AI ja OSINT: kuidas ründajad avalikku teavet kasutavad
·Kui jutt käib küberrünnakust, mõtleb enamik inimesi esimesena varastatud paroolidele ja ülevõetud serveritele. Praktikas algab rünnak sageli palju lihtsamalt: ründaja vaatab üle, mida ettevõte ja selle töötajad ise avalikult välja ütlevad.
Seda nimetatakse OSINT-iks ehk avalikest allikatest luureks (Open-Source Intelligence). Jutt käib teabe kogumisest avatud allikatest. Need ei ole varastatud andmed, vaid avalik teave, mis on internetis vabalt kättesaadav.
AI ja OSINT on omavahel seotud sellepärast, et OSINT toidab andmepüüki (phishing’ut), häälpetukõnesid, deepfake-pettusi ja sotsiaalset manipuleerimist. Tehisintellekt kiirendab protsessi: laialipillutatud avalikest detailidest sünnib kiiresti usutav sõnum, kõneskript või võlts ärikontekst.
Rohkem konteksti leiad artiklitest AI ründajana, mis on AI-andmepüük ja kuidas deepfake-häält ära tunda.
Mis on avalik teave ja mis sinna alla käib?
Paljud ütlevad: „Ma ju ei avalda midagi tundlikku.“ Ründaja ei otsi aga alati suurt saladust. Ta otsib väikeseid pusletükke.
Avalik teave võib olla näiteks:
- töötajate nimed,
- ametikohad ja rollid,
- organisatsiooni struktuur,
- e-posti aadresside kuju,
- telefoninumbrid,
- fotod kontorist, konverentsidelt ja üritustelt,
- töökuulutused ja neis nimetatud tehnoloogiad,
- klientide ja tarnijate nimekirjad ning pressiteated,
- töötajate LinkedIni kommentaarid ja avalikud postitused,
- dokumendid, esitlused ja äriregistri andmed.
Eesti puhul on viimane punkt eriti oluline. Meie avaliku teabe pind on rahvusvahelises võrdluses ebatavaliselt lai: äriregistrist saab tasuta ja mõne klikiga kätte juhatuse liikmed, omanikud, aadressi, majandusaasta aruanded ja seotud ettevõtted. Ametlikud Teadaanded ja Inforegistri-tüüpi teenused seovad selle omakorda ametlike kontaktandmete ja majandusnäitajatega. Ettevõtjale on see mugav ja läbipaistev. Ründaja jaoks on see valmis kaardistatud organisatsiooniskeem, mille eest ta mujal peaks vaeva nägema.
Eraldi võetuna tunduvad need detailid kahjutud. Koos võivad nad anda väga täpse pildi ettevõttest, inimestest, projektidest ja prioriteetidest. Just seetõttu on digitaalne jalajälg turvaküsimus, mitte ainult turundusteema.
Kuidas ründaja loo kokku paneb
Kujutame ette lihtsat stsenaariumi. Ettevõte postitab LinkedInis, et võitis uue projekti. Töötajad kommenteerivad postitust. Üks inimene on profiilis kirjas projektijuhina. Kodulehel on kontaktandmed. Töökuulutus mainib konkreetset CRM-süsteemi. Kontorifotol paistab ühe tarnija nimi. Äriregistrist selgub, kes ettevõtet esindab ja millise teise firmaga ta veel seotud on.
Ründajal on korraga koos piisavalt teavet veenva sõnumi jaoks:
„Tere, Martin! Uue logistikakliendi projekti kohta saadan uuendatud CRM-i väljavõtte. Palun vaata täna üle, homme on tähtaeg.“
See on ohtlikum kui üldine andmepüügikiri. Sõnumis on nimi, projekt, tööriist ja töökontekst. See tundub usutav.
Kus tehisintellekt rünnakut muudab
Tehisintellekt aitab ründajal palju teavet kiiresti läbi töötada ja usutavaks tekstiks muuta. Ründaja võib avaliku teabe AI-tööriista sisse sööta ja lasta sellest teha kirja raamatupidamisele, isikustatud LinkedIni sõnumi, telefoniskripti või võltsitud tarnijasuhtluse.
Tehisintellekt oskab ka tooni kohandada. Sõnum võib kõlada ametlikult, sõbralikult, lühidalt, juhi moodi või tehniliselt. See võib olla veatus keeles ja sisaldada täpselt nii palju detaile, et mõjuda ehtsana.
Just seepärast ei piisa enam hoiatusmärgina keelevigadest. Tänapäevane AI-andmepüük võib olla paremini kirjutatud kui tavaline töökiri – ja eesti keeles kirjutatud kiri ei ole ammu enam tõend selle kohta, et saatja on kohalik.
Mis on pretexting?
Pretexting tähendab võltsloo ehitamist, mille eesmärk on panna ohver midagi tegema. Ründaja mõtleb välja ettekäände ja mängib rolli.
Ta võib esineda:
- uue tarnijana,
- kliendina,
- kolleegina teisest osakonnast,
- IT-toena,
- kullerina,
- audiitorina,
- tööle kandideerijana,
- juhi või pangatöötajana.
Hea ettekääne ei ole dramaatiline. See on tavaline. See mahub tööpäeva sisse. Täpselt seepärast see töötabki.
Näited OSINT-rünnakutest
LinkedIni andmepüük
Ründaja valib LinkedInist välja ühe töötaja. Ta vaatab üle rolli, kommentaarid, kolleegid ja huvid. Seejärel saadab sõnumi värbaja, äripartneri või konverentsikülalisena.
Eesmärk võib olla võltsitud sisselogimisleht, pahatahtlik fail või lihtsalt usalduse ehitamine järgmise sammu jaoks.
Arvepettus
Ründaja uurib välja, kes vastutab rahaasjade eest ja milliseid tarnijaid ettevõte kasutab. Seejärel saadab sõnumi, mis näeb välja nagu tarnija palve muuta pangakontot. Ilma kontrollita võib raha liikuda ründaja kontole.
Võltsitud tehniline tugi
Töökuulutused reedavad sageli, milliseid süsteeme ettevõte kasutab. Ründaja helistab töötajale ja esineb selle tööriista toena: „Tere, helistan teie CRM-süsteemi asjus. Täna käib migratsioon, pean teie ligipääsu üle kontrollima.“
Deepfake’i ettevalmistus
Avalikud videod ja taskuhäälingud võivad sisaldada juhtide häälenäidiseid. Ründajad saavad neid hääle kloonimiseks ja häälpetukõnedeks ära kasutada. Mida rohkem avalikku sisu on, seda lihtsam on ettevalmistus.
Kuidas ettevõtte digitaalset jalajälge vähendada
Eesmärk ei ole suhtlemist lõpetada. Ettevõte vajab turundust, müüki, LinkedIni, kodulehte ja usaldust. Eesmärk on jagada teadlikult.
Üksikisikule
- Ära avalda liiga palju detaile sisemiste protsesside kohta.
- Mõtle läbi, kas iga töövahend peab profiilil kirjas olema.
- Ole ettevaatlik tundmatute inimeste sõnumitega.
- Ära klõpsa LinkedIni sõnumites olevatel linkidel kontrollimata.
- Jälgi fotosid, kus paistavad ekraanid, läbipääsukaardid, nimesildid, tahvlid või dokumendid.
- Ära saada tööga seotud dokumente isikliku konto kaudu.
Ettevõttele
- Vaata üle, mida sinu koduleht avaldab.
- Eemalda töökuulutustest ebavajalikud tehnilised detailid.
- Lepi kokku reeglid avalike kontori- ja üritusefotode kohta.
- Koolita töötajaid OSINT-i ja sotsiaalse manipuleerimise teemal.
- Kasuta maksete ja kontomuudatuste puhul kontrolliprotsessi.
- Jälgi kahtlasi domeene, mis sarnanevad sinu ettevõtte domeeniga.
- Tee kahtlastest sõnumitest teatamine lihtsaks.
Äriregistri andmeid sa maha võtta ei saa – need on äriregistri seaduse järgi avalikud ja peavadki olema. Küll aga saad eeldada, et ründaja need juba luges, ja ehitada oma kontrollireeglid sellele eeldusele: see, et helistaja teab sinu juhatuse liikme nime ja viimase aasta käivet, ei tõenda mitte kui midagi.
Miks LinkedIn on kahe teraga mõõk
LinkedIn on kasulik. See aitab brändi ehitada, müüa, värvata ja teadmisi jagada. Samal ajal on see ründajale suurepärane teabeallikas.
See ei tähenda, et sa ei peaks LinkedIni kasutama. See tähendab, et tasub mõelda, mida sa jagad. Postitus stiilis „meie finantsmeeskond teeb täna suurt auditit koos välise partneriga“ võib turunduslikult tunduda kahjutu, ründajale on see aga kasulik.
Parim reegel: jaga tulemusi, mitte sisemisi detaile.
Praktiline kontrollnimekiri turundusele ja personalile
Turundus ja personaliosakond avaldavad tihti kõige rohkem teavet. Seepärast on neil vaja lihtsat kontrollnimekirja.
Enne avaldamist küsi:
- Kas pildil on näha ekraane, dokumente või sisemisi märkmeid?
- Kas seome inimesi tundlike süsteemidega?
- Kas avaldame liiga palju tehnilisi detaile?
- Kas paljastame, kes kinnitab makseid või annab ligipääse?
- Kas seda postitust saaks kasutada võltsitud kontakti loomiseks?
- Kas postitame oluliste inimeste puhkusi või äraolekuid reaalajas?
Kokkuvõte
AI ja OSINT on ohtlik kombinatsioon. Avalik teave annab materjali. Tehisintellekt teeb sellest veenva loo. Surve all olev inimene võib eksida.
Hea uudis on see, et riski saab vähendada. Sa ei pea internetist kaduma. Sa pead lihtsalt aru saama, et kõike avalikku saab kasutada ka sinu vastu.
Sama loogika kehtib perede ja koolide kohta. Fotod, profiilid ja avalikud postitused mõjutavad privaatsust ja võltssisu riski – seepärast kirjutame eraldi ka sellest, kuidas lapsi internetis kaitsta.
Kui tahad teada, kui kaugele ründaja sinu avaliku jalajäljega tegelikult jõuaks, saab seda kontrollida sotsiaalse manipuleerimise simulatsiooniga – see algabki OSINT-faasist.
Enne iga avaldamist küsi endalt: „Kas see teave aitab meie kliente või aitab see pigem ründajat?“
