Целевая атака часто начинается с поиска. Хакеры ищут информацию, например, должность сотрудника, пост о найме, в котором указаны ваши рабочие инструменты, открытый адрес электронной почты или старый поддомен. По отдельности эта информация не кажется опасной. Но злоумышленники намеренно собирают множество мелких подсказок и фрагментов информации, чтобы создать кампанию фишинговых писем, поддельную страницу входа или звонок с выдачей себя за другое лицо, что кажется правдоподобным.
Разведка на основе открытых источников (OSINT) превращает общедоступную информацию в подготовку к более целевой атаке. Стратегия безопасности бизнеса с OSINT — это то, как бизнес защищает себя. Для бизнеса задача двойная: проверить, что уже находится в открытом доступе, и понять, что вообще существует, а затем оценить, какие публичные данные помогают клиентам, кандидатам и партнёрам, а какие незаметно помогают злоумышленникам составить карту ваших сотрудников, инструментов, учётных данных и точек доступа.
Что означает OSINT в кибербезопасности
В контексте кибербезопасности OSINT — это использование общедоступной информации для выявления возможных путей атаки. Информация может поступать из поисковых систем, социальных сетей, веб-сайтов компаний, сайтов с вакансиями, публичных репозиториев кода и других источников, не требующих взлома системы.
Злоумышленники используют OSINT, чтобы ответить на практические вопросы о бизнесе, например:
- Кто здесь работает?
- Кто утверждает платежи?
- Какие инструменты использует компания?
- Как выглядит формат электронной почты?
- Какие поставщики или клиенты могут быть доверенными?
- Какие аккаунты уже могли быть раскрыты?
- Какие системы подключены к интернету?
OSINT даёт хакерам информацию, которая делает их атаки правдоподобными. Обычное мошенничество просто требует действий, но хорошо подготовленное мошенничество нацелено на конкретного человека, отправлено от человека, которого знает адресат или которому доверяет, и упоминает реальный рабочий проект или непубличную информацию.
В Великобритании Исследование утечек в сфере кибербезопасности 2024(новое окно) показало, что половина британских компаний сообщили о выявлении утечки или атаки в сфере кибербезопасности за предыдущие 12 месяцев. Фишинг оставался наиболее распространённым типом утечки или атаки среди пострадавших компаний. OSINT — это не то же самое, что фишинг, но это инструмент, который хакеры могут использовать, чтобы сделать фишинг более убедительным и более сложным для отклонения сотрудниками.
Что злоумышленники могут узнать о вашем бизнесе
Хакеры используют различные методы для сбора информации. Вот некоторые из наиболее распространённых и эффективных путей.
Люди
LinkedIn, страницы с биографиями сотрудников, программы конференций, подкасты, вебинары и упоминания в прессе могут раскрыть имена, должности, линии подчинения, уровень должности, местоположение и зоны ответственности. Это помогает злоумышленникам выбрать, за кого себя выдать и на кого оказать давление.
Например, злоумышленник, который знает имя финансового директора, формат электронной почты компании и текущее программное обеспечение финансовой команды, может создать сообщение, которое будет выглядеть гораздо менее обобщённым, чем обычный спам. В запросе может упоминаться реальный поставщик, ссылаться на процесс оплаты, существующий внутри компании, или он может прийти в момент, когда команда уже ожидает общения по поводу счетов. Ни одна из этих сведений не требует доступа к конфиденциальной системе.
Инструменты
В объявлениях о вакансиях часто упоминаются платформы, которые кандидаты должны знать: CRM, инструменты для расчёта заработной платы, программное обеспечение для службы поддержки, аналитические платформы, инструменты для совместной работы и среды разработки. Публичные обзоры, тематические исследования, интеграции и профили сотрудников могут раскрыть ещё больше.
Раскрытие инструментов помогает злоумышленникам адаптировать свой фишинговый предлог. Фишинговое письмо со словами «ваш аккаунт был помечен» не убедительно, но сообщение, в котором указана точная CRM, HR-система или инструмент для совместной работы, который использует команда, — убедительно.
Технический след
Поддомены, открытые сервисы, записи сертификатов, старые промежуточные среды и неправильно настроенные страницы входа могут раскрыть, где у бизнеса есть онлайн-системы. Злоумышленники также могут искать публичные репозитории, которые содержат старые учётные данные, ключи API, внутренние URL-адреса или файлы конфигурации, случайно загруженные во время разработки.
Данные об утечках
Адреса электронной почты, имена пользователей, пароли, номера телефонов и другие личные или деловые данные, раскрытые в предыдущих утечках, могут стать сырьём для последующей атаки. Proton Обсерватория утечек данных показывает, как утёкшие данные могут продолжать создавать риск после первоначального инцидента, особенно когда учётные данные, контактная информация и сведения о сотрудниках можно связать с бизнесом.
Как OSINT усиливает целевые атаки
OSINT становится опасным, когда злоумышленники используют собранные данные для создания правдоподобной истории. Представьте компанию, которая публикует профили сотрудников, перечисляет логотипы клиентов, упоминает недавнюю миграцию CRM в объявлениях о вакансиях и использует предсказуемый формат электронной почты. Сотрудник финансового отдела получает сообщение, которое якобы приходит от руководителя, ссылается на реального поставщика и требует срочной поддержки платежа. Письму нужно содержать лишь достаточно знакомой информации, чтобы снизить подозрения.
Та же схема применима к атакам на учётные данные. Злоумышленник находит рабочую электронную почту сотрудника в данных об утечках, видит в LinkedIn, что человек работает в операционном отделе, и узнаёт из объявлений о вакансиях, что компания использует конкретную SaaS-платформу. Следующее фишинговое сообщение может имитировать эту платформу и прийти с языком, соответствующим должности сотрудника.
Телефонные мошенничества тоже могут формироваться с помощью OSINT. Звонящий, который знает ИТ-провайдера компании, имя руководителя отдела или сроки проекта, звучит правдоподобно. Вот почему OSINT и социальная инженерия переплетены: публичная информация даёт злоумышленникам уверенность и детали, необходимые для манипулирования людьми в реальном времени.
Бизнес может столкнуться с финальной атакой в виде фишинга, вишинга, захвата аккаунта, мошенничества со счетами или кражи учётных данных. Основой мог быть OSINT с самого начала.
Утёкшие учётные данные — это тоже OSINT
Данные об утечках часто обсуждаются как прямой риск захвата аккаунта: когда пароль утекает, злоумышленники могут попробовать его на нескольких точках входа. Это по-прежнему серьёзная проблема, особенно когда сотрудники повторно используют пароли в разных сервисах.
Но утёкшие учётные данные также могут помочь злоумышленникам понять бизнес, стоящий за аккаунтом. Открытый адрес электронной почты может подтвердить, какими сервисами пользовался сотрудник, в то время как старые пароли, номера телефонов и повторяющиеся домены компании могут добавить контекст для будущих попыток фишинга, вишинга или захвата аккаунта. Утечка могла произойти где-то ещё, но информация всё ещё может помочь злоумышленнику составить более точное представление о вашей команде.
Proton Обсерватория утечек данных освещает, как раскрытые данные могут поддерживать фишинг, атаки на учётные данные и более широкую социальную инженерию. Она также подчёркивает, что утёкшие данные не перестают быть полезными для злоумышленников после сообщения о первой утечке. Эти данные можно повторно использовать, комбинировать и преобразовывать для будущих целевых атак.
Мониторинг раскрытых рабочих электронных писем и учётных данных помогает организациям увидеть больше, чем просто пароль, который нужно сменить. Он может показать, где сотрудники использовали рабочие адреса, какие сервисы могут быть подключены к бизнесу и появляется ли одна и та же личность в нескольких утечках.
Это важно, потому что злоумышленники могут повторно использовать информацию не только для проверки старых паролей, но и для того, чтобы будущие попытки фишинга, вишинга или выдачи себя за другое лицо выглядели более конкретными. Утёкшие учётные данные редко бывают просто изолированными. Они могут стать частью фонового исследования, которое делает следующую атаку более эффективной.
Сократите то, что злоумышленники могут узнать из публичных источников
Ни один бизнес не может удалиться из публичного пространства, и это не должно быть чьей-либо целью. Клиентам, кандидатам и партнёрам всё ещё нужно достаточно информации, чтобы понимать, кто вы и как с вами работать.
Риск заключается в публикации информации, выходящей за рамки этой цели: названий внутренних инструментов, прямых контактных данных, процессов утверждения или технических подсказок, которые дают злоумышленникам более чёткое представление о том, как работает бизнес.
- Начните с публичной информации. Просмотрите страницы компании, биографии сотрудников, пресс-релизы, тематические исследования, статьи справочного центра, объявления о вакансиях, посты в социальных сетях и публичные документы. Ищите информацию, которая раскрывает внутренние системы, процессы утверждения, маршруты доступа или конфиденциальные рабочие процессы.
- Объявления о вакансиях заслуживают особого внимания. Кандидатам может понадобиться знать широкие категории инструментов, которые они будут использовать, но публичные объявления не всегда должны называть каждую SaaS-платформу, продукт безопасности, CRM, платёжный инструмент, облачного провайдера или внутренний рабочий процесс. Чем конкретнее список инструментов, тем легче создать поддельное приглашение для входа, сообщение в поддержку или запрос от поставщика.
- Информация о сотрудниках также требует баланса. Уровень должности, должность и опыт могут быть уместны для публикации, но прямые номера телефонов, личные данные, графики поездок, названия внутренних проектов или ненужные детали структуры подчинения могут дать злоумышленникам больше материала для работы.
- Публичные репозитории кода следует регулярно проверять. Старые проекты, тестовые файлы, документация или примеры конфигурации могут содержать секреты, которые не предназначались для публики. Даже когда срок действия учётных данных истёк, внутренние URL-адреса, соглашения об именовании и ссылки на сервисы всё ещё могут помочь злоумышленникам понять среду.
Снизьте ценность того, что находят злоумышленники
OSINT будет существовать всегда, потому что бизнесу нужно быть видимым. Цель — сократить объём ненужной информации в открытом доступе и ограничить то, что злоумышленники могут сделать с найденной информацией.
Публичная информация — это первое место, где можно сократить ненужную экспозицию. Объявления о вакансиях, профили компаний, страницы сотрудников, репозитории, поддомены и старые документы должны давать людям достаточно контекста, чтобы доверять и понимать бизнес, а не подробное представление о том, как он работает за кулисами. Когда названия внутренних инструментов, технические подсказки или детали процессов не нужны публично, их лучше держать вне поля зрения.
Контроль учётных данных не менее важен. Открытые адреса электронной почты и утёкшие пароли — это одни из самых простых сигналов OSINT, которые можно превратить в действие. Уникальные пароли, MFA, ключи доступа, безопасный обмен, мониторинг утечек и контролируемый доступ — всё это делает разведку менее полезной.
Проверьте свой технический след, не публикуя дорожную карту
Техническая открытость — тоже часть OSINT. Домены, поддомены, порталы входа, облачные сервисы, среды разработки, конечные точки API и публичные репозитории помогают злоумышленникам понять, как устроен бизнес в интернете.
Регулярная проверка помогает отделить то, что раскрыто намеренно, от того, что было опубликовано и забыто. Старые тестовые страницы, неиспользуемые поддомены, экраны сервисов по умолчанию, устаревшая документация, открытые заметки о конфигурации и публичные репозитории с внутренними ссылками могут не казаться срочной проблемой, но они упрощают сбор информации.
Многие исправления просты: удалить старые страницы, ограничить доступ, обновить документацию, заменить скомпрометированные секреты или убрать внутреннюю информацию из публичных репозиториев. Для других находок достаточно назначить ответственного и определить причину оставаться видимыми. Публичная открытость становится решением, а не упущением.
Включите проверки OSINT в процедуры безопасности
Открытость для OSINT не статична. Она растет каждый раз, когда бизнес публикует что-то новое, меняет рабочий процесс, ищет сотрудника на должность, запускает проект, появляется на странице поставщика или когда данные сотрудников оказываются в утечке. Каждое обновление по отдельности кажется безобидным, но со временем оно дает злоумышленникам более полную картину людей, инструментов, связей и точек доступа компании.
Помочь может простой набор проверок и аудитов:
- Проверяйте публичную информацию о бизнесе раз в квартал
- Проверяйте вакансии перед публикацией на лишние детали об инструментах или рабочих процессах
- Следите за утечками рабочих адресов электронной почты
- Проверяйте публичные репозитории и открытые сервисы
- Спросите руководителей отделов, не раскрывает ли публичная информация конфиденциальные процессы или схемы доступа.
Прежде чем информация станет публичной, стоит всегда задавать вопрос: поможет ли это злоумышленнику создать более убедительное сообщение, звонок или попытку входа?
Затрудните сопоставление учетных данных с помощью псевдонимов
Псевдонимы электронной почты помогают сократить объем информации, который злоумышленники могут связать между сервисами. Когда один и тот же адрес электронной почты используется везде, становится проще связывать аккаунты, искать данные об утечках, угадывать порталы входа и составлять профиль сотрудника или бизнеса.
Для некоторых рабочих процессов бизнеса нужен стандартный адрес электронной почты. Сотрудникам нужны постоянные идентификаторы для работы, общения с клиентами и совместной деятельности. Но псевдонимы могут пригодиться для регистраций, рассылок, пробных версий, тестирования продуктов поставщиков, мероприятий или сервисов, которым не нужен основной рабочий адрес сотрудника.
Псевдонимы электронной почты полезны тем, что разделяют аккаунты, которые иначе злоумышленники связали бы с одним и тем же сотрудником, командой или рабочим адресом. Они также упрощают отслеживание утечек. Когда на псевдоним, созданный для одного поставщика, начинают приходить посторонние попытки входа или фишинговые сообщения, бизнес получает более четкий сигнал о том, где этот адрес мог быть раскрыт.
Псевдонимы работают лучше всего в паре с бизнес-менеджером паролей, например Proton Pass for Business. Каждому аккаунту по-прежнему нужен уникальный пароль, контролируемое хранение и четкая принадлежность. Без этой структуры псевдонимы могут превратиться в еще одну ручную привычку, которую сотрудники поддерживают сами.
Управляйте OSINT с помощью Proton Pass for Business
Бизнес-менеджер паролей, например Proton Pass for Business, помогает следить за утечками и защищать сеть с помощью функций контроля состояния учетных данных. С Proton Pass for Business команды могут создавать уникальные пароли, хранить их в зашифрованных хранилищах паролей, использовать автозаполнение, безопасно делиться учетными данными, управлять ключами доступа и применять встроенную двухфакторную аутентификацию (2FA).
Административные функции, такие как политики, отчетность, журналы, ролевое управление доступом, подготовка пользователей через SCIM и интеграция с SSO, помогают бизнесу лучше контролировать доступ к учетным данным по мере роста.
Бизнес-менеджер паролей не устраняет открытость для OSINT, но может сделать найденную злоумышленниками информацию менее полезной. Когда учетные данные уникальны, хранятся в зашифрованных хранилищах, передаются через одобренные пространства и защищены двухфакторной аутентификацией или ключами доступа, у утекшего пароля или убедительной поддельной страницы входа остается меньше возможностей превратиться в более широкий доступ. Это также дает сотрудникам более четкое правило: рабочие учетные данные должны оставаться в менеджере паролей, а не в письмах, чатах, электронных таблицах или телефонных разговорах.
Злоумышленники все равно будут изучать ваш бизнес. Вопрос в том, сколько они смогут узнать, насколько точной окажется эта картина и как далеко они смогут зайти.
Сократите открытость учетных данных вашего бизнеса с помощью бизнес-менеджера паролей.
