging

In een context van cyberbeveiliging is OSINT het gebruik van openbaar beschikbare informatie om mogelijke aanvalspaden te identificeren. De informatie kan afkomstig zijn van zoekmachines, sociale media, bedrijfswebsites, vacaturesites, openbare code-repositories en andere bronnen waarvoor geen inbraak in een systeem nodig is.

Aanvallers gebruiken OSINT om praktische vragen over een bedrijf te beantwoorden, zoals:

• Wie werkt hier?
• Wie keurt betalingen goed?
• Welke tools gebruikt het bedrijf?
• Hoe ziet het e-mailformaat eruit?
• Welke leveranciers of klanten kunnen worden vertrouwd?
• Welke accounts zijn mogelijk al blootgesteld?
• Welke systemen staan bloot aan het internet?

OSINT geeft hackers gegevens waarmee hun aanvallen geloofwaardig worden. Een generieke scam vraagt simpelweg om actie, maar een onderzochte scam is gericht op een specifiek persoon, verzonden door iemand die ze kennen of reden hebben om te vertrouwen, en noemt een echt werkproject of niet-openbare informatie.

Uit de Cyber Security Breaches Survey 2024(nieuw venster)⁠ van het VK blijkt dat de helft van de Britse bedrijven meldde dat ze in de voorgaande 12 maanden een cyberbeveiligingsschending of -aanval hadden geïdentificeerd. Phishing bleef het meest voorkomende type schending of aanval onder getroffen bedrijven. OSINT is niet hetzelfde als phishing, maar het is een middel dat hackers kunnen gebruiken om phishing overtuigender te maken en moeilijker voor medewerkers om te negeren.

Wat aanvallers kunnen leren over uw bedrijf

Hackers gebruiken verschillende methoden om informatie te verzamelen. Hier zijn enkele van de meest voorkomende en effectieve paden.

Mensen

LinkedIn, biopagina’s van bedrijven, conferentieagenda’s, podcasts, webinars en vermeldingen in de pers kunnen namen, functietitels, rapportagelijnen, anciënniteit, locaties en verantwoordelijkheidsgebieden onthullen. Dat helpt aanvallers bij het kiezen wie ze zich voordoen en op wie ze druk uitoefenen.

Een aanvaller die bijvoorbeeld de naam van een CFO kent, het e-mailformaat van het bedrijf en de huidige software van het financiële team, kan een bericht opstellen dat veel minder generiek aanvoelt dan gewone spam. Het verzoek kan een echte leverancier noemen, verwijzen naar een betalingsproces dat binnen het bedrijf bestaat, of aankomen op een moment dat het team al factuurgerelateerde communicatie verwacht. Al deze informatie vereist geen toegang tot een privésysteem.

Tools

Vacatures vermelden vaak de platforms die kandidaten worden geacht te kennen: CRM’s, loonadministratietools, helpdesksoftware, analyseplatforms, samenwerkingstools en ontwikkelomgevingen. Openbare beoordelingen, casestudies, integraties en werknemersprofielen kunnen nog meer onthullen.

Blootstelling van tools helpt aanvallers hun phishing-voorwendsel aan te passen. Een phishing-e-mail die zegt “uw account is gemarkeerd” is niet overtuigend, maar een bericht dat het exacte CRM, HR-systeem of de samenwerkingstool noemt die het team gebruikt, is dat wel.

Technische voetafdruk

Subdomeinen, blootgestelde services, certificaatgegevens, oude stagingomgevingen en verkeerd geconfigureerde inlogpagina’s kunnen onthullen waar een bedrijf online systemen heeft. Aanvallers kunnen ook zoeken naar openbare repositories die oude inloggegevens, API-sleutels, interne URL’s of configuratiebestanden bevatten die per ongeluk tijdens de ontwikkeling zijn vastgelegd.

Schendingsgegevens

E-mailadressen, gebruikersnamen, wachtwoorden, telefoonnummers en andere persoonlijke of zakelijke gegevens die bij eerdere schendingen zijn blootgesteld, kunnen grondstof worden voor een latere aanval. Proton’s Data Breach Observatory⁠ laat zien hoe gelekt data na het oorspronkelijke incident risico kan blijven vormen, vooral wanneer inloggegevens, contactgegevens en werknemersinformatie aan een bedrijf kunnen worden gekoppeld.

Hoe OSINT gerichte aanvallen mogelijk maakt

OSINT wordt gevaarlijk wanneer aanvallers verzamelde data gebruiken om een geloofwaardig verhaal op te bouwen. Neem een bedrijf dat personeelsprofielen publiceert, klantenlogo’s vermeldt, een recente CRM-migratie noemt in vacatures en een voorspelbaar e-mailformaat gebruikt. Een medewerker van de financiële afdeling ontvangt dan een bericht dat afkomstig lijkt te zijn van een senior leider, verwijst naar een echte leverancier en vraagt om dringende betalingsondersteuning. De e-mail hoeft alleen maar genoeg bekende gegevens te bevatten om de argwaan te verminderen.

Hetzelfde patroon geldt voor aanvallen op inloggegevens. Een aanvaller vindt het zakelijke e-mailadres van een medewerker in schendingsgegevens, ziet op LinkedIn dat de persoon in operations werkt en leert uit vacatures dat het bedrijf een specifiek SaaS-platform gebruikt. Het volgende phishing-bericht kan dat platform imiteren en aankomen met taal die past bij de functie van de medewerker.

Telefoonoplichting kan ook door OSINT worden gevormd. Een beller die de IT-provider van het bedrijf kent, de naam van een afdelingshoofd of de timing van een project, klinkt legitiem. Dit is waarom OSINT en social engineering met elkaar verweven zijn: openbare informatie geeft aanvallers het vertrouwen en de details die nodig zijn om mensen in real time te manipuleren.

Het bedrijf kan de uiteindelijke aanval ervaren als phishing, vishing, accountovername, factuurfraude of diefstal van inloggegevens. Het voorbereidende werk was misschien al die tijd OSINT.

Gelekte inloggegevens zijn ook OSINT

Schendingsgegevens worden vaak besproken als een direct risico op accountovername: wanneer een wachtwoord uitlekt, kunnen aanvallers het op meerdere toegangspunten proberen. Dat is nog steeds een ernstig probleem, vooral wanneer medewerkers wachtwoorden hergebruiken voor verschillende diensten.

Maar gelekte inloggegevens kunnen aanvallers ook helpen het bedrijf achter het account te begrijpen. Een blootgesteld e-mailadres kan bevestigen welke diensten een medewerker heeft gebruikt, terwijl oude wachtwoorden, telefoonnummers en herhaalde bedrijfsdomeinen context kunnen toevoegen voor toekomstige phishing-, vishing- of accountovernamepogingen. De schending heeft misschien ergens anders plaatsgevonden, maar de informatie kan een aanvaller nog steeds helpen een nauwkeuriger beeld van uw team te vormen.

Proton’s Data Breach Observatory belicht hoe blootgestelde data phishing, aanvallen op inloggegevens en bredere social engineering kunnen ondersteunen. Het belicht ook dat gelekte data niet ophouden nuttig te zijn voor aanvallers nadat de eerste schending is gemeld. Die data kunnen worden hergebruikt, gecombineerd en hervormd voor toekomstige doelwitten.

Het monitoren van blootgestelde zakelijke e-mails en inloggegevens helpt organisaties meer te zien dan alleen het wachtwoord dat moet worden gewijzigd. Het kan onthullen waar medewerkers werkadressen hebben gebruikt, welke diensten mogelijk met het bedrijf zijn verbonden en of dezelfde identiteit in meerdere lekken voorkomt.

Dit is essentieel omdat aanvallers informatie kunnen hergebruiken, niet alleen om oude wachtwoorden te proberen, maar ook om toekomstige phishing-, vishing- of impersonatiepogingen specifieker te laten aanvoelen. Een gelekt inloggegeven is zelden alleen een geïsoleerd inloggegeven. Het kan deel uitmaken van het achtergrondonderzoek dat de volgende aanval effectiever maakt.

Beperk wat aanvallers kunnen leren uit openbare bronnen

Geen enkel bedrijf kan zich volledig aan het publieke oog onttrekken, en dat zou ook niet het doel moeten zijn. Klanten, kandidaten en partners hebben nog steeds genoeg informatie nodig om te begrijpen wie u bent en hoe ze met u kunnen samenwerken.

Het risico zit in het publiceren van gegevens die verder gaan dan dat doel: interne toolnamen, directe contactpatronen, goedkeuringsworkflows of technische aanwijzingen die aanvallers een scherper beeld geven van hoe het bedrijf werkt.

• Begin met uw openbaar toegankelijke informatie. Bekijk bedrijfspagina’s, teambiopagina’s, persberichten, casestudies, helpcentrumartikelen, vacatures, social media-berichten en openbare documenten. Zoek naar gegevens die interne systemen, goedkeuringsprocessen, toegangsroutes of gevoelige workflows onthullen.
• Vacatures verdienen speciale aandacht. Kandidaten moeten misschien de brede categorieën tools kennen die ze gaan gebruiken, maar openbare advertenties hoeven niet altijd elk SaaS-platform, beveiligingsproduct, CRM, betaaltool, cloudprovider of interne workflow te noemen. Hoe specifieker de toollijst, hoe gemakkelijker het wordt om een nep-inlogprompt, ondersteuningsbericht of leveranciersverzoek op te stellen.
• Informatie over medewerkers vereist ook een balans. Anciënniteit, functie en expertise kunnen gepast zijn om te delen, maar directe telefoonnummers, persoonlijke gegevens, reispatronen, interne projectnamen of onnodige details over de rapportagestructuur kunnen aanvallers meer aanknopingspunten geven.
• Openbare code-repositories moeten regelmatig worden gecontroleerd. Oude projecten, testbestanden, documentatie of configuratievoorbeelden kunnen geheimen bevatten die niet openbaar bedoeld waren. Zelfs wanneer inloggegevens zijn verlopen, kunnen interne URL’s, naamgevingsconventies en servicereferenties aanvallers nog steeds helpen de omgeving te begrijpen.

Beperk de waarde van wat aanvallers vinden

OSINT zal altijd blijven bestaan omdat bedrijven zichtbaar moeten zijn. Het doel is om de hoeveelheid onnodige beschikbare informatie te verminderen en te beperken wat aanvallers kunnen doen met de gegevens die ze vinden.

Openbare informatie is de eerste plek om onnodige blootstelling te verminderen. Vacatures, bedrijfsprofielen, medewerkerspagina’s, repositories, subdomeinen en oude documenten moeten mensen genoeg context geven om het bedrijf te vertrouwen en te begrijpen, niet een gedetailleerd beeld van hoe het achter de schermen werkt. Wanneer interne toolnamen, technische aanwijzingen of procesgegevens niet openbaar nodig zijn, kunnen ze beter buiten het zicht worden gehouden.

Beveiliging van inloggegevens is net zo belangrijk. Blootgestelde e-mailadressen en gelekte wachtwoorden behoren tot de gemakkelijkste OSINT-signalen om in actie om te zetten. Unieke wachtwoorden, MFA, passkeys, veilig delen, schendingsmonitoring en gecontroleerde toegang maken verkenning minder nuttig.

Beoordeel uw technische voetafdruk zonder een roadmap te publiceren

Technische blootstelling maakt ook deel uit van OSINT. Domeinen, subdomeinen, inlogportalen, clouddiensten, ontwikkelomgevingen, API-endpoints en openbare repositories kunnen aanvallers allemaal helpen begrijpen hoe een bedrijf online is gestructureerd.

Een regelmatige review helpt onderscheiden wat bewust openbaar is van wat is gepubliceerd en vergeten. Oude stagingpagina’s, ongebruikte subdomeinen, standaard serviceschermen, verouderde documentatie, blootgestelde configuratienotities en openbare repositories met interne verwijzingen lijken misschien niet urgent, maar ze kunnen verkenning gemakkelijker maken.

Veel oplossingen zijn eenvoudig: verwijder oude pagina’s, beperk toegang, update documentatie, roteer blootgestelde secrets, of verplaats interne gegevens uit openbare repositories. Andere bevindingen hebben misschien alleen een duidelijke eigenaar nodig en een reden om zichtbaar te blijven. Openbare blootstelling wordt een beslissing, in plaats van een omissie.

Integreer OSINT-checks in beveiligingsroutines

OSINT-blootstelling is niet statisch. Het groeit elke keer als een bedrijf iets nieuws publiceert, een workflow wijzigt, iemand aanneemt voor een functie, een project lanceert, op een leverancierspagina verschijnt, of medewerkersgegevens blootgesteld ziet worden in een schending. Elke update lijkt op zichzelf onschuldig, maar na verloop van tijd kan het aanvallers een duidelijker beeld geven van de mensen, tools, relaties en toegangspunten van het bedrijf.

Een eenvoudige set controles en reviews kan helpen:

• Beoordeel elk kwartaal openbare bedrijfsinformatie.
• Controleer vacatures vóór publicatie op onnodige gegevens over tools of workflows.
• Houd de blootstelling aan schendingen voor zakelijke e-mailadressen in de gaten.
• Beoordeel openbare repositories en blootgestelde services.
• Vraag afdelingsleiders of openbare informatie gevoelige processen of toegangspatronen onthult.

Voordat informatie openbaar wordt, zou iemand altijd moeten vragen: Kan dit een aanvaller helpen een overtuigender bericht, telefoongesprek of inlogpoging te creëren?

Maak het moeilijker om inloggegevens met aliassen te verbinden

E-mailaliassen kunnen helpen om de hoeveelheid informatie die aanvallers over verschillende diensten kunnen verbinden te beperken. Wanneer hetzelfde e-mailadres voor elke dienst wordt gebruikt, wordt het gemakkelijker om accounts te koppelen, schendingsgegevens te doorzoeken, inlogportalen te raden en een profiel van de medewerker of het bedrijf op te bouwen.

Voor sommige bedrijfsworkflows is een standaard e-mailadres noodzakelijk. Medewerkers hebben stabiele identiteiten nodig voor werk, klanten en samenwerking. Maar aliassen kunnen nuttig zijn voor aanmeldingen, nieuwsbrieven, proefversies, leverancierstests, afspraken of diensten waarvoor geen primair zakelijk e-mailadres van een persoon nodig is.

E-mailaliassen zijn nuttig omdat ze accounts scheiden die aanvallers anders aan dezelfde medewerker, team of bedrijfsadres zouden verbinden. Ze kunnen ook blootstelling gemakkelijker te traceren maken. Wanneer een alias die voor één leverancier is aangemaakt, ongerelateerde inlogpogingen of phishingberichten begint te ontvangen, heeft het bedrijf een duidelijker signaal van waar dat adres mogelijk is blootgesteld.

Aliassen werken het beste in combinatie met een zakelijke wachtwoordbeheerder zoals Proton Pass for Business. Elk account heeft nog steeds een uniek wachtwoord, gecontroleerde opslag en duidelijk eigenaarschap nodig. Zonder die structuur kunnen aliassen een andere handmatige gewoonte worden die medewerkers zelf moeten beheren.

Beheer OSINT met Proton Pass for Business

Een zakelijke wachtwoordbeheerder zoals Proton Pass for Business kan u helpen schendingen te monitoren en uw netwerk te beschermen met functies voor de gezondheid van inloggegevens. Met Proton Pass for Business⁠ kunnen teams unieke wachtwoorden aanmaken, deze opslaan in versleutelde wachtwoordkluizen, automatisch aanvullen gebruiken, inloggegevens veilig delen, passkeys beheren en ingebouwde tweestapsverificatie (2FA) gebruiken.

Beheerdersfuncties zoals beleid, rapportage, logboeken, functiegebaseerd toegangsbeheer, SCIM-provisioning en SSO-integratie helpen bedrijven de toegang tot inloggegevens beter te beheersen naarmate ze groeien.

Een zakelijke wachtwoordbeheerder elimineert OSINT-blootstelling niet, maar kan de informatie die aanvallers vinden minder nuttig maken. Wanneer inloggegevens uniek zijn, opgeslagen in versleutelde kluizen, gedeeld via goedgekeurde ruimtes en beschermd met 2FA of passkeys, heeft een gelekt wachtwoord of een overtuigende valse inlogpagina minder ruimte om uit te groeien tot bredere toegang. Het geeft medewerkers ook een duidelijkere regel om te volgen: zakelijke inloggegevens horen in de wachtwoordbeheerder te blijven, niet in e-mails, chats, spreadsheets of telefoongesprekken.

Aanvallers zullen uw bedrijf nog steeds onderzoeken. De vraag is hoeveel ze kunnen leren, hoe accuraat dat beeld is en hoe ver ze daarmee kunnen gaan.

Verminder de blootstelling van inloggegevens van uw bedrijf met een zakelijke wachtwoordbeheerder⁠.