OSINT ir DI: kaip užpuolikai naudoja viešą informaciją

Kai kalbama apie kibernetinę ataką, daugelis įsivaizduoja laužomus slaptažodžius ir perimtus serverius. Tikrovėje pradžia paprastesnė: užpuolikas pirmiausia perskaito tai, ką įmonė ir jos žmonės apie save paskelbė patys.

Toks darbas vadinamas OSINT (angl. open-source intelligence). OSINT – tai žvalgyba iš atvirųjų šaltinių, tai yra informacijos rinkimas iš viešai prieinamų vietų. Kalbama ne apie pavogtas duomenų bazes, o apie viešą informaciją, kurią pasiekti gali bet kas.

OSINT duoda medžiagą fišingui (liet. duomenų viliojimas, angl. phishing), suklastotiems skambučiams, „deepfake“ sukčiavimui ir visai socialinei inžinerijai. DI šį etapą pagreitina: iš išbarstytų smulkmenų per kelias minutes sudėliojamas įtikinamas laiškas, pokalbio telefonu scenarijus arba išgalvotas dalykinis kontekstas.

Platesnį kontekstą aptariame trijuose straipsniuose: DI kaip užpuolikas, kas yra DI fišingas ir „deepfake“ sukčiavimas ir vishingas.

Kas laikoma viešai prieinama informacija?

Dažniausias atsakymas skamba taip: „Nieko jautraus juk neskelbiame.“ Tačiau užpuolikas retai ieško vienos didelės paslapties. Jis renka dėlionės detales.

Prie viešai prieinamos informacijos priskiriama, pavyzdžiui:

• darbuotojų vardai ir pareigos,
• organizacijos struktūra ir pavaldumas,
• el. pašto adresų formatas,
• telefonų numeriai,
• nuotraukos iš biuro, konferencijų ir renginių,
• darbo skelbimai ir juose išvardytos technologijos,
• klientų bei tiekėjų sąrašai ir pranešimai spaudai,
• darbuotojų įrašai ir komentarai LinkedIn tinkle,
• paskelbtos prezentacijos, dokumentai ir įrašyti internetiniai seminarai,
• automatiniai atsakymai apie nebuvimą darbe,
• viešuose įmonių registruose skelbiami duomenys.

Pavieniui šios detalės atrodo nekaltos. Kartu jos sudėlioja tikslų įmonės, jos žmonių, projektų ir vidinių prioritetų vaizdą. Todėl skaitmeninis pėdsakas – saugumo, o ne vien rinkodaros klausimas.

Kodėl lietuvių kalba nebėra kliūtis

Ilgą laiką kalba veikė kaip natūrali užtvara. Fišingo laišką buvo galima atpažinti iš dingusių nosinių, iš sujauktų linksnių ir iš sakinių, kurie akivaizdžiai atėjo iš vertimo programos. Šio požymio nebeliko: tekstas taisyklinga lietuvių kalba užpuolikui kainuoja tiek pat, kiek tekstas angliškai, o maža kalba nebereiškia mažos rizikos.

Prie to prisideda smulkmena, kurią lengva pamiršti. Lietuviški vardai el. pašto adresuose rašomi be diakritinių ženklų, todėl Jonas Žukauskas beveik visada yra jonas.zukauskas@imone.lt. Užtenka vieno viešo adreso, kad likusieji būtų atspėti, o darbuotojų vardus duoda ką tik išvardyti šaltiniai.

Panašiai veikia ir automatinis atsakymas apie atostogas. Jis tiksliau už bet kurį kitą šaltinį pasako, kurio žmogaus šią savaitę nėra, kas jį pavaduoja ir kada jis grįš. Būtent tuo metu neįprastas prašymas pavaduojančiam kolegai atrodo pateisinamas.

Kaip užpuolikas sudėlioja istoriją

Įsivaizduokime kasdienišką scenarijų. Įmonė LinkedIn tinkle paskelbia, kad laimėjo naują projektą. Darbuotojai įrašą komentuoja; vieno iš jų profilyje parašyta „projektų vadovas“. Svetainėje yra kontaktai. Darbo skelbimas įvardija konkrečią CRM sistemą. Biuro nuotraukoje matyti tiekėjo logotipas.

Iš to užpuolikas jau gali parašyti laišką, kuris nekelia įtarimų:

„Laba diena, Mantai. Siunčiu atnaujintą CRM duomenų eksportą naujam logistikos klientui. Peržiūrėkite šiandien, rytoj baigiasi terminas.“

Tai jau nebe masinis fišingas. Laiške yra vardas, projektas, įrankis ir darbo kontekstas. Viskas telpa į įprastą darbo dieną, ir būtent kasdieniškumas daro šią žinutę pavojingą.

Ką šioje grandinėje keičia DI

DI greitai perdirba daug smulkmenų ir paverčia jas įtikinamu tekstu. Užpuolikas suveda surinktą viešą informaciją ir paprašo laiško buhalterijai, pritaikytos LinkedIn žinutės, pokalbio telefonu scenarijaus arba išgalvoto susirašinėjimo su tiekėju.

Pritaikomas ir tonas. Žinutė gali skambėti oficialiai, draugiškai, trumpai, vadovo balsu arba techniškai. Ji parašoma be rašybos klaidų ir turi būtent tiek tikrų detalių, kiek reikia patikimumui.

Todėl kalbos klaidos nebėra patikimas įspėjimo ženklas. Šiuolaikinis DI fišingas neretai būna parašytas kruopščiau nei įprastas darbo laiškas.

Kas yra pretexting?

Pretexting, arba legenda, – tai išgalvota istorija, kuri paskatina auką veikti. Užpuolikas sugalvoja priežastį ir įsijaučia į vaidmenį.

Dažniausiai dedamasi:

• nauju tiekėju,
• klientu,
• kolega iš kito skyriaus,
• IT pagalbos darbuotoju,
• kurjeriu,
• auditoriumi,
• kandidatu į darbo vietą,
• vadovu ar banko darbuotoju.

Gera legenda nėra dramatiška. Ji kasdieniška ir telpa į darbo dieną. Būtent todėl ji veikia.

OSINT atakos praktikoje

Fišingas per LinkedIn

Užpuolikas išsirenka vieną darbuotoją. Peržiūri pareigas, komentarus, kolegas ir interesus, o paskui parašo kaip personalo atrankos specialistas, verslo partneris arba konferencijoje sutiktas pažįstamas.

Tikslas gali būti suklastotas prisijungimo puslapis, kenkėjiškas priedas arba tiesiog pasitikėjimas, kuris pravers kitame žingsnyje.

Sukčiavimas su sąskaitomis faktūromis

Užpuolikas išsiaiškina, kas tvarko finansus ir su kuriais tiekėjais įmonė dirba. Tada atsiunčia žinutę, kuri atrodo kaip tiekėjo prašymas pakeisti banko sąskaitos numerį. Be patikrinimo kitas mokėjimas iškeliauja į užpuoliko sąskaitą.

Priešnuodis čia ne techninis: sąskaitos numerio keitimas patvirtinamas perskambinant jau žinomu numeriu, o ne tuo, kuris nurodytas laiške ar pačioje sąskaitoje faktūroje.

Suklastota techninė pagalba

Darbo skelbimai dažnai atskleidžia, kokias sistemas įmonė naudoja. Užpuolikas paskambina darbuotojui ir dedasi to įrankio pagalbos tarnyba: „Laba diena, skambinu dėl jūsų buhalterinės sistemos. Šiandien vyksta migracija, reikia patikrinti, ar prieiga dar veikia.“

Medžiaga „deepfake“ ruošiniui

Vieši vaizdo įrašai, konferencijų įrašai ir tinklalaidės turi vadovų balso pavyzdžių. Kelių sekundžių įrašo jau pakanka balso fišingui (vishingui). Kuo daugiau viešo turinio, tuo mažiau darbo lieka pasirengimo etapui.

Kaip sumažinti įmonės skaitmeninį pėdsaką neišnykstant iš interneto

Tikslas – ne nutraukti komunikaciją. Įmonei reikia rinkodaros, pardavimų, LinkedIn, svetainės ir žinomumo. Tikslas – rinktis sąmoningai.

Darbuotojui

• Neskelbkite detalių apie vidinius procesus ir patvirtinimo grandines.
• Pagalvokite, ar profilyje tikrai reikia išvardyti kiekvieną darbo įrankį.
• Su nepažįstamų žmonių žinutėmis elkitės atsargiai.
• Nespauskite LinkedIn tinkle gautų nuorodų be patikrinimo.
• Atkreipkite dėmesį, kas matyti nuotraukose: ekranai, prieigos kortelės, lentos, dokumentai.
• Nesiųskite darbo dokumentų iš asmeninės paskyros.

Įmonei

• Peržiūrėkite savo svetainę: ką ji pasakoja apie vidinę darbo tvarką.
• Iš darbo skelbimų išimkite perteklines technines detales ir versijų numerius.
• Susitarkite, kokias biuro ir renginių nuotraukas leidžiama skelbti.
• Parodykite komandai, kaip užpuolikas renka duomenis ir manipuliuoja žmonėmis: tam skirti kibernetinio saugumo mokymai.
• Įveskite mokėjimų ir sąskaitos numerio keitimo patikrinimą antru, jau žinomu kanalu.
• Stebėkite domenus, klaidinamai panašius į įmonės domeną.
• Padarykite pranešimą apie įtartiną žinutę paprastą, kad darbuotojui nereikėtų svarstyti, ar verta trukdyti.

Viešai paskelbtų duomenų atšaukti nepavyks, ir to nereikia laikyti taisytina klaida. Juos galima laikyti žinomais ir ant šios prielaidos statyti patikrinimo tvarką: žinios apie įmonę nebėra tapatybės įrodymas.

Kodėl LinkedIn yra dviašmenis įrankis

LinkedIn naudingas. Jis padeda kurti prekės ženklą, parduoti, pritraukti žmonių ir dalytis patirtimi. Kartu tai puikus informacijos šaltinis užpuolikui.

Tai nereiškia, kad platformą reikia palikti. Tai reiškia, kad verta pagalvoti apie turinį. Įrašas „mūsų finansų komanda kartu su išoriniu partneriu vykdo didelį auditą“ rinkodarai atrodo nekaltas, o užpuolikui – gatava legenda.

Paprasčiausias principas: dalytis rezultatais, o ne vidine darbo tvarka.

Praktinis patikros sąrašas rinkodarai ir personalo skyriui

Daugiausia informacijos paprastai paskelbia rinkodara ir personalo skyrius, todėl trumpas sąrašas naudingiausias būtent šioms komandoms.

Prieš paskelbiant verta pasitikrinti:

• Ar nuotraukoje matyti ekranai, dokumentai ar vidiniai užrašai?
• Ar konkretūs žmonės įvardijami greta kritinių sistemų?
• Ar apie naudojamas technologijas nepasakoma per daug?
• Ar iš įrašo galima suprasti, kas tvirtina mokėjimus ir prieigas?
• Ar ant šio įrašo galima pastatyti įtikinamą kreipimąsi?
• Ar atostogos ir svarbių žmonių nebuvimas skelbiami realiu laiku?

Kaip sužinoti, ką apie įmonę galima surinkti

Socialinės inžinerijos testavimas prasideda tuo pačiu žingsniu, kuriuo prasideda ataka: surenkama viešai prieinama informacija ir žiūrima, kokią legendą iš jos galima sudėlioti. Paskui iš anksto suderintose ribose patikrinama, kas nutinka, kai darbuotojas tokią žinutę iš tikrųjų gauna. Ataskaitoje svarbiausias skaičius – ne paspaudimų dalis, o tai, kiek žmonių ir per kiek laiko apie įtartiną žinutę pranešė viduje. Kaip toks patikrinimas atrodo žingsnis po žingsnio, aprašyta straipsnyje kas yra socialinė inžinerija.

Kur eina teisėtos žvalgybos riba

Lietuvos teisės aktai viešos informacijos rinkimo kaip atskiros procedūros neįvardija, o įsilaužimų testavimas Lietuvoje nėra privalomas: testuotojams nėra nei licencijų, nei registro. Riba brėžiama ten, kur skaitymas virsta testavimu.

Kibernetinio saugumo įstatymo 25 straipsnis nustato sąlygas, kuriomis pažeidžiamumų galima ieškoti be išankstinio sistemos valdytojo sutikimo: apie radinį pranešama Nacionaliniam kibernetinio saugumo centrui per 24 valandas, patvirtinus pažeidžiamumą veikla nutraukiama, slaptažodžiai nespėliojami, o viešinimas atidedamas. Tarp tų pačių sąlygų aiškiai įrašytas draudimas manipuliuoti darbuotojais, o pati nuostata taikoma tik kibernetinio saugumo subjektų valdomoms sistemoms. Todėl socialinės inžinerijos testavimas į šį saugiklį nepatenka niekada – jis įmanomas tik pagal rašytinį užsakovo leidimą ir iš anksto sutartą apimtį. Apimtis, kanalai, laiko langas ir išimtys užrašomi prieš pirmą laišką, o ne po jo. Kurios pareigos iš tikrųjų yra privalomos ir kodėl įsilaužimų testas į jas nepatenka, paaiškinta straipsnyje ar įsilaužimų testavimas privalomas.

Antra riba – asmens duomenys. Renkant informaciją apie įvardytus darbuotojus tvarkomi jų asmens duomenys, todėl tvarkymo teisinis pagrindas, apimtis ir saugojimo terminai nustatomi pagal BDAR. Priežiūros institucija Lietuvoje yra Valstybinė duomenų apsaugos inspekcija.

HAXORIS – Slovakijoje registruota įmonė, Lietuvoje neturinti nei biuro, nei atstovybės; scenarijus ir laiškus todėl rašome lietuviškai kartu su kliento komanda. Kibernetinio saugumo įstatymo 14 straipsnio 8 dalyje numatyto kibernetinio saugumo audito neatliekame ir atitikties nesertifikuojame. Siūlome techninį saugumo testavimą, socialinės inžinerijos testavimą ir pasirengimo vertinimą.

Apibendrinimas

OSINT ir DI – pavojingas derinys. Viešai prieinama informacija duoda medžiagą, DI iš jos sudėlioja įtikinamą istoriją, o laiko spaudžiamas žmogus suklysta.

Gera žinia ta, kad riziką galima sumažinti neišnykstant iš interneto. Pakanka dviejų dalykų: prielaidos, kad viskas, kas paskelbta viešai, gali būti panaudota ir prieš pačią organizaciją, ir vieno patikrinimo žingsnio, kuris nepriklauso nuo žinutės turinio.

Prieš paskelbiant verta užduoti vieną klausimą: ar ši informacija labiau padeda klientams, ar vis dėlto užpuolikui?

OSINT ir socialinė inžinerija – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: socialinės inžinerijos testavimas ir fišingo simuliacijos