Một cuộc tấn công có mục tiêu thường bắt đầu bằng một tìm kiếm. Tin tặc tìm kiếm thông tin như chức danh công việc của nhân viên, một bài đăng tuyển dụng có nêu tên các công cụ kinh doanh của bạn, một địa chỉ email bị lộ, hoặc một miền phụ cũ. Riêng lẻ, những chi tiết này có vẻ không nguy hiểm. Nhưng kẻ tấn công cố ý thu thập nhiều manh mối nhỏ và thông tin để xây dựng chiến dịch email lừa đảo, trang đăng nhập giả, hoặc cuộc gọi mạo danh có vẻ đáng tin.
Tình báo nguồn mở (OSINT) biến thông tin công khai thành sự chuẩn bị cho một cuộc tấn công có mục tiêu hơn. Chiến lược bảo mật OSINT cho doanh nghiệp của bạn là cách doanh nghiệp tự bảo vệ. Đối với doanh nghiệp, thách thức gồm hai phần: kiểm toán những gì đã có sẵn và biết những gì tồn tại ngay từ đầu, sau đó đánh giá chi tiết công khai nào giúp ích cho khách hàng, ứng viên và đối tác, và chi tiết nào âm thầm giúp kẻ tấn công lập bản đồ về con người, công cụ, thông tin đăng nhập và điểm truy cập của bạn.
OSINT có nghĩa gì trong an ninh mạng
Trong bối cảnh an ninh mạng, OSINT là việc sử dụng thông tin công khai để xác định các đường dẫn tấn công tiềm ẩn. Thông tin có thể đến từ công cụ tìm kiếm, mạng xã hội, trang web công ty, bảng tin tuyển dụng, kho mã công khai và các nguồn khác không yêu cầu xâm nhập hệ thống.
Kẻ tấn công sử dụng OSINT để trả lời các câu hỏi thực tế về một doanh nghiệp, như:
- Ai làm việc ở đây?
- Ai phê duyệt thanh toán?
- Công ty sử dụng những công cụ gì?
- Định dạng email trông như thế nào?
- Những nhà cung cấp hoặc khách hàng nào có thể được tin cậy?
- Tài khoản nào có thể đã bị lộ?
- Hệ thống nào kết nối internet?
OSINT cung cấp cho tin tặc những chi tiết khiến cuộc tấn công của chúng trở nên đáng tin. Một vụ lừa đảo chung chung chỉ yêu cầu hành động, nhưng một vụ lừa đảo được nghiên cứu kỹ sẽ nhắm vào một người cụ thể, được gửi từ một người mà họ biết hoặc có lý do để tin tưởng, và đề cập đến một dự án công việc thực tế hoặc thông tin không công khai.
Khảo sát Cyber Security Breaches Survey 2024(cửa sổ mới) của Vương quốc Anh cho thấy một nửa doanh nghiệp Anh báo cáo đã xác định được một vụ vi phạm hoặc tấn công an ninh mạng trong 12 tháng trước đó. Lừa đảo vẫn là loại vi phạm hoặc tấn công phổ biến nhất trong số các doanh nghiệp bị ảnh hưởng. OSINT không giống như lừa đảo, nhưng nó là một tài sản mà tin tặc có thể sử dụng để khiến lừa đảo trở nên thuyết phục hơn và khó bị nhân viên bỏ qua hơn.
Những gì kẻ tấn công có thể tìm hiểu về doanh nghiệp của bạn
Tin tặc sử dụng nhiều phương pháp khác nhau để thu thập thông tin. Dưới đây là một số đường dẫn phổ biến và hiệu quả nhất.
Con người
LinkedIn, trang tiểu sử công ty, chương trình hội nghị, podcast, hội thảo trực tuyến và đề cập trên báo chí có thể tiết lộ tên, chức danh công việc, tuyến báo cáo, thâm niên, vị trí và lĩnh vực trách nhiệm. Điều đó giúp kẻ tấn công chọn người để mạo danh và người để gây áp lực.
Ví dụ, một kẻ tấn công biết tên của CFO, định dạng email của công ty và phần mềm hiện tại của nhóm tài chính có thể tạo một thư có cảm giác cụ thể hơn nhiều so với thư rác thông thường. Yêu cầu có thể đề cập đến một nhà cung cấp thực tế, tham chiếu đến một quy trình thanh toán tồn tại trong doanh nghiệp, hoặc đến vào thời điểm nhóm đang mong đợi liên lạc liên quan đến hóa đơn. Không có thông tin nào trong số này yêu cầu quyền truy cập vào một hệ thống riêng tư.
Công cụ
Tin tuyển dụng thường đề cập đến các nền tảng mà ứng viên được kỳ vọng sẽ biết: CRM, công cụ tính lương, phần mềm trợ giúp, nền tảng phân tích, công cụ cộng tác và môi trường phát triển. Các đánh giá công khai, nghiên cứu điển hình, tích hợp và hồ sơ nhân viên có thể tiết lộ nhiều hơn nữa.
Việc lộ công cụ giúp kẻ tấn công điều chỉnh lý do lừa đảo của chúng. Một email lừa đảo nói rằng “tài khoản của bạn đã bị gắn cờ” không thuyết phục, nhưng một thư nêu tên chính xác CRM, hệ thống HR hoặc công cụ cộng tác mà nhóm sử dụng thì có.
Dấu chân kỹ thuật
Tên miền phụ, dịch vụ bị lộ, hồ sơ chứng chỉ, môi trường thử nghiệm cũ và trang đăng nhập bị cấu hình sai có thể tiết lộ nơi doanh nghiệp có hệ thống trực tuyến. Kẻ tấn công cũng có thể tìm kiếm các kho công khai chứa thông tin đăng nhập cũ, khóa API, URL nội bộ hoặc tệp cấu hình vô tình được commit trong quá trình phát triển.
Dữ liệu vi phạm
Địa chỉ email, tên người dùng, mật khẩu, số điện thoại và các chi tiết cá nhân hoặc doanh nghiệp khác bị lộ trong các vụ vi phạm trước đây có thể trở thành nguyên liệu thô cho một cuộc tấn công sau này. Data Breach Observatory của Proton cho thấy dữ liệu bị rò rỉ có thể tiếp tục tạo ra rủi ro sau sự cố ban đầu như thế nào, đặc biệt khi thông tin đăng nhập, chi tiết liên hệ và thông tin nhân viên có thể được liên kết trở lại với một doanh nghiệp.
Cách OSINT tiếp sức cho các cuộc tấn công có mục tiêu
OSINT trở nên nguy hiểm khi kẻ tấn công sử dụng dữ liệu thu thập được để xây dựng một câu chuyện đáng tin. Hãy xem xét một doanh nghiệp công bố hồ sơ nhân viên, liệt kê logo khách hàng, đề cập đến việc chuyển đổi CRM gần đây trong quảng cáo tuyển dụng và sử dụng định dạng email dễ đoán. Một nhân viên tài chính sau đó nhận được một thư có vẻ như đến từ một lãnh đạo cấp cao, tham chiếu đến một nhà cung cấp thực tế và yêu cầu hỗ trợ thanh toán khẩn cấp. Email chỉ cần chứa đủ chi tiết quen thuộc để giảm bớt sự nghi ngờ.
Mô hình tương tự cũng áp dụng cho các cuộc tấn công bằng thông tin đăng nhập. Kẻ tấn công tìm thấy email doanh nghiệp của một nhân viên trong dữ liệu vi phạm, thấy trên LinkedIn rằng người đó làm việc trong bộ phận vận hành và biết từ tin tuyển dụng rằng công ty sử dụng một nền tảng SaaS cụ thể. Thư lừa đảo tiếp theo có thể bắt chước nền tảng đó và đến với ngôn ngữ phù hợp với vai trò của nhân viên.
Lừa đảo qua điện thoại cũng có thể được định hình bởi OSINT. Một người gọi biết nhà cung cấp IT của công ty, tên của trưởng phòng hoặc thời gian của một dự án sẽ nghe có vẻ hợp pháp. Đây là lý do tại sao OSINT và kỹ thuật xã hội gắn bó với nhau: thông tin công khai cho kẻ tấn công sự tự tin và chi tiết cần thiết để thao túng mọi người trong thời gian thực.
Doanh nghiệp có thể trải nghiệm cuộc tấn công cuối cùng dưới dạng lừa đảo, vishing, chiếm đoạt tài khoản, gian lận hóa đơn hoặc đánh cắp thông tin đăng nhập. Công việc chuẩn bị có thể đã là OSINT từ đầu.
Thông tin đăng nhập bị rò rỉ cũng là OSINT
Dữ liệu vi phạm thường được thảo luận như một rủi ro chiếm đoạt tài khoản trực tiếp: khi mật khẩu bị rò rỉ, kẻ tấn công có thể thử nó trên nhiều điểm truy cập. Đó vẫn là một vấn đề nghiêm trọng, đặc biệt khi nhân viên sử dụng lại mật khẩu trên nhiều dịch vụ.
Nhưng thông tin đăng nhập bị rò rỉ cũng có thể giúp kẻ tấn công hiểu về doanh nghiệp đằng sau tài khoản. Một địa chỉ email bị lộ có thể xác nhận những dịch vụ mà nhân viên đã sử dụng, trong khi mật khẩu cũ, số điện thoại và tên miền công ty lặp lại có thể thêm bối cảnh cho các nỗ lực lừa đảo, vishing hoặc chiếm đoạt tài khoản trong tương lai. Vụ vi phạm có thể đã xảy ra ở nơi khác, nhưng thông tin vẫn có thể giúp kẻ tấn công xây dựng một bức tranh chính xác hơn về nhóm của bạn.
Data Breach Observatory của Proton nhấn mạnh cách dữ liệu bị lộ có thể hỗ trợ lừa đảo, tấn công bằng thông tin đăng nhập và kỹ thuật xã hội rộng hơn. Nó cũng nhấn mạnh rằng dữ liệu bị rò rỉ không ngừng hữu ích đối với kẻ tấn công sau khi vụ vi phạm đầu tiên được báo cáo. Dữ liệu đó có thể được tái sử dụng, kết hợp và định hình lại cho các mục tiêu trong tương lai.
Giám sát email doanh nghiệp và thông tin đăng nhập bị lộ giúp các tổ chức thấy nhiều hơn mật khẩu cần thay đổi. Nó có thể tiết lộ nơi nhân viên đã sử dụng địa chỉ công việc, dịch vụ nào có thể được kết nối với doanh nghiệp và liệu cùng một danh tính có xuất hiện trong nhiều vụ rò rỉ hay không.
Điều này là cần thiết vì kẻ tấn công có thể tái sử dụng thông tin, không chỉ để thử mật khẩu cũ mà còn để làm cho các nỗ lực lừa đảo, vishing hoặc mạo danh trong tương lai trở nên cụ thể hơn. Một thông tin đăng nhập bị rò rỉ hiếm khi chỉ là một thông tin đăng nhập đơn lẻ. Nó có thể trở thành một phần của nghiên cứu nền tảng giúp cuộc tấn công tiếp theo hiệu quả hơn.
Giảm những gì kẻ tấn công có thể học được từ các nguồn công khai
Không doanh nghiệp nào có thể loại bỏ mình khỏi tầm nhìn công khai và đó không nên là mục tiêu của bất kỳ ai. Khách hàng, ứng viên và đối tác vẫn cần đủ thông tin để hiểu bạn là ai và cách làm việc với bạn.
Rủi ro nằm ở việc công bố các chi tiết vượt quá mục đích đó: tên công cụ nội bộ, mẫu liên hệ trực tiếp, quy trình phê duyệt hoặc manh mối kỹ thuật giúp kẻ tấn công có bức tranh rõ nét hơn về cách doanh nghiệp vận hành.
- Bắt đầu với thông tin công khai của bạn. Xem lại các trang công ty, tiểu sử nhóm, thông cáo báo chí, nghiên cứu điển hình, bài viết trung tâm trợ giúp, tin tuyển dụng, bài đăng trên mạng xã hội và tài liệu công khai. Tìm kiếm các chi tiết tiết lộ hệ thống nội bộ, quy trình phê duyệt, tuyến truy cập hoặc quy trình làm việc nhạy cảm.
- Tin tuyển dụng cần được chú ý đặc biệt. Ứng viên có thể cần biết các danh mục công cụ rộng mà họ sẽ sử dụng, nhưng quảng cáo công khai không phải lúc nào cũng cần nêu tên mọi nền tảng SaaS, sản phẩm bảo mật, CRM, công cụ thanh toán, nhà cung cấp đám mây hoặc quy trình làm việc nội bộ. Danh sách công cụ càng cụ thể, việc tạo lời nhắc đăng nhập giả, thư hỗ trợ hoặc yêu cầu từ nhà cung cấp càng dễ dàng.
- Thông tin nhân viên cũng cần cân bằng. Thâm niên, vai trò và chuyên môn có thể phù hợp để chia sẻ, nhưng số điện thoại trực tiếp, chi tiết cá nhân, mẫu đi lại, tên dự án nội bộ hoặc chi tiết cấu trúc báo cáo không cần thiết có thể cung cấp cho kẻ tấn công nhiều thứ hơn để khai thác.
- Kho mã công khai nên được xem xét thường xuyên. Các dự án cũ, tệp thử nghiệm, tài liệu hoặc ví dụ cấu hình có thể chứa bí mật không nhằm công khai. Ngay cả khi thông tin đăng nhập đã hết hạn, URL nội bộ, quy ước đặt tên và tham chiếu dịch vụ vẫn có thể giúp kẻ tấn công hiểu môi trường.
Giảm giá trị của những gì kẻ tấn công tìm thấy
OSINT sẽ luôn tồn tại vì doanh nghiệp cần được nhìn thấy. Mục tiêu là giảm lượng thông tin không cần thiết có sẵn và hạn chế những gì kẻ tấn công có thể làm với các chi tiết chúng tìm thấy.
Thông tin công khai là nơi đầu tiên để giảm phơi nhiễm không cần thiết. Quảng cáo tuyển dụng, hồ sơ công ty, trang nhân viên, kho lưu trữ, tên miền phụ và tài liệu cũ nên cung cấp cho mọi người đủ bối cảnh để tin tưởng và hiểu doanh nghiệp, không phải là cái nhìn chi tiết về cách doanh nghiệp vận hành phía sau hậu trường. Khi tên công cụ nội bộ, manh mối kỹ thuật hoặc chi tiết quy trình không cần thiết công khai, tốt hơn là giữ chúng khuất tầm nhìn.
Kiểm soát thông tin đăng nhập cũng quan trọng không kém. Địa chỉ email bị lộ và mật khẩu bị rò rỉ là một trong những tín hiệu OSINT dễ chuyển thành hành động nhất. Mật khẩu duy nhất, MFA, mã khóa, chia sẻ an toàn, giám sát vi phạm và truy cập được kiểm soát đều làm cho việc trinh sát trở nên ít hữu ích hơn.
Xem lại dấu chân kỹ thuật của bạn mà không công bố lộ trình
Phơi bày kỹ thuật cũng là một phần của OSINT. Miền, miền phụ, cổng đăng nhập, dịch vụ đám mây, môi trường phát triển, điểm cuối API và kho lưu trữ công khai đều có thể giúp kẻ tấn công hiểu cách một doanh nghiệp được cấu trúc trực tuyến.
Đánh giá thường xuyên giúp phân tách những gì được công khai có chủ đích với những gì đã được xuất bản và bị lãng quên. Các trang staging cũ, miền phụ không dùng, màn hình dịch vụ mặc định, tài liệu lỗi thời, ghi chú cấu hình bị phơi bày và kho lưu trữ công khai có tham chiếu nội bộ có thể không có vẻ khẩn cấp, nhưng chúng có thể giúp việc trinh sát trở nên dễ dàng hơn.
Nhiều bản sửa lỗi rất đơn giản: xóa các trang cũ, hạn chế truy cập, cập nhật tài liệu, xoay vòng các bí mật bị phơi bày hoặc di chuyển chi tiết nội bộ ra khỏi kho lưu trữ công khai. Các phát hiện khác có thể chỉ cần một chủ sở hữu rõ ràng và một lý do để vẫn hiển thị. Phơi bày công khai trở thành một quyết định, thay vì một sự bỏ sót.
Tích hợp kiểm tra OSINT vào quy trình bảo mật
Phơi bày OSINT không tĩnh. Nó tăng lên mỗi khi doanh nghiệp công bố điều gì đó mới, thay đổi quy trình làm việc, tuyển dụng cho một vai trò, khởi chạy dự án, xuất hiện trên trang nhà cung cấp hoặc có dữ liệu nhân viên bị phơi bày trong một vi phạm. Mỗi cập nhật có vẻ vô hại khi tách biệt, nhưng theo thời gian, nó có thể cho kẻ tấn công cái nhìn rõ ràng hơn về con người, công cụ, mối quan hệ và điểm truy cập của công ty.
Một bộ kiểm tra và đánh giá đơn giản có thể giúp:
- Đánh giá thông tin doanh nghiệp công khai hàng quý
- Kiểm tra danh sách việc làm trước khi xuất bản để tránh chi tiết công cụ hoặc quy trình không cần thiết
- Theo dõi phơi bày vi phạm đối với địa chỉ email doanh nghiệp
- Đánh giá kho lưu trữ công khai và dịch vụ bị phơi bày
- Hỏi trưởng bộ phận xem liệu có thông tin công khai nào tiết lộ quy trình nhạy cảm hoặc mẫu truy cập không.
Trước khi thông tin được công khai, ai đó nên luôn tự hỏi: liệu điều này có thể giúp kẻ tấn công tạo ra một thư, cuộc gọi hoặc nỗ lực đăng nhập thuyết phục hơn không?
Làm cho thông tin đăng nhập khó kết nối hơn với biệt danh
Biệt danh email có thể giúp giảm lượng thông tin mà kẻ tấn công có thể kết nối giữa các dịch vụ. Khi cùng một địa chỉ email được sử dụng cho mọi dịch vụ, việc liên kết tài khoản, tìm kiếm dữ liệu vi phạm, đoán cổng đăng nhập và xây dựng hồ sơ của nhân viên hoặc doanh nghiệp trở nên dễ dàng hơn.
Đối với một số quy trình làm việc của doanh nghiệp, địa chỉ email tiêu chuẩn là cần thiết. Nhân viên cần danh tính ổn định cho công việc, khách hàng và cộng tác. Nhưng biệt danh có thể hữu ích cho đăng ký, bản tin, bản dùng thử, thử nghiệm nhà cung cấp, sự kiện hoặc các dịch vụ không yêu cầu địa chỉ doanh nghiệp chính của một người.
Biệt danh email hữu ích vì chúng tách các tài khoản mà nếu không kẻ tấn công sẽ kết nối với cùng một nhân viên, nhóm hoặc địa chỉ doanh nghiệp. Chúng cũng có thể giúp dễ dàng truy vết phơi bày hơn. Khi một biệt danh được tạo cho một nhà cung cấp bắt đầu nhận được các nỗ lực đăng nhập hoặc thư lừa đảo không liên quan, doanh nghiệp có tín hiệu rõ ràng hơn về nơi địa chỉ đó có thể đã bị phơi bày.
Biệt danh hoạt động tốt nhất khi được kết hợp với trình quản lý mật khẩu doanh nghiệp như Proton Pass for Business. Mỗi tài khoản vẫn cần một mật khẩu duy nhất, lưu trữ được kiểm soát và quyền sở hữu rõ ràng. Nếu không có cấu trúc đó, biệt danh có thể trở thành một thói quen thủ công khác để nhân viên tự quản lý.
Quản lý OSINT với Proton Pass for Business
Một trình quản lý mật khẩu doanh nghiệp như Proton Pass for Business có thể giúp bạn theo dõi vi phạm và bảo vệ mạng của mình bằng các tính năng sức khỏe thông tin đăng nhập. Với Proton Pass for Business, nhóm có thể tạo mật khẩu duy nhất, lưu trữ chúng trong kho mật khẩu đã mã hóa, sử dụng tự động điền, chia sẻ thông tin đăng nhập an toàn, quản lý mã khóa và sử dụng xác thực hai yếu tố (2FA) tích hợp.
Các tính năng quản trị như chính sách, báo cáo, nhật ký, kiểm soát truy cập dựa trên vai trò, cung cấp SCIM và tích hợp SSO giúp doanh nghiệp kiểm soát quyền truy cập thông tin đăng nhập tốt hơn khi họ phát triển.
Trình quản lý mật khẩu doanh nghiệp không loại bỏ phơi bày OSINT, nhưng nó có thể làm cho thông tin mà kẻ tấn công tìm thấy ít hữu ích hơn. Khi thông tin đăng nhập là duy nhất, được lưu trữ trong kho đã mã hóa, được chia sẻ qua không gian được phê duyệt và được bảo vệ bằng 2FA hoặc mã khóa, một mật khẩu bị rò rỉ hoặc trang đăng nhập giả mạo thuyết phục có ít cơ hội hơn để trở thành quyền truy cập rộng hơn. Nó cũng cho nhân viên một quy tắc rõ ràng hơn để tuân theo: thông tin đăng nhập doanh nghiệp nên nằm trong trình quản lý mật khẩu, không phải trong email, trò chuyện, bảng tính hoặc hội thoại điện thoại.
Kẻ tấn công vẫn sẽ nghiên cứu doanh nghiệp của bạn. Câu hỏi là chúng có thể học được bao nhiêu, bức tranh đó chính xác đến đâu và chúng có thể đi xa đến mức nào với nó.
Giảm phơi bày thông tin đăng nhập của doanh nghiệp bạn với trình quản lý mật khẩu doanh nghiệp.
