Strategia de securitate a afacerii dumneavoastră bazată pe OSINT: cum cercetează atacatorii companiile

Un atac țintit începe adesea cu o căutare. Atacatorii caută informații precum funcția unui angajat, o postare de recrutare care numește instrumentele de lucru ale companiei, o adresă de e-mail expusă sau un subdomeniu vechi. Privite izolat, aceste detalii nu par periculoase. Însă atacatorii colectează intenționat multe indicii și informații mărunte pentru a construi o campanie de e-mailuri de phishing, o pagină de conectare falsă sau un apel de impersonare care pare credibil.

Informațiile din surse publice (OSINT) transformă informațiile publice în pregătire pentru un atac mai bine țintit. Strategia de securitate a afacerii dumneavoastră bazată pe OSINT este felul în care afacerea se protejează. Pentru companii, provocarea este dublă: să auditeze ce există deja în mediul public și să știe ce anume există, apoi să judece ce detalii publice îi ajută pe clienți, pe candidați și pe parteneri și care dintre ele îi ajută în tăcere pe atacatori să vă cartografieze oamenii, instrumentele, acreditările și punctele de accesare.

Ce înseamnă OSINT în securitatea cibernetică

În contextul securității cibernetice, OSINT este utilizarea informațiilor disponibile public pentru a identifica posibile căi de atac. Informațiile pot veni de pe motoare de căutare, rețele sociale, site-uri web ale companiilor, platforme de recrutare, depozite publice de cod și alte surse care nu presupun spargerea unui sistem.

Atacatorii folosesc OSINT pentru a răspunde la întrebări practice despre o afacere, precum:

• Cine lucrează aici?
• Cine aprobă plățile?
• Ce instrumente folosește compania?
• Cum arată formatul adreselor de e-mail?
• Care furnizori sau clienți ar putea fi considerați de încredere?
• Care conturi ar putea fi deja expuse?
• Care sisteme sunt expuse pe internet?

OSINT le oferă atacatorilor detalii care fac atacurile credibile. O escrocherie generică cere pur și simplu o acțiune, dar o escrocherie documentată se adresează unei persoane anume, este trimisă de la cineva cunoscut sau în care există motive să ai încredere și menționează un proiect de lucru real sau informații care nu sunt publice.

Studiul privind încălcările securității cibernetice din 2024(fereastră nouă)⁠ realizat în Regatul Unit a constatat că jumătate dintre companiile britanice au raportat identificarea unei încălcări sau unui atac de securitate cibernetică în ultimele 12 luni. Phishingul a rămas cel mai frecvent tip de încălcare sau atac în rândul companiilor afectate. OSINT nu este același lucru cu phishingul, dar este un atu pe care atacatorii îl pot folosi pentru a face phishingul mai convingător și mai greu de ignorat de către angajați.

Ce pot afla atacatorii despre afacerea dumneavoastră

Atacatorii folosesc o varietate de metode diferite pentru a colecta informații. Iată câteva dintre cele mai frecvente și mai eficiente căi.

Persoane

LinkedIn, paginile de prezentare ale companiilor, agendele conferințelor, podcasturile, webinarile și mențiunile din presă pot dezvălui nume, funcții, relații de subordonare, vechime, locații și domenii de responsabilitate. Astfel, atacatorii pot alege pe cine să imite și pe cine să preseze.

De exemplu, un atacator care cunoaște numele directorului financiar, formatul adreselor de e-mail ale companiei și software-ul folosit în prezent de echipa financiară poate construi un mesaj care pare mult mai puțin generic decât spamul obișnuit. Solicitarea poate menționa un furnizor real, se poate referi la un proces de plată care există în cadrul afacerii sau poate sosi într-un moment în care echipa așteaptă deja o comunicare legată de facturi. Niciuna dintre aceste informații nu necesită accesarea unui sistem privat.

Instrumente

Anunțurile de angajare menționează adesea platformele pe care candidații ar trebui să le cunoască: CRM-uri, instrumente de salarizare, software de asistență pentru clienți, platforme de analiză, instrumente de colaborare și medii pentru dezvoltatori. Recenziile publice, studiile de caz, integrările și profilurile angajaților pot dezvălui și mai multe.

Expunerea instrumentelor îi ajută pe atacatori să își adapteze pretextul de phishing. Un e-mail de phishing care spune „contul dumneavoastră a fost semnalat” nu este convingător, însă un mesaj care numește exact CRM-ul, sistemul HR sau instrumentul de colaborare folosit de echipă este.

Amprenta tehnică

Subdomeniile, serviciile expuse, înregistrările de certificate, mediile vechi de testare și paginile de conectare configurate greșit pot dezvălui unde are o afacere sisteme conectate. Atacatorii pot căuta, de asemenea, depozite publice care includ acreditări vechi, chei API, URL-uri interne sau fișiere de configurare trimise accidental în timpul dezvoltării.

Date din încălcări

Adresele de e-mail, numele de utilizator, parolele, numerele de telefon și alte detalii personale sau de business expuse în încălcări anterioare pot deveni materie primă pentru un atac ulterior. Observatorul de încălcări de date⁠ al Proton arată cum datele divulgate pot continua să genereze riscuri după incidentul inițial, mai ales când acreditările, detaliile de contact și informațiile despre angajați pot fi corelate cu o afacere.

Cum alimentează OSINT atacurile țintite

OSINT devine periculos când atacatorii folosesc datele colectate pentru a construi o poveste credibilă. Să luăm exemplul unei afaceri care publică profiluri ale angajaților, afișează siglele clienților, menționează o migrare recentă de CRM în anunțurile de angajare și folosește un format previzibil de adrese de e-mail. Un angajat din departamentul financiar primește apoi un mesaj care pare să vină de la un lider senior, face referire la un furnizor real și cere sprijin urgent pentru o plată. E-mailul trebuie doar să conțină suficiente detalii familiare pentru a reduce suspiciunea.

Același tipar se aplică și atacurilor asupra acreditărilor. Un atacator găsește adresa de e-mail de serviciu a unui angajat în datele unei încălcări, vede pe LinkedIn că persoana lucrează în operațiuni și află din anunțurile de angajare că firma folosește o platformă SaaS anume. Următorul mesaj de phishing poate imita acea platformă și poate sosi cu un limbaj care se potrivește rolului angajatului.

Escrocheriile telefonice pot fi modelate tot pe baza OSINT. Un apelant care cunoaște furnizorul IT al companiei, numele șefului unui departament sau momentul unui proiect pare legitim. De aceea OSINT și ingineria socială sunt strâns legate: informațiile publice le oferă atacatorilor încrederea și detaliile necesare pentru a manipula oamenii în timp real.

Afacerea poate resimți atacul final ca phishing, vishing, preluare a contului, fraudă cu facturi sau furt de acreditări. Pregătirea ar putea să fi fost OSINT tot timpul.

Acreditările divulgate sunt și ele OSINT

Datele din încălcări sunt adesea discutate ca un risc direct de preluare a contului: când o parolă este divulgată, atacatorii o pot încerca în mai multe puncte de intrare. Aceasta rămâne o problemă serioasă, mai ales când angajații reutilizează parolele pentru mai multe servicii.

Dar acreditările divulgate îi pot ajuta pe atacatori să înțeleagă și afacerea din spatele contului. O adresă de e-mail expusă poate confirma ce servicii a folosit un angajat, în timp ce parolele vechi, numerele de telefon și domeniile repetate ale companiei pot adăuga context pentru viitoarele tentative de phishing, vishing sau preluare a contului. Încălcarea s-ar putea să fi avut loc în altă parte, dar informațiile pot ajuta în continuare un atacator să își formeze o imagine mai exactă despre echipa dumneavoastră.

Observatorul de încălcări de date al Proton evidențiază modul în care datele expuse pot susține phishingul, atacurile asupra acreditărilor și ingineria socială în general. De asemenea, evidențiază faptul că datele divulgate nu încetează să fie utile pentru atacatori după raportarea primei încălcări. Aceste date pot fi reutilizate, combinate și remodelate pentru atacuri viitoare.

Monitorizarea e-mailurilor de serviciu și a acreditărilor expuse ajută organizațiile să vadă mai mult decât parola care trebuie schimbată. Poate dezvălui unde au folosit angajații adresele de serviciu, ce servicii pot fi conectate la afacere și dacă aceeași identitate apare în mai multe divulgări.

Acest lucru este esențial, deoarece atacatorii pot reutiliza informațiile, nu doar pentru a încerca parole vechi, ci și pentru a face viitoarele tentative de phishing, vishing sau impersonare să pară mai specifice. O acreditare divulgată este rareori o acreditare izolată. Poate deveni parte din cercetarea de fond care face următorul atac mai eficient.

Reduceți ce pot afla atacatorii din surse publice

Nicio afacere nu se poate retrage complet din vizibilitatea publică, iar acesta nu ar trebui să fie scopul nimănui. Clienții, candidații și partenerii au în continuare nevoie de suficiente informații pentru a înțelege cine sunteți și cum pot lucra cu dumneavoastră.

Riscul constă în publicarea unor detalii care depășesc acest scop: nume de instrumente interne, tipare de contact direct, fluxuri de aprobare sau indicii tehnice care le oferă atacatorilor o imagine mai clară asupra modului în care funcționează afacerea.

• Începeți cu informațiile vizibile public. Examinați paginile companiei, prezentările echipei, comunicatele de presă, studiile de caz, articolele din centrul de ajutor, anunțurile de angajare, postările de pe rețelele sociale și documentele publice. Căutați detalii care dezvăluie sisteme interne, procese de aprobare, rute de accesare sau fluxuri de lucru sensibile.
• Anunțurile de angajare merită o atenție specială. Candidații pot avea nevoie să cunoască marile categorii de instrumente pe care le vor folosi, dar anunțurile publice nu trebuie să numească întotdeauna fiecare platformă SaaS, produs de securitate, CRM, instrument de plată, furnizor de cloud sau flux de lucru intern. Cu cât lista de instrumente este mai specifică, cu atât devine mai ușor să creezi o solicitare falsă de conectare, un mesaj de asistență sau o cerere de la un furnizor.
• Informațiile despre angajați au nevoie și ele de echilibru. Vechimea, rolul și expertiza pot fi potrivite pentru partajare, însă numerele de telefon directe, detaliile personale, tiparele de călătorie, numele interne ale proiectelor sau detaliile inutile despre structura ierarhică le pot oferi atacatorilor mai mult cu ce să lucreze.
• Depozitele publice de cod ar trebui verificate periodic. Proiectele vechi, fișierele de test, documentația sau exemplele de configurare pot conține secrete care nu erau menite să fie publice. Chiar și atunci când acreditările au expirat, URL-urile interne, convențiile de denumire și referințele la servicii îi pot ajuta în continuare pe atacatori să înțeleagă mediul.

Reduceți valoarea a ceea ce găsesc atacatorii

OSINT va exista mereu, pentru că afacerile au nevoie să fie vizibile. Scopul este să reduceți cantitatea de informații inutile disponibile și să limitați ce pot face atacatorii cu detaliile pe care le găsesc.

Informațiile publice sunt primul loc în care se poate reduce expunerea inutilă. Anunțurile de angajare, profilurile companiilor, paginile angajaților, depozitele, subdomeniile și documentele vechi ar trebui să le ofere oamenilor suficient context pentru a avea încredere în afacere și a o înțelege, nu o imagine detaliată a modului în care aceasta funcționează în culise. Când numele instrumentelor interne, indiciile tehnice sau detaliile despre procese nu sunt necesare public, este mai bine să rămână ascunse.

Controalele asupra acreditărilor sunt la fel de importante. Adresele de e-mail expuse și parolele divulgate sunt unele dintre cele mai ușoare semnale OSINT care pot fi transformate în acțiune. Parolele unice, MFA, cheile de acces, partajarea securizată, monitorizarea încălcărilor și accesarea controlată fac toate recunoașterea mai puțin utilă.

Examinați-vă amprenta tehnică fără a publica o foaie de parcurs

Expunerea tehnică face parte, de asemenea, din OSINT. Domeniile, subdomeniile, portalurile de conectare, serviciile cloud, mediile de dezvoltare, punctele finale API și depozitele publice îi pot ajuta pe atacatori să înțeleagă cum este structurată o afacere online.

O verificare regulată ajută la separarea a ceea ce este public intenționat de ceea ce a fost publicat și uitat. Paginile vechi de staging, subdomeniile neutilizate, ecranele implicite ale serviciilor, documentația învechită, notele de configurare expuse și depozitele publice cu referințe interne pot să nu pară urgente, dar pot facilita recunoașterea.

Multe remedieri sunt simple: eliminați paginile vechi, restricționați accesul, actualizați documentația, rotiți secretele expuse sau mutați detaliile interne din depozitele publice. Alte constatări pot avea nevoie doar de un responsabil clar și de un motiv pentru a rămâne vizibile. Expunerea publică devine o decizie, nu o omisiune.

Integrarea verificărilor OSINT în rutinele de securitate

Expunerea OSINT nu este statică. Crește de fiecare dată când o afacere publică ceva nou, schimbă un flux de lucru, angajează pentru un rol, lansează un proiect, apare pe pagina unui furnizor sau are datele angajaților expuse într-o încălcare. Fiecare actualizare pare inofensivă în izolare, dar în timp le poate oferi atacatorilor o imagine mai clară asupra oamenilor, instrumentelor, relațiilor și punctelor de acces ale companiei.

Un set simplu de verificări și evaluări poate ajuta:

• Verificați trimestrial informațiile de afaceri destinate publicului.
• Verificați anunțurile de angajare înainte de publicare pentru detalii inutile despre instrumente sau fluxuri de lucru.
• Monitorizați expunerea la încălcări pentru adresele de e-mail de business.
• Verificați depozitele publice și serviciile expuse.
• Întrebați responsabilii de departament dacă vreo informație publică dezvăluie procese sensibile sau modele de accesare.

Înainte ca informația să devină publică, cineva ar trebui să întrebe mereu: ar putea acest lucru să ajute un atacator să creeze un mesaj, un apel sau o tentativă de conectare mai convingătoare?

Faceți ca acreditările să fie mai greu de conectat cu aliasuri

Aliasurile de e-mail pot ajuta la reducerea cantității de informații pe care atacatorii le pot conecta între servicii. Când aceeași adresă de e-mail este folosită pentru fiecare serviciu, devine mai ușor să asociezi conturi, să cauți date din încălcări, să ghicești portaluri de conectare și să construiești un profil al angajatului sau al afacerii.

Pentru unele fluxuri de lucru de business, o adresă de e-mail standard este necesară. Angajații au nevoie de identități stabile pentru muncă, clienți și colaborare. Dar aliasurile pot fi utile pentru înscrieri, buletine informative, versiuni de încercare, testarea furnizorilor, evenimente sau servicii care nu necesită adresa de business principală a unei persoane.

Aliasurile de e-mail sunt utile pentru că separă conturile pe care atacatorii le-ar conecta altfel la același angajat, aceeași echipă sau aceeași adresă de business. De asemenea, pot face expunerea mai ușor de urmărit. Când un alias creat pentru un furnizor începe să primească tentative de conectare sau mesaje de phishing fără legătură, afacerea are un semnal mai clar cu privire la locul în care acea adresă ar fi putut fi expusă.

Aliasurile funcționează cel mai bine atunci când sunt asociate cu un manager de parole pentru business, cum ar fi Proton Pass for Business. Fiecare cont are în continuare nevoie de o parolă unică, stocare controlată și proprietate clară. Fără acea structură, aliasurile pot deveni un alt obicei manual pe care angajații să îl gestioneze singuri.

Gestionarea OSINT cu Proton Pass for Business

Un manager de parole pentru business precum Proton Pass for Business vă poate ajuta să monitorizați încălcările și să vă protejați rețeaua cu funcții de sănătate a acreditărilor. Cu Proton Pass for Business⁠, echipele pot crea parole unice, le pot stoca în seifuri de parole criptate, pot folosi completarea automată, pot partaja acreditări în siguranță, pot gestiona chei de acces și pot folosi autentificarea cu doi factori (A2F) integrată.

Funcțiile de administrator, cum ar fi politicile, raportarea, jurnalele, controlul accesului bazat pe roluri, provisionarea SCIM și integrarea SSO, ajută afacerile să mențină accesul la acreditări mai controlat pe măsură ce cresc.

Un manager de parole pentru business nu elimină expunerea OSINT, dar poate face informațiile găsite de atacatori mai puțin utile. Când acreditările sunt unice, stocate în seifuri criptate, partajate prin spații aprobate și protejate cu A2F sau chei de acces, o parolă divulgată sau o pagină falsă de conectare convingătoare are mai puțin loc să se transforme în acces extins. De asemenea, le oferă angajaților o regulă mai clară de urmat: acreditările de business ar trebui să rămână în managerul de parole, nu în e-mailuri, chat-uri, foi de calcul sau conversații telefonice.

Atacatorii vă vor cerceta în continuare afacerea. Întrebarea este cât pot învăța, cât de exactă este acea imagine și cât de departe pot merge cu ea.

Reduceți expunerea acreditărilor afacerii dumneavoastră cu un manager de parole pentru business⁠.