OSINT és AI: így használják a támadók a nyilvános adatokat
·Kibertámadásról a legtöbben jelszótörést és megrohamozott szervereket képzelnek el. A valóság prózaibb. A támadó azzal kezdi, hogy elolvassa, amit a cég és a munkatársai maguktól kitettek az internetre.
Ennek a szakmai neve OSINT (nyílt forrású hírszerzés): információgyűjtés nyilvános forrásokból. Nem lopott adatbázisokról van szó, hanem nyilvános adatokról, amelyekhez bárki hozzáfér.
Az OSINT adja az alapanyagot az adathalászathoz, a hamis hívásokhoz, a deepfake-csalásokhoz és a social engineering (pszichológiai manipuláció) minden formájához. Az AI pedig a munka nehezét veszi le a támadóról: a szétszórt morzsákból percek alatt összerak egy hihető levelet, telefonos forgatókönyvet vagy kitalált üzleti előzményt.
A tágabb képet három cikkünkben írtuk meg: AI-alapú kibertámadások, AI-adathalászat és a felismerése, valamint hangalapú deepfake-csalás és vishing.
Mi számít nyilvános adatnak?
A leggyakoribb válasz így hangzik: „Nem teszünk közzé semmi érzékenyet.” A támadó viszont ritkán keres egyetlen nagy titkot. Mozaikdarabokat gyűjt.
Nyilvános adat például:
- a munkatársak neve,
- a beosztásuk,
- a szervezeti felépítés,
- a céges e-mail-címek formátuma,
- a telefonszámok,
- az irodai, konferencia- és rendezvényfotók,
- az álláshirdetések és a bennük megnevezett technológia,
- az ügyféllisták, a beszállítók és a sajtóközlemények,
- a munkatársak LinkedIn-posztjai és kommentjei,
- a nyilvános dokumentumok és prezentációk,
- a cégadatok az e-cégjegyzékben és a közzétett éves beszámolók az e-beszámoló rendszerében,
- a közbeszerzési hirdetmények és eredmények a Közbeszerzési Hatóság nyilvános adatbázisában.
Külön-külön mindegyik ártalmatlan. Együtt viszont pontos képet adnak arról, ki dolgozik a cégnél, min dolgozik, kivel és mi a soron következő feladat. A digitális lábnyom ezért biztonsági kérdés, nem csak marketing.
Hogyan rak össze egy történetet a támadó?
Egy hétköznapi forgatókönyv. A cég bejelenti a LinkedInen, hogy megnyert egy új projektet. A munkatársak kommentelnek a poszt alatt; az egyikük profiljában ott áll, hogy projektmenedzser. A honlapon megvannak az elérhetőségek. Egy álláshirdetés megnevezi a használt CRM-rendszert. Egy irodai fotón látszik az egyik beszállító neve.
Ennyi elég egy olyan levélhez, amely nem kelt gyanút:
„Kedves Péter! Küldöm a frissített CRM-exportot az új logisztikai ügyfélhez. Ma még jó lenne átnézni, holnap lejár a határidő.”
Ez nem a tömeges adathalászat kategóriája. Van benne név, projekt, eszköz és munkahelyi összefüggés. Az egész beleillik a hétköznapokba.
Mit gyorsít fel az AI?
Az AI a szétszórt részletekből gyorsan állít elő hihető szöveget. A támadó betáplálja a nyilvános adatokat, és kér levelet a pénzügynek, személyre szabott LinkedIn-üzenetet, telefonos forgatókönyvet vagy beszállítói levelezésnek látszó szálat.
A hangnemet is beállítja: hivatalos, közvetlen, rövid, vezetői vagy technikai. Nyelvi hiba nélkül fogalmaz, és pontosan annyi valós részletet tesz bele, amennyitől hitelesnek hat.
Ezért nem lehet többé a helyesírásra hagyatkozni. Az AI-adathalászat levele sokszor gondosabb, mint egy átlagos munkahelyi e-mail.
Mi az a pretexting?
A pretexting kitalált történet, amellyel a támadó cselekvésre bír valakit. Kitalál egy okot, és eljátszik egy szerepet.
A leggyakoribb szerepek:
- új beszállító,
- ügyfél,
- kolléga egy másik osztályról,
- belső informatikai támogatás,
- futár,
- auditor,
- álláspályázó,
- felettes vagy banki ügyintéző.
A jó ürügy nem drámai. Hétköznapi, és beleillik a munkanapba. Pontosan ezért működik.
OSINT-alapú támadások a gyakorlatban
LinkedIn-adathalászat
A támadó kiválaszt egy munkatársat a LinkedInen. Végignézi a beosztását, a kommentjeit, az ismerőseit és az érdeklődési körét, majd fejvadászként, üzleti partnerként vagy konferenciaismerősként ír neki.
A cél lehet hamis belépőoldal, kártékony csatolmány vagy egyszerűen a bizalom felépítése a következő lépéshez.
Beszállítói számlacsalás
A támadó kideríti, ki intézi a pénzügyeket és kikkel dolgozik a cég. Ezután olyan üzenetet küld, amely a beszállító kérésének látszik: megváltozott a bankszámlaszám. Visszaellenőrzés nélkül a következő utalás a támadóhoz kerül.
Hamis technikai támogatás
Az álláshirdetésekből gyakran kiderül, milyen rendszereket használ a cég. A támadó felhívja az egyik munkatársat, és az adott rendszer technikai támogatásának adja ki magát: „Jó napot, a CRM-rendszerük ügyében keresem. Ma migrációt futtatunk, és ellenőriznem kell, hogy él-e még a hozzáférése.”
Alapanyag a deepfake-hez
A nyilvános videók, előadásfelvételek és podcastok hangmintát adnak a vezetőkről. Néhány másodperc elég ahhoz, hogy a támadó hangalapú csaláshoz használja fel. Minél több nyilvános felvétel kering, annál kevesebb munka marad az előkészítéssel.
Hogyan csökkenthető a cég digitális lábnyoma?
A cél nem az, hogy a cég eltűnjön az internetről. Marketing, értékesítés, LinkedIn, honlap és láthatóság nélkül nem megy. A cél az, hogy tudatos döntés legyen, mi kerül ki.
Munkatársaknak
- Ne írjon nyilvánosan a belső folyamatokról.
- Gondolja végig, hogy tényleg minden munkaeszköznek ott kell-e lennie a profiljában.
- Kezelje fenntartással az ismeretlenektől érkező üzeneteket.
- Ne kattintson visszaellenőrzés nélkül a LinkedIn-üzenetekben kapott linkekre.
- Nézze meg, mi látszik a fotókon: képernyő, belépőkártya, tábla, belső dokumentum.
- Ne küldjön munkahelyi dokumentumot magánfiókból.
Cégeknek
- Nézze át, mit tesz közzé a honlap.
- Vegye ki a felesleges technikai részleteket az álláshirdetésekből.
- Rögzítse, milyen irodai fotó kerülhet ki nyilvánosan.
- Mutassa meg a csapatának, hogyan gyűjt adatot és hogyan manipulál a támadó: erre való a biztonságtudatossági oktatás.
- Vezessen be visszaellenőrzést a kifizetésekre és a bankszámlaszám módosítására.
- Figyelje a cég nevére megtévesztésig hasonlító domaineket.
- Tegye egyszerűvé a gyanús üzenetek bejelentését.
Miért kétélű eszköz a LinkedIn?
A LinkedIn hasznos: márkát épít, támogatja az értékesítést, a toborzást és a szakmai láthatóságot. Ugyanakkor kiváló információforrás a támadónak is.
Ebből nem az következik, hogy le kell mondani róla. Az következik, hogy érdemes végiggondolni, mi kerül ki. A „pénzügyi csapatunk egy nagy auditon dolgozik egy külső partnerrel” típusú poszt a marketingnek ártalmatlan, a támadónak viszont kész ürügy.
A szabály egyszerű: eredményt érdemes megosztani, belső működést nem.
Ellenőrzőlista a marketingnek és a HR-nek
A legtöbb adatot rendszerint a marketing és a HR teszi közzé, ezért egy rövid ellenőrzőlista itt segít a legtöbbet.
Közzététel előtt:
- Látszik-e a fotón képernyő, dokumentum vagy belső feljegyzés?
- Nevesítünk-e embereket a kritikus rendszerek mellett?
- Nem árulunk-e el túl sokat a használt technológiáról?
- Kiderül-e a posztból, ki hagyja jóvá a kifizetéseket és a hozzáféréseket?
- Építhető-e erre a posztra hihető megkeresés?
- Valós időben adjuk-e közre a kulcsemberek szabadságát vagy távollétét?
Így nézzük meg, mit talál a cégről egy támadó
A social engineering vizsgálat ugyanazzal kezdődik, amivel a támadás: összegyűjtjük a cégről nyilvánosan elérhető adatokat, és megnézzük, milyen ürügyet lehet belőlük építeni. Ezután – előre egyeztetett keretek között – kipróbáljuk, mi történik, ha valaki tényleg megkapja ezt az üzenetet. A jelentésben nem a kattintási arány a legfontosabb szám, hanem az, hogy hányan és milyen gyorsan jelentették be a gyanús üzenetet. A módszerről és a keretekről a mi az a social engineering című cikkünkben írtunk részletesen.
A szakterületet a magyar szabályozás is nevesíti: az 5/2025. (VI. 20.) SZTFH rendelet 3. § (2) bekezdés bd) alpontja a „pszichológiai manipulációs (social engineering) támadások tervezése és kivitelezése” képességet sorolja fel a sérülékenységvizsgálatot végző szakértőtől elvárt szakmai kompetenciák között. A jogszabály szerinti sérülékenységvizsgálat nyilvántartáshoz kötött, önálló eljárás; az a vizsgálat, amelyet egy cég a saját szervezetére rendel meg, ettől független, kereskedelmi szolgáltatás. Hogy melyik szervezetre melyik vonatkozik, arról a ki végezhet sérülékenységvizsgálatot című cikkünk szól.
Összegzés
Az OSINT és az AI együtt erős páros. A nyilvános adat adja az anyagot, az AI hihető történetet formál belőle, a nyomás alatt dolgozó ember pedig hibázik.
A jó hír az, hogy a kockázat csökkenthető, és nem kell hozzá eltűnni az internetről. Elég abból kiindulni, hogy amit közzéteszünk, azt fel is lehet használni ellenünk.
Közzététel előtt egyetlen kérdést érdemes feltenni: ez az információ inkább az ügyfeleinknek segít, vagy inkább a támadónak?
