Strategia bezpieczeństwa biznesowego oparta na OSINT: jak atakujący badają firmy

Ukierunkowany atak często zaczyna się od wyszukiwania. Hakerzy szukają informacji, takich jak stanowisko pracownika, ogłoszenie o pracę, w którym wymieniono narzędzia biznesowe, ujawniony adres e-mail czy stara subdomena. W izolacji te szczegóły nie wydają się niebezpieczne. Ale atakujący celowo zbierają wiele małych wskazówek i informacji, aby zbudować kampanię phishingową, fałszywą stronę logowania lub rozmowę podszywającą się pod kogoś, która wydaje się wiarygodna.

Open source intelligence (OSINT) zamienia publiczne informacje w przygotowanie do bardziej ukierunkowanego ataku. Strategia bezpieczeństwa biznesowego oparta na OSINT to sposób, w jaki firma się chroni. W przypadku firm wyzwanie jest dwojakie: należy sprawdzić, co już jest dostępne i wiedzieć, co istnieje w pierwszej kolejności, a następnie ocenić, które publiczne szczegóły pomagają klientom, kandydatom i partnerom, a które po cichu pomagają atakującym zmapować Twoich ludzi, narzędzia, dane logowania i punkty dostępu.

Co oznacza OSINT w cyberbezpieczeństwie

W kontekście cyberbezpieczeństwa OSINT to wykorzystanie publicznie dostępnych informacji do identyfikowania możliwych ścieżek ataku. Informacje mogą pochodzić z wyszukiwarek, mediów społecznościowych, stron internetowych firm, portali z ofertami pracy, publicznych repozytoriów kodu i innych źródeł, które nie wymagają włamania się do systemu.

Atakujący wykorzystują OSINT do odpowiadania na praktyczne pytania dotyczące firmy, takie jak:

• Kto tu pracuje?
• Kto zatwierdza płatności?
• Jakich narzędzi używa firma?
• Jak wygląda format adresu e-mail?
• Którzy dostawcy lub klienci mogą być zaufani?
• Które konta mogą być już ujawnione?
• Które systemy są dostępne z internetu?

OSINT daje hakerom szczegóły, które czynią ich ataki wiarygodnymi. Ogólne oszustwo po prostu prosi o działanie, ale oszustwo poparte badaniami jest wymierzone w konkretną osobę, wysłane od osoby, którą znają lub mają powód ufać, i wspomina o prawdziwym projekcie zawodowym lub niepublicznych informacjach.

Badanie Cyber Security Breaches Survey 2024(nowe okno)⁠ przeprowadzone w Wielkiej Brytanii wykazało, że połowa brytyjskich firm zgłosiła zidentyfikowanie naruszenia bezpieczeństwa cybernetycznego lub ataku w ciągu poprzednich 12 miesięcy. Próba wyłudzenia informacji pozostała najczęstszym rodzajem naruszenia lub ataku wśród poszkodowanych firm. OSINT nie jest tym samym co próba wyłudzenia informacji, ale jest zasobem, który hakerzy mogą wykorzystać, aby próba wyłudzenia informacji była bardziej przekonująca i trudniejsza do odrzucenia przez pracowników.

Czego atakujący mogą dowiedzieć się o firmie

Hakerzy stosują różnorodne metody zbierania informacji. Oto niektóre z najczęstszych i najskuteczniejszych ścieżek.

Ludzie

LinkedIn, strony z biografiami firmowymi, agendy konferencji, podcasty, webinary i wzmianki prasowe mogą ujawniać nazwiska, stanowiska, linie raportowania, staż pracy, lokalizacje i obszary odpowiedzialności. To pomaga atakującym wybrać, kogo podszyć się i na kogo wywierać presję.

Na przykład atakujący, który zna nazwisko dyrektora finansowego, format adresu e-mail firmy i obecne oprogramowanie zespołu finansowego, może zbudować wiadomość, która wydaje się znacznie mniej ogólna niż zwykły spam. Prośba może wspominać o prawdziwym dostawcy, odnosić się do procesu płatności istniejącego w firmie lub nadejść w momencie, gdy zespół już oczekuje komunikacji związanej z fakturami. Żadna z tych informacji nie wymaga dostępu do prywatnego systemu.

Narzędzia

Oferty pracy często wymieniają platformy, które kandydaci powinni znać: systemy CRM, narzędzia do listy płac, oprogramowanie helpdesk, platformy analityczne, narzędzia do współpracy i środowiska programistyczne. Publiczne recenzje, studia przypadków, integracje i profile pracowników mogą ujawnić jeszcze więcej.

Ujawnienie narzędzi pomaga atakującym dostosować pretekst do phishingu. Wiadomość phishingowa, która mówi „Twoje konto zostało oznaczone”, nie jest przekonująca, ale wiadomość, która wymienia dokładny system CRM, system HR lub narzędzie do współpracy używane przez zespół, już tak.

Ślad techniczny

Subdomeny, ujawnione usługi, rekordy certyfikatów, stare środowiska stagingowe i błędnie skonfigurowane strony logowania mogą ujawniać, gdzie firma ma systemy online. Atakujący mogą również szukać publicznych repozytoriów, które zawierają stare dane logowania, klucze API, wewnętrzne adresy URL lub pliki konfiguracyjne przypadkowo zatwierdzone podczas tworzenia oprogramowania.

Dane o naruszeniach

Adresy e-mail, nazwy użytkowników, hasła, numery telefonów i inne osobiste lub firmowe szczegóły ujawnione w poprzednich naruszeniach mogą stać się surowcem do późniejszego ataku. Data Breach Observatory⁠ firmy Proton pokazuje, jak wyciekłe dane mogą nadal stwarzać ryzyko po pierwotnym incydencie, zwłaszcza gdy dane logowania, szczegóły kontaktu i informacje o pracownikach można powiązać z firmą.

Jak OSINT napędza ukierunkowane ataki

OSINT staje się niebezpieczny, gdy atakujący wykorzystują zebrane dane do zbudowania wiarygodnej historii. Weźmy pod uwagę firmę, która publikuje profile pracowników, wymienia logotypy klientów, wspomina o niedawnej migracji CRM w ogłoszeniach o pracę i używa przewidywalnego formatu adresu e-mail. Pracownik działu finansowego otrzymuje wiadomość, która wydaje się pochodzić od starszego menedżera, odnosi się do prawdziwego dostawcy i prosi o pilne wsparcie płatnicze. Wiadomość e-mail musi zawierać tylko wystarczająco znane szczegóły, aby zmniejszyć podejrzenia.

Ten sam wzorzec odnosi się do ataków na dane logowania. Atakujący znajduje firmowy adres e-mail pracownika w danych o naruszeniach, widzi na LinkedIn, że osoba pracuje w dziale operacyjnym, i dowiaduje się z ofert pracy, że firma używa konkretnej platformy SaaS. Następna wiadomość phishingowa może imitować tę platformę i zawierać język pasujący do stanowiska pracownika.

Oszustwa telefoniczne mogą być również kształtowane przez OSINT. Dzwoniący, który zna dostawcę IT firmy, nazwisko kierownika działu lub harmonogram projektu, brzmi wiarygodnie. Dlatego OSINT i inżynieria społeczna są ze sobą powiązane: publiczne informacje dają atakującym pewność siebie i szczegóły potrzebne do manipulowania ludźmi w czasie rzeczywistym.

Firma może doświadczyć ostatecznego ataku jako phishing, vishing, przejęcie konta, oszustwo związane z fakturami lub kradzież danych logowania. Prace przygotowawcze mogły przez cały czas być OSINT.

Wyciekłe dane logowania też są OSINT

Dane o naruszeniach są często omawiane jako bezpośrednie ryzyko przejęcia konta: gdy hasło wycieknie, atakujący mogą wypróbować je w wielu punktach wejścia. To nadal poważny problem, zwłaszcza gdy pracownicy ponownie używają haseł w różnych usługach.

Ale wyciekłe dane logowania mogą również pomóc atakującym zrozumieć firmę stojącą za kontem. Ujawniony adres e-mail może potwierdzić, z jakich usług korzystał pracownik, podczas gdy stare hasła, numery telefonów i powtarzające się domeny firmowe mogą dodać kontekstu do przyszłych prób phishingu, vishingu lub przejęcia konta. Naruszenie mogło mieć miejsce gdzie indziej, ale informacje mogą nadal pomóc atakującemu zbudować dokładniejszy obraz Twojego zespołu.

Data Breach Observatory firmy Proton podkreśla, w jaki sposób ujawnione dane mogą wspierać phishing, ataki na dane logowania i szerszą inżynierię społeczną. Podkreśla również, że wyciekłe dane nie przestają być przydatne dla atakujących po zgłoszeniu pierwszego naruszenia. Dane te mogą być ponownie wykorzystane, połączone i przekształcone do przyszłych celów.

Monitorowanie ujawnionych firmowych wiadomości e-mail i danych logowania pomaga organizacjom zobaczyć więcej niż tylko hasło, które należy zmienić. Może ujawnić, gdzie pracownicy używali służbowych adresów, które usługi mogą być połączone z firmą i czy ta sama tożsamość pojawia się w wielu wyciekach.

Jest to istotne, ponieważ atakujący mogą ponownie wykorzystać informacje, nie tylko do wypróbowania starych haseł, ale także do sprawienia, by przyszłe próby phishingu, vishingu lub podszywania się wydawały się bardziej konkretne. Wyciekłe dane logowania rzadko są tylko odizolowanym danymi logowania. Mogą stać się częścią badań w tle, które czynią następny atak skuteczniejszym.

Ogranicz to, czego atakujący mogą dowiedzieć się z publicznych źródeł

Żadna firma nie może usunąć się z publicznego widoku i nie powinno to być niczyim celem. Klienci, kandydaci i partnerzy nadal potrzebują wystarczających informacji, aby zrozumieć, kim jesteś i jak z Tobą współpracować.

Ryzyko polega na publikowaniu szczegółów wykraczających poza ten cel: nazw wewnętrznych narzędzi, bezpośrednich wzorców kontaktu, procesów zatwierdzania lub technicznych wskazówek, które dają atakującym wyraźniejszy obraz tego, jak działa firma.

• Zacznij od informacji publicznie dostępnych. Przejrzyj strony firmowe, biogramy zespołu, komunikaty prasowe, studia przypadków, artykuły w centrum pomocy, oferty pracy, posty w mediach społecznościowych i publiczne dokumenty. Szukaj szczegółów, które ujawniają wewnętrzne systemy, procesy zatwierdzania, ścieżki dostępu lub wrażliwe przepływy pracy.
• Oferty pracy zasługują na szczególną uwagę. Kandydaci mogą potrzebować znać ogólne kategorie narzędzi, których będą używać, ale publiczne ogłoszenia nie zawsze muszą wymieniać każdej platformy SaaS, produktu bezpieczeństwa, systemu CRM, narzędzia płatniczego, dostawcy chmury czy wewnętrznego przepływu pracy. Im bardziej szczegółowa lista narzędzi, tym łatwiej stworzyć fałszywy monit logowania, wiadomość wsparcia lub prośbę dostawcy.
• Informacje o pracownikach również wymagają wyważenia. Staż pracy, stanowisko i wiedza specjalistyczna mogą być odpowiednie do udostępnienia, ale bezpośrednie numery telefonów, dane osobowe, wzorce podróży, wewnętrzne nazwy projektów lub niepotrzebne szczegóły struktury raportowania mogą dać atakującym więcej możliwości działania.
• Publiczne repozytoria kodu powinny być regularnie przeglądane. Stare projekty, pliki testowe, dokumentacja lub przykłady konfiguracji mogą zawierać sekrety, które nie były przeznaczone do publicznego wglądu. Nawet gdy dane logowania wygasły, wewnętrzne adresy URL, konwencje nazewnictwa i odwołania do usług mogą nadal pomóc atakującym zrozumieć środowisko.

Ogranicz wartość tego, co znajdą atakujący

OSINT będzie zawsze istnieć, ponieważ firmy muszą być widoczne. Celem jest ograniczenie ilości niepotrzebnych informacji dostępnych i ograniczenie tego, co atakujący mogą zrobić ze znalezionymi szczegółami.

Publiczne informacje to pierwsze miejsce, w którym należy ograniczyć niepotrzebne ujawnianie. Ogłoszenia o pracę, profile firm, strony pracowników, repozytoria, subdomeny i stare dokumenty powinny dawać ludziom wystarczający kontekst, aby zaufać i zrozumieć firmę, a nie szczegółowy obraz tego, jak działa za kulisami. Gdy wewnętrzne nazwy narzędzi, techniczne wskazówki lub szczegóły procesów nie są potrzebne publicznie, lepiej trzymać je poza zasięgiem wzroku.

Kontrole danych logowania są równie ważne. Ujawnione adresy e-mail i wyciekłe hasła są jednymi z najłatwiejszych sygnałów OSINT do wykorzystania w działaniu. Unikalne hasła, MFA, klucze dostępu, bezpieczne udostępnianie, monitorowanie naruszeń i kontrolowany dostęp sprawiają, że rozpoznanie staje się mniej przydatne.

Przejrzyj swój ślad techniczny bez publikowania planu działania

Ekspozycja techniczna jest również częścią OSINT. Domeny, subdomeny, portale logowania, usługi chmurowe, środowiska deweloperskie, punkty końcowe interfejsu API i publiczne repozytoria mogą pomóc atakującym zrozumieć, jak firma jest zorganizowana w internecie.

Regularny przegląd pomaga oddzielić to, co jest celowo publiczne, od tego, co zostało opublikowane i zapomniane. Stare strony stagingowe, nieużywane subdomeny, domyślne ekrany usług, nieaktualna dokumentacja, ujawnione notatki konfiguracyjne i publiczne repozytoria z wewnętrznymi odniesieniami mogą nie wydawać się pilne, ale mogą ułatwić rekonesans.

Wiele poprawek jest prostych: usunięcie starych stron, ograniczenie dostępu, aktualizacja dokumentacji, rotacja ujawnionych sekretów lub przeniesienie wewnętrznych szczegółów poza publiczne repozytoria. Inne ustalenia mogą wymagać jedynie wyraźnego właściciela i powodu, by pozostały widoczne. Publiczna ekspozycja staje się decyzją, a nie przeoczeniem.

Wbuduj kontrole OSINT w procedury bezpieczeństwa

Ekspozycja OSINT nie jest statyczna. Rośnie za każdym razem, gdy firma publikuje coś nowego, zmienia przepływ pracy, zatrudnia na stanowisko, uruchamia projekt, pojawia się na stronie dostawcy lub ma dane pracowników ujawnione w naruszeniu. Każda aktualizacja wydaje się nieszkodliwa w izolacji, ale z czasem może dać atakującym wyraźniejszy obraz ludzi, narzędzi, relacji i punktów dostępu w firmie.

Prosty zestaw kontroli i przeglądów może pomóc:

• Przeglądaj publiczne informacje biznesowe kwartalnie
• Sprawdzaj ogłoszenia o pracę przed publikacją pod kątem niepotrzebnych szczegółów dotyczących narzędzi lub przepływu pracy
• Monitoruj ekspozycję na naruszenia w przypadku służbowych adresów e-mail
• Przeglądaj publiczne repozytoria i ujawnione usługi
• Zapytaj kierowników działów, czy jakiekolwiek publiczne informacje ujawniają wrażliwe procesy lub wzorce dostępu.

Zanim informacje trafią do publicznej wiadomości, ktoś powinien zawsze zapytać: czy może to pomóc atakującemu stworzyć bardziej przekonującą wiadomość, połączenie lub próbę logowania?

Utrudnij powiązanie danych logowania z aliasami

Aliasy e-mail mogą pomóc zmniejszyć ilość informacji, które atakujący mogą połączyć między usługami. Gdy ten sam adres e-mail jest używany do każdej usługi, łatwiej jest łączyć konta, przeszukiwać dane o naruszeniach, odgadywać portale logowania i budować profil pracownika lub firmy.

W niektórych przepływach pracy w firmie standardowy adres e-mail jest konieczny. Pracownicy potrzebują stabilnych tożsamości w pracy, dla klientów i do współpracy. Ale aliasy mogą być przydatne przy rejestracjach, newsletterach, wersjach próbnych, testach dostawców, wydarzeniach lub usługach, które nie wymagają głównego służbowego adresu danej osoby.

Aliasy e-mail są przydatne, ponieważ oddzielają konta, które w przeciwnym razie atakujący połączyliby z tym samym pracownikiem, zespołem lub adresem firmowym. Mogą również ułatwić prześledzenie ekspozycji. Gdy alias utworzony dla jednego dostawcy zaczyna otrzymywać niepowiązane próby logowania lub wiadomości phishingowe, firma ma wyraźniejszy sygnał, gdzie ten adres mógł zostać ujawniony.

Aliasy działają najlepiej, gdy są połączone z firmowym menedżerem haseł, takim jak Proton Pass for Business. Każde konto nadal wymaga unikalnego hasła, kontrolowanego przechowywania i jasnej własności. Bez tej struktury aliasy mogą stać się kolejnym ręcznym nawykiem, którym pracownicy muszą zarządzać samodzielnie.

Zarządzaj OSINT dzięki Proton Pass for Business

Firmowy menadżer haseł, taki jak Proton Pass for Business, może pomóc monitorować naruszenia i chronić sieć dzięki funkcjom oceny bezpieczeństwa danych logowania. Dzięki Proton Pass for Business zespoły mogą tworzyć unikalne hasła, przechowywać je w zaszyfrowanych sejfach haseł, korzystać z autouzupełniania, bezpiecznie udostępniać dane logowania, zarządzać kluczami dostępu i korzystać z wbudowanego uwierzytelniania dwustopniowego (2FA).

Funkcje administracyjne, takie jak zasady, raportowanie, logi, kontrola dostępu oparta na rolach, automatyczne provisionowanie SCIM i integracja z SSO, pomagają firmom utrzymać większą kontrolę nad dostępem do danych logowania w miarę rozwoju.

Firmowy menadżer haseł nie eliminuje ekspozycji OSINT, ale może sprawić, że informacje znalezione przez atakujących staną się mniej przydatne. Gdy dane logowania są unikalne, przechowywane w zaszyfrowanych sejfach, udostępniane przez zatwierdzone przestrzenie i chronione za pomocą 2FA lub kluczy dostępu, wyciekłe hasło lub przekonująca fałszywa strona logowania mają mniejszą szansę przekształcić się w szerszy dostęp. Daje to również pracownikom wyraźniejszą zasadę do przestrzegania: służbowe dane logowania powinny pozostawać w menadżerze haseł, a nie w wiadomościach e-mail, czatach, arkuszach kalkulacyjnych czy rozmowach telefonicznych.

Atakujący nadal będą badać twoją firmę. Pytanie brzmi, jak wiele mogą się dowiedzieć, jak dokładny jest ten obraz i jak daleko mogą z nim zajść.

Zmniejsz ekspozycję danych logowania w firmie dzięki firmowemu menadżerowi haseł.