En riktad attack börjar ofta med en sökning. Hackare letar efter information som en anställds jobbtitel, en platsannons som namnger företagets verktyg, en exponerad e-postadress eller en gammal subdomän. I isolation verkar dessa detaljer inte farliga. Men angripare samlar medvetet in många små ledtrådar och informationsbitar för att bygga en nätfiskekampanj via e-post, en falsk inloggningssida eller ett impersoneringssamtal som känns trovärdigt.

OSINT, underrättelser från öppna källor, innebär att offentlig information används för att förbereda en mer riktad attack. Din OSINT-strategi för företagets säkerhet är hur ditt företag skyddar sig. För företag är utmaningen dubbel: att granska vad som redan finns där ute och att veta vad som finns i första taget, och sedan bedöma vilka offentliga detaljer som hjälper kunder, kandidater och partners, och vilka som tyst hjälper angripare att kartlägga dina medarbetare, verktyg, inloggningsuppgifter och åtkomstpunkter.

Vad OSINT innebär inom cybersäkerhet

I ett cybersäkerhetssammanhang är OSINT användningen av offentligt tillgänglig information för att identifiera möjliga attackvägar. Informationen kan komma från sökmotorer, sociala medier, företagswebbplatser, jobbportaler, offentliga kodförråd och andra källor som inte kräver att man tar sig in i ett system.

Angripare använder OSINT för att besvara praktiska frågor om ett företag, som:

  • Vem arbetar här?
  • Vem godkänner betalningar?
  • Vilka verktyg använder företaget?
  • Hur ser e-postformatet ut?
  • Vilka leverantörer eller kunder kan vara betrodda?
  • Vilka konton kan redan vara exponerade?
  • Vilka system är exponerade mot internet?

OSINT ger hackare detaljer som gör deras attacker trovärdiga. En generisk bluff ber helt enkelt om handling, men ett på förhand undersökt bedrägeri riktar sig till en specifik person, skickas från en person de känner eller har anledning att lita på, och nämner ett verkligt arbetsprojekt eller icke-offentlig information.

Storbritanniens Cyber Security Breaches Survey 2024(nytt fönster)⁠ fann att hälften av brittiska företag rapporterade att de identifierat ett cybersäkerhetsintrång eller en attack under de senaste 12 månaderna. Nätfiske förblev den vanligaste typen av intrång eller attack bland drabbade företag. OSINT är inte samma sak som nätfiske, men det är en tillgång som hackare kan använda för att göra nätfiske mer övertygande och svårare för anställda att avfärda.

Vad angripare kan lära sig om ditt företag

Hackare använder en mängd olika metoder för att samla in information. Här är några av de vanligaste och mest effektiva sökvägarna.

Personer

LinkedIn, företagsbiografier, konferensprogram, poddar, webbseminarier och pressomnämnanden kan avslöja namn, jobbtitlar, rapporteringslinjer, senioritet, platser och ansvarsområden. Det hjälper angripare att välja vem de ska imitera och vem de ska pressa.

Till exempel kan en angripare som känner till ekonomichefens namn, företagets e-postformat och finansteamets nuvarande mjukvara bygga ett meddelande som känns mycket mindre generiskt än vanlig skräppost. Begäran kan nämna en verklig leverantör, hänvisa till en betalningsprocess som finns inom företaget, eller komma vid ett tillfälle då teamet redan väntar på fakturarelaterad kommunikation. Ingen av denna information kräver åtkomst till ett privat system.

Verktyg

Platsannonser nämner ofta de plattformar som kandidater förväntas känna till: CRM-system, löneverktyg, helpdesk-mjukvara, analysplattformar, samarbetsverktyg och utvecklingsmiljöer. Offentliga recensioner, fallstudier, integrationer och medarbetarprofiler kan avslöja ännu mer.

Exponering av verktyg hjälper angripare att skräddarsy sin nätfiske-förevändning. Ett nätfiskemejl som säger ”ditt konto har flaggats” är inte övertygande, men ett meddelande som namnger det exakta CRM-systemet, HR-systemet eller samarbetsverktyget som teamet använder är det.

Tekniskt fotavtryck

Subdomäner, exponerade tjänster, certifikatposter, gamla staging-miljöer och felkonfigurerade inloggningssidor kan avslöja var ett företag har onlinesystem. Angripare kan också leta efter offentliga förråd som innehåller gamla inloggningsuppgifter, API-nycklar, interna URL:er eller konfigurationsfiler som oavsiktligt checkats in under utveckling.

Intrångsdata

E-postadresser, användarnamn, lösenord, telefonnummer och andra personliga eller företagsrelaterade detaljer som exponerats i tidigare intrång kan bli råmaterial för en senare attack. Protons Data Breach Observatory⁠ visar hur läckta data kan fortsätta att skapa risk efter den ursprungliga incidenten, särskilt när inloggningsuppgifter, kontaktuppgifter och medarbetarinformation kan kopplas tillbaka till ett företag.

Hur OSINT möjliggör riktade attacker

OSINT blir farligt när angripare använder insamlade data för att bygga en trovärdig historia. Tänk dig ett företag som publicerar medarbetarprofiler, listar kundlogotyper, nämner en nyligen genomförd CRM-migrering i platsannonser och använder ett förutsägbart e-postformat. En finansanställd får sedan ett meddelande som verkar komma från en högre chef, hänvisar till en verklig leverantör och ber om brådskande betalningsstöd. E-postmeddelandet behöver bara innehålla tillräckligt många bekanta detaljer för att minska misstankarna.

Samma mönster gäller attacker mot inloggningsuppgifter. En angripare hittar en anställds företagsmejl i intrångsdata, ser på LinkedIn att personen arbetar inom drift och får reda på från platsannonser att företaget använder en specifik SaaS-plattform. Nästa nätfiskemeddelande kan imitera den plattformen och komma med språk som matchar den anställdes roll.

Telefonbedrägerier kan också formas av OSINT. En uppringare som känner till företagets IT-leverantör, namnet på en avdelningschef eller tidpunkten för ett projekt låter legitim. Det är därför OSINT och social manipulering är sammanflätade: offentlig information ger angripare den självsäkerhet och detaljrikedom som krävs för att manipulera människor i realtid.

Företaget kan uppleva den slutliga attacken som nätfiske, vishing, kontokapning, fakturabedrägeri eller stöld av inloggningsuppgifter. Grundarbetet kan ha varit OSINT hela tiden.

Läckta inloggningsuppgifter är också OSINT

Intrångsdata diskuteras ofta som en direkt risk för kontokapning: när ett lösenord läcker kan angripare prova det på flera ingångspunkter. Det är fortfarande ett allvarligt problem, särskilt när anställda återanvänder lösenord mellan tjänster.

Men läckta inloggningsuppgifter kan också hjälpa angripare att förstå verksamheten bakom kontot. En exponerad e-postadress kan bekräfta vilka tjänster en anställd har använt, medan gamla lösenord, telefonnummer och återkommande företagsdomäner kan ge sammanhang för framtida nätfiske, vishing eller kontokapningsförsök. Intrånget kan ha skett någon annanstans, men informationen kan fortfarande hjälpa en angripare att skapa en mer träffsäker bild av ditt team.

Protons Data Breach Observatory belyser hur exponerade data kan stödja nätfiske, attacker mot inloggningsuppgifter och bredare social manipulering. Den belyser också att läckta data inte slutar vara användbara för angripare efter att det första intrånget rapporterats. Dessa data kan återanvändas, kombineras och omformas för framtida riktade attacker.

Övervakning av exponerade företagsmejl och inloggningsuppgifter hjälper organisationer att se mer än det lösenord som behöver bytas. Det kan avslöja var anställda har använt arbetsadresser, vilka tjänster som kan vara kopplade till företaget och om samma identitet förekommer i flera läckor.

Detta är avgörande eftersom angripare kan återanvända information, inte bara för att prova gamla lösenord, utan för att få framtida nätfiske, vishing eller imiteringsförsök att kännas mer specifika. En läckt inloggningsuppgift är sällan bara en isolerad uppgift. Den kan bli en del av den bakgrundsundersökning som gör nästa attack mer effektiv.

Minska vad angripare kan lära sig från offentliga källor

Inget företag kan ta bort sig självt från offentlighetens blick, och det borde inte vara någons mål. Kunder, kandidater och partners behöver fortfarande tillräckligt med information för att förstå vem du är och hur de kan arbeta med dig.

Risken ligger i att publicera detaljer som går utöver detta syfte: interna verktygsnamn, direkta kontaktmönster, godkännandeflöden eller tekniska ledtrådar som ger angripare en tydligare bild av hur verksamheten fungerar.

  • Börja med din offentliga information. Granska företagssidor, teambeskrivningar, pressmeddelanden, fallstudier, hjälpcenterartiklar, platsannonser, inlägg i sociala medier och offentliga dokument. Leta efter detaljer som avslöjar interna system, godkännandeprocesser, åtkomstvägar eller känsliga arbetsflöden.
  • Platsannonser förtjänar särskild uppmärksamhet. Kandidater kan behöva känna till de breda kategorierna av verktyg de kommer att använda, men offentliga annonser behöver inte alltid namnge varje SaaS-plattform, säkerhetsprodukt, CRM, betalningsverktyg, molntjänsteleverantör eller internt arbetsflöde. Ju mer specifik verktygslistan är, desto lättare blir det att skapa en falsk inloggningsruta, ett supportmeddelande eller en leverantörsförfrågan.
  • Medarbetarinformation behöver också balans. Senioritet, roll och expertis kan vara lämpligt att dela, men direkta telefonnummer, personliga detaljer, resmönster, interna projektnamn eller onödiga detaljer om rapporteringsstruktur kan ge angripare mer att arbeta med.
  • Offentliga kodförråd bör granskas regelbundet. Gamla projekt, testfiler, dokumentation eller konfigurationsexempel kan innehålla hemligheter som inte var avsedda att vara offentliga. Även när inloggningsuppgifter har löpt ut kan interna URL:er, namnkonventioner och tjänstehänvisningar fortfarande hjälpa angripare att förstå miljön.

Minska värdet av det angripare hittar

OSINT kommer alltid att finnas eftersom företag behöver vara synliga. Målet är att minska mängden onödig information som är tillgänglig och begränsa vad angripare kan göra med de detaljer de hittar.

Offentlig information är den första platsen att minska onödig exponering. Platsannonser, företagsprofiler, medarbetarsidor, förråd, subdomäner och gamla dokument bör ge människor tillräckligt med sammanhang för att lita på och förstå företaget, inte en detaljerad bild av hur det fungerar bakom kulisserna. När interna verktygsnamn, tekniska ledtrådar eller processdetaljer inte behövs offentligt är de bättre att hålla utom synhåll.

Kontroller för inloggningsuppgifter är lika viktiga. Exponerade e-postadresser och läckta lösenord är några av de enklaste OSINT-signalerna att omsätta i handling. Unika lösenord, MFA, passnycklar, säker delning, intrångsövervakning och kontrollerad åtkomst gör alla spaning mindre användbar.

Granska ditt tekniska fotavtryck utan att publicera en färdplan

Teknisk exponering är också en del av OSINT. Domäner, underdomäner, inloggningsportaler, molntjänster, utvecklingsmiljöer, API-slutpunkter och offentliga arkiv kan alla hjälpa angripare att förstå hur ett företag är strukturerat online.

En regelbunden genomgång hjälper till att skilja det som är avsiktligt offentligt från det som har publicerats och glömts bort. Gamla testmiljösidor, oanvända underdomäner, standardskärmar för tjänster, föråldrad dokumentation, exponerade konfigurationsanteckningar och offentliga arkiv med interna referenser kan inte uppfattas som akuta, men de kan göra spaning enklare.

Många åtgärder är enkla: ta bort gamla sidor, begränsa åtkomsten, uppdatera dokumentation, rotera exponerade hemligheter eller flytta interna detaljer ut ur offentliga arkiv. Andra fynd kan bara behöva en tydlig ägare och en anledning att förbli synliga. Offentlig exponering blir ett beslut i stället för en försummelse.

Bygg in OSINT-kontroller i säkerhetsrutiner

OSINT-exponering är inte statisk. Den växer varje gång ett företag publicerar något nytt, ändrar ett arbetsflöde, anställer till en roll, lanserar ett projekt, dyker upp på en leverantörssida eller får medarbetardata exponerad i ett intrång. Varje uppdatering verkar ofarlig i sig, men över tid kan den ge angripare en tydligare bild av företagets medarbetare, verktyg, relationer och åtkomstpunkter.

En enkel uppsättning kontroller och granskningar kan hjälpa:

  • Granska offentlig företagsinformation kvartalsvis
  • Kontrollera jobbannonser före publicering för onödiga detaljer om verktyg eller arbetsflöden
  • Övervaka intrångsexponering för företagets e-postadresser
  • Granska offentliga arkiv och exponerade tjänster
  • Fråga avdelningsansvariga om någon offentlig information avslöjar känsliga processer eller åtkomstmönster.

Innan information blir offentlig bör någon alltid fråga: kan detta hjälpa en angripare att skapa ett mer övertygande meddelande, samtal eller inloggningsförsök?

Gör inloggningsuppgifter svårare att koppla ihop med alias

E-postalias kan hjälpa till att minska mängden information som angripare kan koppla samman mellan tjänster. När samma e-postadress används för varje tjänst blir det lättare att länka konton, söka i intrångsdata, gissa inloggningsportaler och bygga en profil över medarbetaren eller företaget.

För vissa arbetsflöden i verksamheten är en vanlig e-postadress nödvändig. Medarbetare behöver stabila identiteter för arbete, kunder och samarbete. Men alias kan vara användbara för registreringar, nyhetsbrev, provperioder, leverantörstester, evenemang eller tjänster som inte kräver en persons primära företagsadress.

E-postalias är användbara eftersom de separerar konton som angripare annars skulle koppla till samma medarbetare, team eller företagsadress. De kan också göra exponering lättare att spåra. När ett alias som skapats för en leverantör börjar ta emot orelaterade inloggningsförsök eller nätfiskemeddelanden får företaget en tydligare signal om var den adressen kan ha exponerats.

Alias fungerar bäst när de kombineras med en lösenordshanterare för företag som Proton Pass for Business. Varje konto behöver fortfarande ett unikt lösenord, kontrollerad lagring och tydligt ägarskap. Utan den strukturen kan alias bli ännu en manuell vana som medarbetare måste hantera på egen hand.

Hantera OSINT med Proton Pass for Business

En lösenordshanterare för företag som Proton Pass for Business kan hjälpa dig att övervaka intrång och skydda nätverket med funktioner för inloggningsuppgifternas hälsa. Med Proton Pass for Business kan team skapa unika lösenord, lagra dem i krypterade lösenordsvalv, använda autofyll, dela inloggningsuppgifter säkert, hantera passnycklar och använda inbyggd tvåfaktorsautentisering (2FA).

Adminfunktioner som policyer, rapportering, loggar, rollbaserad åtkomstkontroll, SCIM-provisionering och SSO-integrering hjälper företag att hålla åtkomsten till inloggningsuppgifter mer kontrollerad i takt med att de växer.

En lösenordshanterare för företag eliminerar inte OSINT-exponering, men den kan göra informationen som angripare hittar mindre användbar. När inloggningsuppgifter är unika, lagrade i krypterade valv, delade via godkända utrymmen och skyddade med 2FA eller passnycklar har ett läckt lösenord eller en övertygande falsk inloggningssida mindre utrymme att leda till bredare åtkomst. Den ger också medarbetare en tydligare regel att följa: inloggningsuppgifter för arbetet bör stanna i lösenordshanteraren, inte i e-post, chattar, kalkylblad eller telefonkonversationer.

Angripare kommer fortfarande att undersöka ditt företag. Frågan är hur mycket de kan lära sig, hur korrekt bilden är och hur långt de kan gå med den.

Minska företagets exponering av inloggningsuppgifter med en lösenordshanterare för företag⁠.