針對性攻擊通常從一次搜尋開始。駭客會尋找各種資訊，例如員工的職稱、提及你所用商務工具的招募貼文、外流的電子郵件地址，或是舊的子網域。單獨來看，這些細節似乎不具危險性。但攻擊者會刻意蒐集許多細微線索與資訊片段，用來建構一封網路釣魚電子郵件活動、假的登入頁面，或是聽起來可信的冒充來電。

開放原始碼情報（OSINT）將公開資訊轉化為發動更具針對性攻擊的準備。你的 OSINT 企業安全策略，就是企業保護自己的方式。對企業而言，挑戰有兩層：稽核外界已存在哪些資訊，並先釐清究竟有哪些資訊存在，接著判斷哪些公開細節對客戶、求職者與合作夥伴有幫助，哪些則是在暗中幫助攻擊者描繪你的人員、工具、憑證與存取點。

OSINT 在網路安全中的意義

在網路安全的脈絡下，OSINT 是指運用公開可取得的資訊來識別可能的攻擊路徑。這些資訊可能來自搜尋引擎、社群媒體、公司網站、求職平台、公開的程式碼儲存庫，以及其它無須入侵系統即可取得的來源。

攻擊者會利用 OSINT 來回答關於企業的實際問題，例如：

  • 這裡有誰任職？
  • 誰負責核准付款？
  • 公司使用哪些工具？
  • 電子郵件格式看起來是什麼樣子？
  • 哪些供應商或客戶可能是被信任的？
  • 哪些帳號可能已經外流？
  • 哪些系統對網際網路開放？

OSINT 為駭客提供讓攻擊更可信的詳細資料。一般詐騙只是要求採取行動，但經過研究的詐騙則會針對特定對象，由他們認識或有理由信任的人傳送，並提及真實的工作專案或非公開資訊。

英國的《2024 年網路安全外洩調查》(新視窗)⁠發現，半數英國企業表示在過去 12 個月內曾發現網路安全外洩或攻擊。在受影響的企業中，網路釣魚仍是最常見的外洩或攻擊類型。OSINT 與網路釣魚並不相同，但它是駭客可用來讓網路釣魚更可信、讓員工更難關閉的利器。

攻擊者能從你的企業得知什麼

駭客會運用各種不同方法來蒐集資訊。以下是一些最常見且有效的路徑。

人員

LinkedIn、公司簡介頁面、會議議程、播客、網路研討會與媒體提及，都可能揭露姓名、職稱、匯報關係、資歷、位置與職責範圍。這能協助攻擊者選擇要冒充誰，以及要對誰施壓。

舉例來說，攻擊者若知道財務長的姓名、公司的電子郵件格式，以及財務團隊目前使用的軟體，就能建構出一封遠比一般垃圾郵件更像量身打造的訊息。這項要求可能提及真實的供應商、提到企業內部確實存在的付款流程，或是在團隊原本就預期會收到發票相關往來的時機送達。這些資訊完全不需要存取私人系統就能取得。

工具

職缺內容經常會提到求職者預期須熟悉的平台：CRM、薪資工具、服務台軟體、分析平台、協作工具與開發者環境。公開評論、案例研究、整合功能與員工簡介，還能進一步揭露更多資訊。

工具曝光有助於攻擊者量身設計網路釣魚的藉口。一封寫著「你的帳號已被標記」的網路釣魚電子郵件並不具說服力，但若訊息中寫出團隊實際使用的 CRM、人資系統或協作工具名稱，那就很有說服力了。

技術足跡

子網域、暴露的服務、憑證記錄、舊的預備環境，以及設定錯誤的登入頁面，都可能揭露企業線上系統所在的位置。攻擊者也可能尋找公開的儲存庫，其中包含在開發期間意外提交的舊憑證、API 金鑰、內部網址或組態檔案。

外洩資料

在先前外洩事件中暴露的電子郵件地址、使用者名稱、密碼、電話號碼，以及其它個人或企業詳細資料，都可能成為日後攻擊的原料。Proton 的資料外洩觀測站⁠顯示外洩資料如何在原始事件過後仍持續產生風險，尤其是當憑證、聯絡詳細資訊與員工資訊能與企業連結起來時。

OSINT 如何助長針對性攻擊

當攻擊者利用所蒐集的資料建構出可信的故事時，OSINT 就變得危險。試想有一家企業公開員工簡介、列出客戶標誌、在招募廣告中提及近期才進行 CRM 移轉，並使用可預測的電子郵件格式。某位財務員工隨後收到一則訊息，看起來像是來自資深主管，提及真實的供應商，並要求緊急付款支援。這封電子郵件只需要包含足夠熟悉的詳細資料，就能降低對方疑心。

同樣的模式也適用於憑證攻擊。攻擊者在資料外洩紀錄中找到某位員工的公司電子郵件，在 LinkedIn 上看到這個人任職於營運部門，並從職缺內容得知公司使用某個特定的 SaaS 平台。下一封網路釣魚訊息就能模仿該平台，並使用與該員工角色相符的用語。

電話詐騙也可能受到 OSINT 形塑。來電者若知道公司的 IT 供應商、某位部門主管的姓名，或某個專案的時程，聽起來就很有說服力。這就是 OSINT 與社交工程彼此交織的原因：公開資訊讓攻擊者擁有即時操弄他人所需的自信與細節。

企業最後遭遇的攻擊，可能呈現為網路釣魚、語音釣魚、帳號盜用、發票詐騙或憑證竊取。而其背後的前置作業，可能一直是 OSINT。

外洩的憑證也是 OSINT

資料外洩經常被視為直接的帳號盜用風險：當密碼外洩時，攻擊者可以在多個進入點嘗試使用。這依然是個嚴重問題，尤其當員工在多項服務之間重複使用密碼時。

但外洩的憑證也能協助攻擊者了解帳號背後的企業。外流的電子郵件地址可能確認某位員工使用過哪些服務，而舊密碼、電話號碼與重複出現的公司網域，則能為未來的網路釣魚、語音釣魚或帳號盜用嘗試提供更多脈絡。外洩事件或許發生在其它地方，但這些資訊仍能協助攻擊者更精準地描繪你的團隊。

Proton 的資料外洩觀測站強調外洩資料如何助長網路釣魚、憑證攻擊與更廣泛的社交工程。它也指出，外洩資料在首次外洩事件被報導後，對攻擊者而言並不會就此失去用處。這些資料仍可被重複使用、組合並重新塑形，以用於日後的目標鎖定。

監控外流的公司電子郵件與憑證，能讓組織看見的不只是需要變更的密碼。它可揭露員工曾在哪裡使用公司位址、哪些服務可能與企業連線，以及同一個身分是否出現在多起外洩事件中。

這一點至關重要，因為攻擊者能重複使用資訊，不只是拿來嘗試舊密碼，還能讓未來的網路釣魚、語音釣魚或冒充嘗試顯得更具體。外洩的憑證很少只是單一孤立的憑證。它可能成為背景研究的一部分，讓下一波攻擊更有效。

減少攻擊者可從公開來源得知的資訊

沒有任何企業能讓自己完全從公開視野中移除，這也不該是任何人的目標。客戶、求職者與合作夥伴仍需要足夠的資訊，才能了解你是誰以及該如何與你合作。

真正的風險在於公布超出這個目的的詳細資料：內部工具名稱、直接聯絡模式、簽核流程，或是讓攻擊者更清楚掌握企業運作方式的技術線索。

  • 從你的公開資訊著手。檢視公司頁面、團隊簡介、新聞稿、案例研究、說明中心文章、職缺內容、社群媒體貼文與公開文件。尋找會揭露內部系統、簽核流程、存取路徑或機密工作流程的詳細資料。
  • 職缺內容值得特別留意。求職者或許需要知道他們將使用哪些大類工具，但公開廣告未必需要逐一列出每個 SaaS 平台、安全產品、CRM、付款工具、雲端供應商或內部工作流程。工具清單越具體，就越容易偽造登入提示、支援訊息或供應商請求。
  • 員工資訊同樣需要拿捏分寸。資歷、角色與專長或許適合分享，但直接的電話號碼、個人詳細資料、差旅模式、內部專案名稱，或非必要的匯報結構細節，都會讓攻擊者有更多可操作的素材。
  • 公開的程式碼儲存庫應定期檢視。舊專案、測試檔案、文件或組態範例，都可能包含原本不該公開的機密。即使憑證已過期，內部的網址、命名慣例與服務參照，仍能協助攻擊者了解該環境。

降低攻擊者所發現資訊的價值

OSINT 永遠會存在，因為企業必須被看見。目標是減少可取得的非必要資訊，並限制攻擊者能利用這些所發現細節做到的事。

公開資訊是減少非必要曝露的首要之處。招募廣告、公司簡介、員工頁面、儲存庫、子網域與舊文件，應提供人們足夠的脈絡以信任與了解企業，而不是詳盡呈現企業在幕後如何運作。當內部工具名稱、技術線索或流程詳細資料無須公開時，最好讓它們隱而不顯。

憑證控管同樣重要。外流的電子郵件地址與外洩的密碼，是最容易讓 OSINT 訊號轉化為實際行動的其中一類。獨特的密碼、MFA、通行密鑰、安全共享、外洩監控與存取控管，都能讓偵察變得更沒有用處。

檢視你的技術足跡，但不對外公布藍圖

技術暴露也是 OSINT 的一部分。網域、子網域、登入入口網站、雲端服務、開發環境、應用程式介面 (API) 端點和公開儲存庫，都能協助攻擊者了解企業在線上的架構。

定期檢視有助於區分哪些是刻意公開的資訊，哪些是已發布卻被遺忘的內容。舊的測試頁面、未使用的子網域、預設服務畫面、過時的說明文件、暴露的組態備註，以及含有內部參照的公開儲存庫，看似不急迫，但可能讓偵察變得更容易。

許多修正其實很簡單：移除舊頁面、限制存取、更新說明文件、輪替已暴露的機密，或將內部詳細資料移出公開儲存庫。其他發現可能只需要明確的負責人，以及繼續保持可見的理由。公開暴露便成為一項決策，而非疏漏。

將 OSINT 檢查納入安全例行程序

OSINT 暴露並非靜態不變。每當企業發布新內容、變更工作流程、招募某個職位、啟動專案、出現在供應商頁面上，或員工資料在資料外洩事件中曝光，暴露範圍就會隨之擴大。每次更新單獨來看似乎無害，但隨著時間推移，可能讓攻擊者更清楚地掌握公司的人員、工具、關係和存取點。

一套簡單的檢查和檢視就能有所幫助：

  • 每季檢視對外公開的企業資訊
  • 在發布前檢查職缺內容，避免透露不必要的工具或工作流程詳細資料
  • 監控企業電子郵件地址是否在資料外洩事件中曝光
  • 檢視公開儲存庫和暴露的服務
  • 詢問各部門主管，是否有任何公開資訊揭露了敏感流程或存取模式。

在資訊公開之前，總應該有人先問：這是否會協助攻擊者建立更具說服力的訊息、電話或登入嘗試？

使用別名讓憑證更難被串連

電子郵件別名 有助於減少攻擊者能在各項服務之間串連的資訊量。當每個服務都使用相同的電子郵件地址時，就更容易連結帳號、搜尋外洩資料、猜測登入入口網站，並建立員工或企業的個人輪廓。

對某些企業工作流程而言，標準的電子郵件地址是必要的。員工在工作、客戶往來和協作方面需要穩定的身分。但別名可用於註冊、電子報、試用、供應商測試、活動，或不需要使用個人主要企業地址的服務。

電子郵件別名之所以實用，是因為它們能區隔攻擊者原本會串連到同一位員工、團隊或企業地址的帳號。它們也能讓暴露更容易追蹤。當為某個供應商建立的別名開始收到無關的登入嘗試或網路釣魚訊息時，企業就能更清楚地看出該地址可能在何處曝光。

別名與 企業密碼管理程式（例如 Proton Pass for Business）搭配使用時效果最佳。每個帳號仍需要一組獨特的密碼、受控的儲存空間，以及明確的擁有者。若缺乏這樣的結構，別名可能會成為員工另一個需要自行管理的手動習慣。

使用 Proton Pass for Business 管理 OSINT

像是 Proton Pass for Business 這類的 企業密碼管理程式，可透過憑證健康狀態功能協助您監控資料外洩並保護網路。使用 Proton Pass for Business，團隊可以建立獨特的密碼、將其儲存在已加密的密碼保管庫中、使用自動填入、安全地共享憑證、管理通行密鑰，並使用內建的雙重驗證 (2FA)。

管理員功能（例如政策、報告、日誌、以身分角色為基礎的存取控制，以及SCIM 佈建和 SSO 整合）可協助企業在成長過程中，更有效地控管憑證存取。

企業密碼管理程式並無法消除 OSINT 暴露，但能讓攻擊者找到的資訊變得較不實用。當憑證獨一無二、儲存在已加密的保管庫中、透過核准的空間共享，並以 2FA 或通行密鑰加以保護時，外洩的密碼或具說服力的偽造登入頁面就較難演變成更大範圍的存取。它也為員工提供更清楚的規則：企業憑證應保存在密碼管理程式內，而非電子郵件、聊天、試算表或電話對話中。

攻擊者仍會研究您的企業。問題在於他們能學到多少、所描繪的樣貌有多準確，以及他們能藉此深入到什麼程度。

使用企業密碼管理程式來降低企業的憑證暴露。