Um ataque direcionado começa frequentemente com uma pesquisa. Os hackers procuram informações como o cargo de um funcionário, uma publicação de recrutamento que menciona as suas ferramentas empresariais, um endereço de e-mail exposto ou um subdomínio antigo. Isoladamente, estes detalhes não parecem perigosos. Mas os atacantes recolhem propositadamente muitos pequenos indícios e informações para criar uma campanha de phishing por e-mail, uma página de início de sessão falsa ou uma chamada de personificação que pareça credível.

A inteligência de código aberto (OSINT) transforma informações públicas em preparação para um ataque mais direcionado. A sua estratégia de segurança empresarial OSINT é a forma como a sua empresa se protege. Para as empresas, o desafio é duplo: auditar o que já está disponível e saber o que existe, para depois avaliar que detalhes públicos ajudam clientes, candidatos e parceiros, e quais ajudam silenciosamente os atacantes a mapear as suas pessoas, ferramentas, credenciais e pontos de acesso.

O que significa OSINT na cibersegurança

No contexto da cibersegurança, OSINT é a utilização de informações disponíveis publicamente para identificar possíveis caminhos de ataque. As informações podem vir de motores de pesquisa, redes sociais, sítios web de empresas, portais de emprego, repositórios de código públicos e outras fontes que não exigem invadir um sistema.

Os atacantes usam OSINT para responder a perguntas práticas sobre uma empresa, como:

  • Quem trabalha aqui?
  • Quem aprova pagamentos?
  • Que ferramentas usa a empresa?
  • Como é o formato do e-mail?
  • Que fornecedores ou clientes podem ser de confiança?
  • Que contas já podem estar expostas?
  • Que sistemas estão expostos à internet?

OSINT fornece aos hackers detalhes que tornam os seus ataques credíveis. Um golpe genérico limita-se a pedir uma ação, mas um golpe investigado é direcionado a uma pessoa específica, enviado por alguém que ela conhece ou em quem tem motivos para confiar, e menciona um projeto de trabalho real ou informações não públicas.

O Inquérito de 2024 sobre Incidentes de Cibersegurança do Reino Unido(nova janela)⁠ concluiu que metade das empresas do Reino Unido relatou ter identificado um incidente ou ataque de cibersegurança nos 12 meses anteriores. O phishing permaneceu o tipo mais comum de incidente ou ataque entre as empresas afetadas. OSINT não é o mesmo que phishing, mas é um recurso que os hackers podem usar para tornar o phishing mais convincente e mais difícil de os funcionários dispensarem.

O que os atacantes podem aprender sobre a sua empresa

Os hackers usam uma variedade de métodos diferentes para recolher informações. Eis alguns dos caminhos mais comuns e eficazes.

Pessoas

O LinkedIn, páginas de biografia da empresa, agendas de conferências, podcasts, webinars e menções na imprensa podem revelar nomes, cargos, linhas de reporte, senioridade, localizações e áreas de responsabilidade. Isto ajuda os atacantes a escolher quem personificar e quem pressionar.

Por exemplo, um atacante que conhece o nome de um diretor financeiro, o formato de e-mail da empresa e o software atual da equipa financeira pode criar uma mensagem que parece muito menos genérica do que spam comum. O pedido pode mencionar um fornecedor real, referir-se a um processo de pagamento que existe dentro da empresa, ou chegar num momento em que a equipa já está à espera de comunicação relacionada com faturas. Nenhuma destas informações requer acesso a um sistema privado.

Ferramentas

Os anúncios de emprego mencionam frequentemente as plataformas que os candidatos devem conhecer: CRMs, ferramentas de processamento salarial, software de helpdesk, plataformas de análise, ferramentas de colaboração e ambientes de programação. Avaliações públicas, estudos de caso, integrações e perfis de funcionários podem revelar ainda mais.

A exposição das ferramentas ajuda os atacantes a adaptar o seu pretexto de phishing. Um e-mail de phishing que diz «a sua conta foi sinalizada» não é convincente, mas uma mensagem que nomeia o CRM exato, o sistema de RH ou a ferramenta de colaboração que a equipa usa é.

Pegada técnica

Subdomínios, serviços expostos, registos de certificados, antigos ambientes de teste e páginas de início de sessão mal configuradas podem revelar onde uma empresa tem sistemas online. Os atacantes também podem procurar repositórios públicos que incluam credenciais antigas, chaves de API, URLs internos ou ficheiros de configuração confirmados acidentalmente durante o desenvolvimento.

Dados de incidentes

Endereços de e-mail, nomes de utilizador, palavras-passe, números de telefone e outros detalhes pessoais ou empresariais expostos em incidentes anteriores podem tornar-se matéria-prima para um ataque posterior. O Observatório de Incidentes de Dados⁠ da Proton mostra como os dados divulgados podem continuar a criar risco após o incidente original, especialmente quando credenciais, detalhes de contacto e informações de funcionários podem ser ligados de volta a uma empresa.

Como o OSINT alimenta ataques direcionados

O OSINT torna-se perigoso quando os atacantes usam dados recolhidos para construir uma história credível. Considere uma empresa que publica perfis de funcionários, lista logótipos de clientes, menciona uma migração recente de CRM em anúncios de emprego e usa um formato de e-mail previsível. Um funcionário das finanças recebe então uma mensagem que parece vir de um líder sénior, faz referência a um fornecedor real e pede apoio urgente para pagamento. O e-mail só precisa de conter detalhes familiares suficientes para reduzir a suspeita.

O mesmo padrão aplica-se a ataques a credenciais. Um atacante encontra o e-mail profissional de um funcionário em dados de incidentes, vê no LinkedIn que a pessoa trabalha em operações e fica a saber, através de anúncios de emprego, que a empresa usa uma plataforma SaaS específica. A mensagem de phishing seguinte pode imitar essa plataforma e chegar com linguagem que corresponde ao cargo do funcionário.

Os golpes telefónicos também podem ser moldados pelo OSINT. Um interlocutor que conhece o fornecedor de TI da empresa, o nome de um responsável de departamento ou o momento de um projeto parece legítimo. É por isso que o OSINT e a engenharia social estão interligados: as informações públicas dão aos atacantes a confiança e os detalhes necessários para manipular pessoas em tempo real.

A empresa pode sofrer o ataque final como phishing, vishing, apoderamento de conta, fraude de faturas ou roubo de credenciais. Os preparativos podem ter sido OSINT desde o início.

As credenciais divulgadas também são OSINT

Os dados de incidentes são frequentemente discutidos como um risco direto de apoderamento de conta: quando uma palavra-passe é divulgada, os atacantes podem experimentá-la em vários pontos de entrada. Isto continua a ser um problema sério, especialmente quando os funcionários reutilizam palavras-passe em vários serviços.

Mas as credenciais divulgadas também podem ajudar os atacantes a compreender a empresa por trás da conta. Um endereço de e-mail exposto pode confirmar que serviços um funcionário utilizou, enquanto palavras-passe antigas, números de telefone e domínios da empresa repetidos podem acrescentar contexto para futuras tentativas de phishing, vishing ou apoderamento de conta. O incidente pode ter acontecido noutro local, mas a informação ainda pode ajudar um atacante a construir um retrato mais preciso da sua equipa.

O Observatório de Incidentes de Dados da Proton destaca como os dados expostos podem apoiar phishing, ataques a credenciais e engenharia social mais ampla. Destaca também que os dados divulgados não deixam de ser úteis para os atacantes depois de o primeiro incidente ser comunicado. Esses dados podem ser reutilizados, combinados e remodelados para futuros ataques direcionados.

A monitorização de e-mails empresariais e credenciais expostos ajuda as organizações a ver mais do que a palavra-passe que precisa de ser alterada. Pode revelar onde os funcionários usaram endereços profissionais, que serviços podem estar ligados à empresa e se a mesma identidade aparece em múltiplas fugas.

Isto é essencial porque os atacantes podem reutilizar informações, não só para tentar palavras-passe antigas, mas para tornar futuras tentativas de phishing, vishing ou personificação mais específicas. Uma credencial divulgada raramente é apenas uma credencial isolada. Pode tornar-se parte da investigação de base que torna o próximo ataque mais eficaz.

Reduza o que os atacantes podem aprender de fontes públicas

Nenhuma empresa se pode remover da vista pública, e esse não deve ser o objetivo de ninguém. Clientes, candidatos e parceiros continuam a precisar de informações suficientes para compreender quem é e como trabalhar consigo.

O risco está em publicar detalhes que vão além desse propósito: nomes de ferramentas internas, padrões de contacto direto, fluxos de aprovação ou pistas técnicas que dão aos atacantes um retrato mais nítido de como a empresa opera.

  • Comece pelas suas informações públicas. Reveja páginas da empresa, biografias da equipa, comunicados de imprensa, estudos de caso, artigos do centro de ajuda, anúncios de emprego, publicações em redes sociais e documentos públicos. Procure detalhes que revelem sistemas internos, processos de aprovação, rotas de acesso ou fluxos de trabalho sensíveis.
  • Os anúncios de emprego merecem especial atenção. Os candidatos podem precisar de conhecer as grandes categorias de ferramentas que vão usar, mas os anúncios públicos nem sempre precisam de nomear todas as plataformas SaaS, produtos de segurança, CRM, ferramentas de pagamento, fornecedores de nuvem ou fluxos de trabalho internos. Quanto mais específica for a lista de ferramentas, mais fácil se torna criar um pedido de início de sessão falso, uma mensagem de apoio ou um pedido de fornecedor.
  • As informações dos funcionários também precisam de equilíbrio. A senioridade, o cargo e a especialização podem ser adequados para partilhar, mas números de telefone diretos, detalhes pessoais, padrões de viagem, nomes de projetos internos ou detalhes desnecessários da estrutura de reporte podem dar aos atacantes mais pontos de apoio.
  • Os repositórios de código públicos devem ser revistos regularmente. Projetos antigos, ficheiros de teste, documentação ou exemplos de configuração podem conter segredos que não se destinavam a ser públicos. Mesmo quando as credenciais expiraram, URLs internos, convenções de nomenclatura e referências a serviços ainda podem ajudar os atacantes a compreender o ambiente.

Reduza o valor do que os atacantes encontram

O OSINT existirá sempre porque as empresas precisam de ser visíveis. O objetivo é reduzir a quantidade de informações desnecessárias disponíveis e limitar o que os atacantes podem fazer com os detalhes que encontram.

As informações públicas são o primeiro local para reduzir a exposição desnecessária. Anúncios de emprego, perfis de empresas, páginas de funcionários, repositórios, subdomínios e documentos antigos devem dar às pessoas contexto suficiente para confiar e compreender a empresa, não uma visão detalhada de como opera nos bastidores. Quando nomes de ferramentas internas, pistas técnicas ou detalhes de processos não são necessários publicamente, é melhor mantê-los fora de vista.

Os controlos de credenciais são igualmente importantes. Endereços de e-mail expostos e palavras-passe divulgadas estão entre os sinais OSINT mais fáceis de transformar em ação. Palavras-passe únicas, MFA, chaves de acesso, partilha segura, monitorização de incidentes e acesso controlado tornam o reconhecimento menos útil.

Reveja a sua pegada técnica sem publicar um roteiro

A exposição técnica também faz parte do OSINT. Domínios, subdomínios, portais de início de sessão, serviços de nuvem, ambientes de desenvolvimento, pontos finais de API e repositórios públicos podem todos ajudar os atacantes a compreender como uma empresa está estruturada online.

Uma revisão regular ajuda a separar o que é intencionalmente público do que foi publicado e esquecido. Páginas de teste antigas, subdomínios não utilizados, ecrãs de serviço predefinidos, documentação desatualizada, notas de configuração expostas e repositórios públicos com referências internas podem não parecer urgentes, mas podem facilitar o reconhecimento.

Muitas correções são simples: remover páginas antigas, restringir o acesso, atualizar a documentação, rodar segredos expostos ou mover detalhes internos para fora de repositórios públicos. Outras descobertas podem precisar apenas de um responsável claro e de uma razão para permanecerem visíveis. A exposição pública torna-se uma decisão, em vez de uma omissão.

Integrar verificações de OSINT nas rotinas de segurança

A exposição de OSINT não é estática. Aumenta sempre que uma empresa publica algo novo, altera um fluxo de trabalho, contrata para um cargo, lança um projeto, aparece numa página de fornecedor ou tem dados de colaboradores expostos num incidente. Cada atualização parece inofensiva isoladamente, mas com o tempo pode dar aos atacantes uma visão mais clara das pessoas, ferramentas, relações e pontos de acesso da empresa.

Um conjunto simples de verificações e revisões pode ajudar:

  • Rever as informações empresariais de acesso público trimestralmente
  • Verificar as ofertas de emprego antes da publicação para detetar detalhes desnecessários sobre ferramentas ou fluxos de trabalho
  • Monitorizar a exposição a incidentes para endereços de e-mail empresariais
  • Rever repositórios públicos e serviços expostos
  • Perguntar aos responsáveis de departamento se alguma informação pública revela processos sensíveis ou padrões de acesso.

Antes de a informação se tornar pública, alguém deve perguntar sempre: isto poderia ajudar um atacante a criar uma mensagem, chamada ou tentativa de início de sessão mais convincente?

Tornar as credenciais mais difíceis de ligar com alias

Alias de e-mail podem ajudar a reduzir a quantidade de informações que os atacantes conseguem ligar entre serviços. Quando o mesmo endereço de e-mail é usado para todos os serviços, torna-se mais fácil ligar contas, pesquisar dados de incidentes, adivinhar portais de início de sessão e criar um perfil do colaborador ou da empresa.

Para alguns fluxos de trabalho empresariais, é necessário um endereço de e-mail padrão. Os colaboradores precisam de identidades estáveis para o trabalho, os clientes e a colaboração. Mas os alias podem ser úteis para registos, newsletters, avaliações, testes com fornecedores, eventos ou serviços que não exijam o endereço empresarial principal de uma pessoa.

Os alias de e-mail são úteis porque separam contas que, de outra forma, os atacantes ligariam ao mesmo colaborador, equipa ou endereço empresarial. Também podem facilitar o rastreio da exposição. Quando um alias criado para um fornecedor começa a receber tentativas de início de sessão ou mensagens de phishing não relacionadas, a empresa tem um sinal mais claro de onde esse endereço pode ter sido exposto.

Os alias funcionam melhor quando são combinados com um gestor de palavras-passe empresarial, como o Proton Pass for Business. Cada conta continua a precisar de uma palavra-passe única, armazenamento controlado e propriedade clara. Sem essa estrutura, os alias podem tornar-se outro hábito manual que os colaboradores têm de gerir sozinhos.

Gerir OSINT com o Proton Pass for Business

Um gestor de palavras-passe empresarial como o Proton Pass for Business pode ajudar a monitorizar incidentes e a proteger a sua rede com funcionalidades de saúde das credenciais. Com o Proton Pass for Business⁠, as equipas podem criar palavras-passe únicas, armazená-las em cofres de palavras-passe encriptados, usar o preenchimento automático, partilhar credenciais em segurança, gerir chaves de acesso e usar a autenticação de dois fatores (2FA) integrada.

Funcionalidades de administração, como políticas, relatórios, registos, controlo de acesso baseado em cargos, aprovisionamento SCIM e integração SSO, ajudam as empresas a manter um acesso às credenciais mais controlado à medida que crescem.

Um gestor de palavras-passe empresarial não elimina a exposição de OSINT, mas pode tornar a informação que os atacantes encontram menos útil. Quando as credenciais são únicas, armazenadas em cofres encriptados, partilhadas através de espaços aprovados e protegidas com 2FA ou chaves de acesso, uma palavra-passe divulgada ou uma página de início de sessão falsa convincente tem menos margem para se transformar num acesso mais amplo. Também dá aos colaboradores uma regra mais clara a seguir: as credenciais empresariais devem permanecer dentro do gestor de palavras-passe, não em e-mails, chats, folhas de cálculo ou conversas telefónicas.

Os atacantes continuarão a investigar a sua empresa. A questão é quanto conseguem aprender, quão precisa é essa imagem e até onde podem ir com ela.

Reduza a exposição das credenciais da sua empresa com um gestor de palavras-passe empresarial⁠.