Um ataque direcionado costuma começar com uma pesquisa. Hackers procuram informações como o cargo de um funcionário, uma vaga de emprego que mencione as ferramentas usadas pela sua empresa, um endereço de e-mail exposto ou um subdomínio antigo. Isoladamente, esses detalhes não parecem perigosos. Mas os atacantes coletam de propósito muitas pistas e informações pequenas para montar uma campanha de e-mails de phishing, uma página de login falsa ou uma ligação se passando por alguém que pareça verossímil.

A inteligência de fontes abertas (OSINT) transforma informações públicas em preparação para um ataque mais direcionado. Sua estratégia de segurança empresarial com OSINT é a forma como sua empresa se protege. Para as empresas, o desafio é duplo: auditar o que já está exposto e saber o que existe em primeiro lugar, e depois julgar quais detalhes públicos ajudam clientes, candidatos e parceiros, e quais ajudam silenciosamente os atacantes a mapear suas pessoas, ferramentas, credenciais e pontos de acesso.

O que OSINT significa em cibersegurança

No contexto da cibersegurança, OSINT é o uso de informações disponíveis publicamente para identificar possíveis caminhos de ataque. As informações podem vir de mecanismos de pesquisa, redes sociais, sites de empresas, quadros de vagas, repositórios públicos de código e outras fontes que não exigem invadir um sistema.

Os atacantes usam OSINT para responder a perguntas práticas sobre uma empresa, como:

  • Quem trabalha aqui?
  • Quem aprova pagamentos?
  • Quais ferramentas a empresa usa?
  • Qual é o formato de e-mail usado?
  • Quais fornecedores ou clientes podem ser considerados de confiança?
  • Quais contas podem já estar expostas?
  • Quais sistemas estão expostos à internet?

OSINT fornece aos hackers detalhes que tornam seus ataques verossímeis. Um golpe genérico apenas pede uma ação, mas um golpe bem pesquisado é direcionado a uma pessoa específica, enviado por alguém que ela conhece ou tem motivos para confiar e menciona um projeto de trabalho real ou uma informação não pública.

A Pesquisa de Violações de Cibersegurança de 2024(nova janela)⁠ do Reino Unido constatou que metade das empresas britânicas relatou ter identificado uma violação ou ataque de cibersegurança nos 12 meses anteriores. O phishing continuou sendo o tipo mais comum de violação ou ataque entre as empresas afetadas. OSINT não é a mesma coisa que phishing, mas é um recurso que os hackers podem usar para tornar o phishing mais convincente e mais difícil de os funcionários dispensarem.

O que os atacantes podem descobrir sobre sua empresa

Os hackers usam diversos métodos diferentes para coletar informações. Aqui estão alguns dos caminhos mais comuns e eficazes.

Pessoas

LinkedIn, páginas de biografia de empresas, agendas de conferências, podcasts, webinars e menções na imprensa podem revelar nomes, cargos, linhas de reporte, senioridade, localizações e áreas de responsabilidade. Isso ajuda os atacantes a escolher quem personificar e quem pressionar.

Por exemplo, um atacante que sabe o nome de um diretor financeiro, o formato de e-mail da empresa e o software atual da equipe de finanças pode montar uma mensagem que parece muito menos genérica do que um spam comum. A solicitação pode mencionar um fornecedor real, referir-se a um processo de pagamento que existe dentro da empresa ou chegar em um momento em que a equipe já espera uma comunicação relacionada a faturas. Nenhuma dessas informações exige acesso a um sistema privado.

Ferramentas

As vagas de emprego geralmente mencionam as plataformas que os candidatos devem conhecer: CRMs, ferramentas de folha de pagamento, software de helpdesk, plataformas de analytics, ferramentas de colaboração e ambientes de desenvolvimento. Avaliações públicas, estudos de caso, integrações e perfis de funcionários podem revelar ainda mais.

A exposição das ferramentas ajuda os atacantes a adaptar o pretexto do phishing. Um e-mail de phishing que diz “sua conta foi sinalizada” não convence, mas uma mensagem que cita o CRM, o sistema de RH ou a ferramenta de colaboração exata usada pela equipe, sim.

Pegada técnica

Subdomínios, serviços expostos, registros de certificados, ambientes de teste antigos e páginas de início de sessão mal configuradas podem revelar onde uma empresa tem sistemas on-line. Os atacantes também podem procurar repositórios públicos que incluam credenciais antigas, chaves de API, URLs internas ou arquivos de configuração enviados por acidente durante o desenvolvimento.

Dados de violações

Endereços de e-mail, nomes de usuário, senhas, números de telefone e outros detalhes pessoais ou empresariais expostos em violações anteriores podem se tornar matéria-prima para um ataque posterior. O Observatório de Violações de Dados⁠ da Proton mostra como os dados vazados podem continuar a gerar risco após o incidente original, especialmente quando credenciais, detalhes de contato e informações de funcionários podem ser vinculados a uma empresa.

Como o OSINT alimenta ataques direcionados

OSINT se torna perigoso quando os atacantes usam os dados coletados para construir uma história verossímil. Considere uma empresa que publica perfis de funcionários, lista logotipos de clientes, menciona uma migração recente de CRM em anúncios de vagas e usa um formato de e-mail previsível. Um funcionário da área financeira então recebe uma mensagem que parece vir de um líder sênior, faz referência a um fornecedor real e pede apoio urgente para um pagamento. O e-mail só precisa conter detalhes familiares suficientes para reduzir a suspeita.

O mesmo padrão se aplica a ataques de credenciais. Um atacante encontra o e-mail corporativo de um funcionário em dados de violações, vê no LinkedIn que a pessoa trabalha em operações e descobre em anúncios de vagas que a empresa usa uma plataforma SaaS específica. A próxima mensagem de phishing pode imitar essa plataforma e chegar com uma linguagem que corresponde à função do funcionário.

Golpes por telefone também podem ser moldados pelo OSINT. Um interlocutor que conhece o provedor de TI da empresa, o nome de um chefe de departamento ou o momento de um projeto parece legítimo. É por isso que OSINT e engenharia social estão entrelaçados: informações públicas dão aos atacantes a confiança e os detalhes necessários para manipular pessoas em tempo real.

A empresa pode vivenciar o ataque final como phishing, vishing, tomada de conta, fraude de faturas ou roubo de credenciais. A base pode ter sido o OSINT o tempo todo.

Credenciais vazadas também são OSINT

Os dados de violações costumam ser discutidos como um risco direto de tomada de conta: quando uma senha vaza, os atacantes podem testá-la em vários pontos de entrada. Isso ainda é um problema sério, especialmente quando os funcionários reutilizam senhas entre serviços.

Mas as credenciais vazadas também podem ajudar os atacantes a entender a empresa por trás da conta. Um endereço de e-mail exposto pode confirmar quais serviços um funcionário usou, enquanto senhas antigas, números de telefone e domínios corporativos repetidos podem adicionar contexto para futuras tentativas de phishing, vishing ou tomada de conta. A violação pode ter acontecido em outro lugar, mas as informações ainda podem ajudar um atacante a construir um panorama mais preciso da sua equipe.

O Observatório de Violações de Dados da Proton destaca como os dados expostos podem apoiar phishing, ataques de credenciais e engenharia social mais ampla. Também destaca que os dados vazados não deixam de ser úteis aos atacantes depois que a primeira violação é reportada. Esses dados podem ser reutilizados, combinados e remodelados para direcionamentos futuros.

Monitorar e-mails corporativos e credenciais expostos ajuda as organizações a ver mais do que a senha que precisa ser alterada. Pode revelar onde os funcionários usaram endereços de trabalho, quais serviços podem estar conectados à empresa e se a mesma identidade aparece em vários vazamentos.

Isso é essencial porque os atacantes podem reutilizar informações, não apenas para testar senhas antigas, mas para tornar futuras tentativas de phishing, vishing ou personificação mais específicas. Uma credencial vazada raramente é apenas uma credencial isolada. Pode se tornar parte da pesquisa de contexto que torna o próximo ataque mais eficaz.

Reduza o que os atacantes podem descobrir em fontes públicas

Nenhuma empresa consegue se remover completamente da vista do público, e esse não deveria ser o objetivo de ninguém. Clientes, candidatos e parceiros ainda precisam de informações suficientes para entender quem você é e como trabalhar com você.

O risco está em publicar detalhes que vão além desse propósito: nomes de ferramentas internas, padrões de contato direto, fluxos de aprovação ou pistas técnicas que dão aos atacantes um panorama mais preciso de como a empresa opera.

  • Comece pelas informações de acesso público. Revise páginas da empresa, biografias da equipe, comunicados à imprensa, estudos de caso, artigos do centro de ajuda, vagas de emprego, publicações em redes sociais e documentos públicos. Procure detalhes que revelem sistemas internos, processos de aprovação, rotas de acesso ou fluxos de trabalho sensíveis.
  • As vagas de emprego merecem atenção especial. Os candidatos podem precisar conhecer as categorias amplas de ferramentas que usarão, mas os anúncios públicos nem sempre precisam nomear cada plataforma SaaS, produto de segurança, CRM, ferramenta de pagamento, provedor de nuvem ou fluxo de trabalho interno. Quanto mais específica for a lista de ferramentas, mais fácil se torna criar um prompt de início de sessão falso, uma mensagem de suporte ou uma solicitação de fornecedor.
  • As informações dos funcionários também precisam de equilíbrio. Senioridade, função e experiência podem ser apropriadas para compartilhar, mas números de telefone diretos, detalhes pessoais, padrões de viagem, nomes de projetos internos ou detalhes desnecessários da estrutura hierárquica podem dar aos atacantes mais material para trabalhar.
  • Repositórios públicos de código devem ser revisados regularmente. Projetos antigos, arquivos de teste, documentação ou exemplos de configuração podem conter segredos que não deveriam ser públicos. Mesmo quando as credenciais já expiraram, URLs internas, convenções de nomenclatura e referências a serviços ainda podem ajudar os atacantes a entender o ambiente.

Reduza o valor do que os atacantes encontram

O OSINT sempre existirá porque as empresas precisam ser visíveis. O objetivo é reduzir a quantidade de informações desnecessárias disponíveis e limitar o que os atacantes podem fazer com os detalhes que encontram.

As informações públicas são o primeiro lugar para reduzir a exposição desnecessária. Anúncios de vagas, perfis de empresas, páginas de funcionários, repositórios, subdomínios e documentos antigos devem dar às pessoas contexto suficiente para confiar e entender a empresa, não uma visão detalhada de como ela opera nos bastidores. Quando nomes de ferramentas internas, pistas técnicas ou detalhes de processos não são necessários publicamente, é melhor mantê-los fora de vista.

Os controles de credenciais são igualmente importantes. Endereços de e-mail expostos e senhas vazadas estão entre os sinais de OSINT mais fáceis de transformar em ação. Senhas exclusivas, MFA, chaves de acesso, compartilhamento seguro, monitoramento de violações e acesso controlado tornam o reconhecimento menos útil.

Revise sua pegada técnica sem publicar um roteiro

A exposição técnica também faz parte do OSINT. Domínios, subdomínios, portais de início de sessão, serviços de nuvem, ambientes de desenvolvimento, pontos de extremidade de API e repositórios públicos podem ajudar os atacantes a entender como uma empresa está estruturada on-line.

Uma revisão regular ajuda a separar o que é intencionalmente público do que foi publicado e esquecido. Páginas de staging antigas, subdomínios não utilizados, telas de serviço padrão, documentação desatualizada, notas de configuração expostas e repositórios públicos com referências internas podem não parecer urgentes, mas facilitam o reconhecimento.

Muitas correções são simples: remover páginas antigas, restringir o acesso, atualizar a documentação, renovar segredos expostos ou remover detalhes internos dos repositórios públicos. Outras descobertas podem precisar apenas de um responsável claro e de um motivo para permanecerem visíveis. A exposição pública passa a ser uma decisão, e não uma omissão.

Inclua verificações de OSINT nas rotinas de segurança

A exposição a OSINT não é estática. Ela cresce sempre que uma empresa publica algo novo, altera um fluxo de trabalho, contrata para uma função, lança um projeto, aparece em uma página de fornecedor ou tem dados de funcionários expostos em uma violação. Cada atualização parece inofensiva isoladamente, mas, com o tempo, pode dar aos atacantes uma visão mais clara das pessoas, ferramentas, relacionamentos e pontos de acesso da empresa.

Um conjunto simples de verificações e revisões pode ajudar:

  • Revise trimestralmente as informações empresariais voltadas ao público
  • Verifique as vagas de emprego antes da publicação em busca de detalhes desnecessários sobre ferramentas ou fluxos de trabalho
  • Monitore a exposição a violações de endereços de e-mail comerciais
  • Revise repositórios públicos e serviços expostos
  • Pergunte aos líderes de departamento se alguma informação pública revela processos sensíveis ou padrões de acesso.

Antes que uma informação se torne pública, alguém deve sempre perguntar: isso poderia ajudar um atacante a criar uma mensagem, uma ligação ou uma tentativa de início de sessão mais convincente?

Torne as credenciais mais difíceis de conectar com aliases

Os aliases de e-mail podem ajudar a reduzir a quantidade de informações que os atacantes conseguem conectar entre serviços. Quando o mesmo endereço de e-mail é usado para todos os serviços, fica mais fácil vincular contas, pesquisar dados de violações, adivinhar portais de início de sessão e criar um perfil do funcionário ou da empresa.

Para alguns fluxos de trabalho empresariais, um endereço de e-mail padrão é necessário. Os funcionários precisam de identidades estáveis para o trabalho, os clientes e a colaboração. Mas os aliases podem ser úteis para cadastros, boletins informativos, avaliações, testes com fornecedores, eventos ou serviços que não exigem o endereço comercial principal de uma pessoa.

Os aliases de e-mail são úteis porque separam contas que, de outra forma, os atacantes conectariam ao mesmo funcionário, equipe ou endereço comercial. Eles também podem facilitar o rastreamento da exposição. Quando um alias criado para um fornecedor começa a receber tentativas de início de sessão ou mensagens de phishing não relacionadas, a empresa tem um sinal mais claro de onde esse endereço pode ter sido exposto.

Os aliases funcionam melhor quando combinados com um gerenciador de senhas empresarial como o Proton Pass for Business. Cada conta ainda precisa de uma senha única, armazenamento controlado e propriedade clara. Sem essa estrutura, os aliases podem se tornar mais um hábito manual que os funcionários precisam gerenciar sozinhos.

Gerencie o OSINT com o Proton Pass for Business

Um gerenciador de senhas empresarial como o Proton Pass for Business pode ajudar você a monitorar violações e proteger sua rede com recursos de integridade de credenciais. Com o Proton Pass for Business⁠, as equipes podem criar senhas únicas, armazená-las em cofres de senhas criptografados, usar o preenchimento automático, compartilhar credenciais com segurança, gerenciar passkeys e usar a autenticação de dois fatores (2FA) integrada.

Recursos de administrador, como políticas, relatórios, registros, controle de acesso baseado em funções, provisionamento SCIM e integração com SSO, ajudam as empresas a manter o acesso às credenciais mais controlado à medida que crescem.

Um gerenciador de senhas empresarial não elimina a exposição a OSINT, mas pode tornar as informações encontradas pelos atacantes menos úteis. Quando as credenciais são únicas, armazenadas em cofres criptografados, compartilhadas por espaços aprovados e protegidas com 2FA ou passkeys, uma senha vazada ou uma página de início de sessão falsa e convincente tem menos espaço para se transformar em um acesso mais amplo. Ele também oferece aos funcionários uma regra mais clara a seguir: as credenciais empresariais devem permanecer dentro do gerenciador de senhas, e não em e-mails, chats, planilhas ou conversas telefônicas.

Os atacantes ainda vão pesquisar sua empresa. A questão é quanto eles conseguem descobrir, quão precisa é essa visão e até onde podem chegar com ela.

Reduza a exposição das credenciais da sua empresa com um gerenciador de senhas empresarial⁠.