OSINT un MI: kā uzbrucēji izmanto publisko informāciju

Dzirdot vārdu „kiberuzbrukums“, lielākā daļa iedomājas lauztas paroles un pārņemtus serverus. Praksē uzbrukums sākas daudz vienkāršāk: uzbrucējs izlasa to, ko uzņēmums un tā darbinieki paši par sevi ir publicējuši.

Šo darbu sauc par OSINT jeb atklāto avotu izlūkošanu (angļu valodā open-source intelligence). Runa nav par nozagtām datubāzēm, bet par publiski pieejamu informāciju, kurai var piekļūt jebkurš.

OSINT dod materiālu pikšķerēšanai, viltus zvaniem, deepfake krāpšanai un sociālajai inženierijai kopumā. Mākslīgais intelekts (MI) šo posmu paātrina: no izkaisītām detaļām tas dažās minūtēs saliek ticamu vēstuli, telefonsarunas scenāriju vai izdomātu darījumu vēsturi.

Plašāku kontekstu aplūkojam trijos rakstos: MI kā uzbrucējs, MI pikšķerēšana un deepfake krāpšana.

Kas ir publiski pieejama informācija?

Biežākā atbilde skan šādi: „Neko sensitīvu jau nepublicējam.“ Uzbrucējs tomēr reti meklē vienu lielu noslēpumu. Viņš vāc mozaīkas gabaliņus.

Publiski pieejama informācija ir, piemēram:

• darbinieku vārdi un amati,
• organizācijas struktūra,
• e-pasta adrešu formāts,
• tālruņa numuri,
• fotogrāfijas no biroja, konferencēm un pasākumiem,
• darba sludinājumi un tajos nosauktās tehnoloģijas,
• klientu un sadarbības partneru saraksti, preses relīzes,
• darbinieku LinkedIn ieraksti un komentāri,
• publiskotas prezentācijas, dokumenti un ierakstīti vebināri,
• Uzņēmumu reģistra dati: amatpersonas, patiesie labuma guvēji, juridiskā adrese,
• Valsts ieņēmumu dienesta publiskojamie dati: samaksātie nodokļi, darbinieku skaits, vidējā alga,
• publisko iepirkumu nolikumi, tehniskās specifikācijas un rezultāti.

Atsevišķi šīs detaļas izskatās nekaitīgas. Kopā tās veido precīzu priekšstatu par uzņēmumu, cilvēkiem, projektiem un iekšējām prioritātēm. Tieši tāpēc digitālā pēda ir drošības jautājums, nevis tikai mārketinga tēma.

Kāpēc Latvijā uzbrucēja darbs sākas reģistros

Latvijā publiski pieejamās informācijas slānis ir plašs, un tā ir apzināta izvēle. Caurskatāmība ļauj pārbaudīt darījuma partneri, pirms tiek parakstīts līgums, un tas ir labi. Tā pati caurskatāmība tomēr strādā abos virzienos: ko izmanto uzņēmuma jurists, to var izmantot arī uzbrucējs, un viņam tas neizmaksā neko.

• Uzņēmumu reģistrs. Atvērtie dati ir lejupielādējami bez maksas: amatpersonas un to pārstāvības tiesības, patiesie labuma guvēji, juridiskā adrese, reģistrācijas un izmaiņu vēsture. No tiem vienā pēcpusdienā var uzzīmēt organizācijas shēmu, par kuru citviet nāktos maksāt.
• Valsts ieņēmumu dienesta publiskojamie dati. Samaksāto nodokļu apjoms, darbinieku skaits un vidējā apdrošināšanas iemaksu alga ir publiski. No tiem var novērtēt uzņēmuma lielumu, izaugsmes tempu un to, cik liela summa rēķinā izskatīsies ticama.
• Publisko iepirkumu dokumentācija. Nolikumi, tehniskās specifikācijas un rezultāti nosauc konkrētas sistēmas, versijas, integrācijas un kontaktpersonu ar tiešo tālruņa numuru. Tehniskā specifikācija dažkārt apraksta infrastruktūru precīzāk nekā pasūtītāja paša dokumentācija.
• Oficiālie paziņojumi. Latvijas Vēstnesī un maksātnespējas reģistrā publicētie paziņojumi parāda reorganizācijas, valdes maiņas un maksātnespējas procesus, proti, tos brīžus, kad organizācijā valda apjukums un nestandarta lūgumi izskatās normāli.
• Komerciālie datu apkopotāji. Lursoft, Firmas.lv un tamlīdzīgi pakalpojumi saliek visu iepriekšējo vienā profilā, un daļa no tā ir redzama pat bez reģistrēšanās.
• Publiskais sektors. Iestādēm daļa kontaktinformācijas un struktūras ir jāpublicē pēc Informācijas atklātības likuma, tāpēc pašvaldības vai aģentūras gadījumā sagatavošanās posms uzbrucējam ir vēl īsāks.

Šos datus nevar noņemt, un tāda mērķa arī nav: tie ir publiski pēc likuma. Mainīt var pieņēmumu, uz kura balstās pārbaude. Ja zvanītājs zina valdes locekļa vārdu, juridisko adresi un pagājušā gada darbinieku skaitu, tas nepierāda neko. Latvijā šī informācija ir vienas meklēšanas attālumā.

Vēl viens vietējs sīkums ir e-pasta adrešu formāts. Diakritiskās zīmes adresēs neizmanto, tāpēc Jānis Bērziņš gandrīz vienmēr ir janis.berzins@uznemums.lv. Pietiek ar vienu publisku adresi, lai uzminētu pārējās, bet darbinieku vārdus dod jau uzskaitītie avoti.

Kā uzbrucējs saliek stāstu

Iedomāsimies ikdienišķu scenāriju. Uzņēmums LinkedIn profilā paziņo, ka noslēdzis līgumu ar jaunu klientu. Darbinieki ierakstu komentē; viena cilvēka profilā rakstīts „projektu vadītājs“. Mājaslapā ir kontakti. Darba sludinājums nosauc konkrētu CRM sistēmu. Biroja fotogrāfijā redzams piegādātāja logotips. Uzņēmumu reģistrs pasaka, kas uzņēmumu pārstāv un kādās citās kapitālsabiedrībās šī persona ir valdē.

Ar to pietiek vēstulei, kas neizraisa aizdomas:

„Labdien, Kristap! Sūtu atjaunināto CRM izrakstu jaunajam loģistikas klientam. Lūdzu, apskati šodien, rīt beidzas termiņš.“

Tā vairs nav masveida pikšķerēšana. Vēstulē ir vārds, projekts, rīks un darba konteksts. Viss iekļaujas ikdienā, un tieši ikdienišķums padara šo ziņu bīstamu.

Ko šajā ķēdē maina MI

MI ātri pārstrādā daudz detaļu un pārvērš tās ticamā tekstā. Uzbrucējs ievada savākto informāciju un lūdz vēstuli grāmatvedībai, personalizētu LinkedIn ziņu, telefonsarunas scenāriju vai izdomātu saraksti ar piegādātāju.

Tas pielāgo arī toni. Ziņa var skanēt oficiāli, draudzīgi, īsi, vadītāja balsī vai tehniski. Tā ir bez pareizrakstības kļūdām un satur tieši tik daudz patiesu detaļu, cik vajadzīgs ticamībai.

Latviešu valoda ilgi bija dabiska barjera. Krāpnieciskas vēstules varēja atpazīt pēc trūkstošām garumzīmēm, pēc sajauktiem locījumiem un pēc teikumiem, kas acīmredzami nākuši no tulkotāja. Šī pazīme ir zudusi. Teksts pareizā latviešu valodā uzbrucējam vairs neizmaksā vairāk par tekstu angļu valodā, un maza valoda vairs nenozīmē mazu risku.

Tāpēc valodas kļūdas vairs nav uzticama brīdinājuma zīme. Mūsdienīga MI pikšķerēšana mēdz būt uzrakstīta rūpīgāk nekā parasta darba vēstule.

Kas ir pretexting?

Pretexting jeb izdomāts iegansts ir stāsts, kas upuri pamudina rīkoties. Uzbrucējs izdomā iemeslu un iejūtas lomā.

Visbiežāk viņš uzdodas par:

• jaunu piegādātāju,
• klientu,
• kolēģi no citas nodaļas,
• IT atbalstu,
• kurjeru,
• auditoru,
• darba kandidātu,
• vadītāju vai bankas darbinieku.

Labs iegansts nav dramatisks. Tas ir ikdienišķs un iekļaujas darba dienā. Tieši tāpēc tas strādā.

OSINT uzbrukumi praksē

LinkedIn pikšķerēšana

Uzbrucējs izvēlas vienu darbinieku. Viņš izpēta amatu, komentārus, kolēģus un intereses, pēc tam raksta kā personāla atlases speciālists, biznesa partneris vai konferences paziņa.

Mērķis var būt viltus pieteikšanās lapa, kaitīgs pielikums vai vienkārši uzticēšanās, kas noderēs nākamajā solī.

Rēķinu krāpšana

Uzbrucējs noskaidro, kas kārto finanses un ar kuriem piegādātājiem uzņēmums strādā. Pēc tam nosūta ziņu, kas izskatās pēc piegādātāja lūguma mainīt bankas konta numuru. Bez pārbaudes nākamais maksājums aiziet uz uzbrucēja kontu.

Šis ir viens no biežākajiem scenārijiem, par kuriem Latvijā brīdina gan bankas, gan CERT.LV. Pretlīdzeklis nav tehnisks: konta maiņu apstiprina pa jau zināmu numuru, nevis pa to, kas norādīts vēstulē vai rēķinā.

Viltus tehniskais atbalsts

Darba sludinājumi bieži atklāj, kādas sistēmas uzņēmums lieto. Uzbrucējs piezvana darbiniekam un uzdodas par attiecīgā rīka atbalstu: „Labdien, zvanu par jūsu grāmatvedības sistēmu. Šodien notiek migrācija, un man jāpārbauda, vai piekļuve vēl darbojas.“

Materiāls deepfake sagatavošanai

Publiski video, konferenču ieraksti un podkāsti satur vadītāju balss paraugus. Dažu sekunžu ieraksts jau ir pietiekams materiāls balss pikšķerēšanai (vishing). Jo vairāk publiska satura, jo mazāk darba paliek sagatavošanās posmam.

Kā samazināt uzņēmuma digitālo pēdu, nepazūdot no interneta

Mērķis nav pārtraukt komunikāciju. Uzņēmumam ir vajadzīgs mārketings, pārdošana, LinkedIn, mājaslapa un atpazīstamība. Mērķis ir izvēlēties apzināti.

Darbiniekam

• Nepublicējiet detaļas par iekšējiem procesiem un apstiprinājumu ķēdēm.
• Apsveriet, vai profilā tiešām jāuzskaita katrs darba rīks.
• Izturieties piesardzīgi pret nepazīstamu cilvēku ziņām.
• Neklikšķiniet uz LinkedIn saņemtām saitēm bez pārbaudes.
• Pievērsiet uzmanību tam, kas redzams fotogrāfijās: ekrāni, caurlaides, tāfeles, dokumenti.
• Nesūtiet darba dokumentus no privātā konta.

Uzņēmumam

• Pārskatiet savu mājaslapu: ko tā stāsta par iekšējo darba organizāciju.
• Izņemiet no darba sludinājumiem liekas tehniskas detaļas un versiju numurus.
• Vienojieties par kārtību, kādas biroja un pasākumu fotogrāfijas drīkst publicēt.
• Parādiet komandai, kā uzbrucējs vāc datus un manipulē: tam ir domātas kiberdrošības apmācības darbiniekiem.
• Ieviesiet maksājumu un konta maiņas pārbaudi pa otru, jau zināmu kanālu.
• Sekojiet līdzi domēniem, kas maldinoši līdzinās uzņēmuma domēnam.
• Padariet aizdomīgu ziņu pieteikšanu vienkāršu, lai darbiniekam nebūtu jādomā, vai ir vērts traucēt.

Reģistros esošos datus nevar atsaukt, un tas nav trūkums, kas jālabo. To var pieņemt par zināmu un uz šā pieņēmuma uzbūvēt pārbaudes kārtību. Zināšanas par uzņēmumu vairs nav identitātes pierādījums.

Kāpēc LinkedIn ir abpusgriezīgs zobens

LinkedIn ir noderīgs. Tas palīdz veidot zīmolu, pārdot, piesaistīt cilvēkus un dalīties pieredzē. Vienlaikus tas ir lielisks informācijas avots uzbrucējam.

No tā neizriet, ka platforma jāpamet. No tā izriet, ka ir vērts padomāt par saturu. Ieraksts „mūsu finanšu komanda strādā pie liela audita kopā ar ārēju partneri“ mārketingam šķiet nekaitīgs, bet uzbrucējam tas ir gatavs iegansts.

Vienkāršākais princips: dalieties ar rezultātiem, nevis ar iekšējo darba kārtību.

Kontrolsaraksts mārketingam un personāla daļai

Visvairāk informācijas parasti publicē mārketings un personāla daļa, tāpēc īss kontrolsaraksts noder tieši šīm komandām.

Pirms publicēšanas pārbaudiet:

• Vai fotogrāfijā redzami ekrāni, dokumenti vai iekšējas piezīmes?
• Vai konkrēti cilvēki tiek nosaukti blakus kritiskajām sistēmām?
• Vai par izmantotajām tehnoloģijām netiek pateikts par daudz?
• Vai no ieraksta var saprast, kurš apstiprina maksājumus un piekļuves?
• Vai uz šā ieraksta pamata var uzbūvēt ticamu uzrunu?
• Vai atvaļinājumi un galveno cilvēku prombūtne tiek publicēti reāllaikā?

Kā uzzināt, ko par uzņēmumu var savākt

Sociālās inženierijas pārbaude sākas ar to pašu soli, ar ko sākas uzbrukums: savācam publiski pieejamo informāciju un paskatāmies, kādu ieganstu no tās var salikt. Pēc tam iepriekš saskaņotās robežās pārbaudām, kas notiek, ja darbinieks šādu ziņu tiešām saņem. Ziņojumā svarīgākais skaitlis nav klikšķu īpatsvars, bet gan tas, cik daudzi un cik ātri par aizdomīgo ziņu paziņoja iekšēji. Kā šī pārbaude izskatās soli pa solim, aprakstīts rakstā kas ir sociālā inženierija.

Nacionālās kiberdrošības likuma (turpmāk – NKDL) subjektiem šis darbs sasaucas ar vienu ikgadēju pienākumu. Likuma 25. panta piektās daļas 2. punkts liek kiberdrošības pārvaldniekam ne retāk kā reizi gadā veikt informācijas un komunikācijas tehnoloģiju drošības pārbaudi un organizēt konstatēto trūkumu novēršanu. Metodi norma nenosaka, tāpēc gada pārbaudi var vērst uz tēmu, kas konkrētajā gadā ir aktuālākā. Atsevišķa pienākuma pārbaudīt tieši cilvēka faktoru likumā nav. Kad testēšana ir obligāta un kad nav, apskatīts rakstā vai ielaušanās testēšana ir obligāta.

HAXORIS ir Slovākijā reģistrēts uzņēmums, un Latvijā tam nav ne biroja, ne pārstāvniecības. Neveicam NKDL 44. pantā noteikto atbilstības auditu. Piedāvājam tehnisku drošības testēšanu un gatavības novērtēšanu.

Kopsavilkums

OSINT un MI ir bīstams apvienojums. Publiski pieejamā informācija dod materiālu, MI no tā izveido ticamu stāstu, un cilvēks zem laika spiediena kļūdās. Latvijā pirmais posms ir īsāks nekā daudzviet citur, jo daļa organizācijas shēmas jau ir salikta valsts reģistros.

Labā ziņa ir tā, ka risku var samazināt, nepazūdot no interneta. Pietiek ar pieņēmumu, ka viss publiskotais ir izmantojams arī pret pašu organizāciju, un ar vienu pārbaudes soli, kas neatkarīgi no ziņas satura paliek nemainīgs.

Pirms publicēšanas ir vērts uzdot vienu jautājumu: vai šī informācija vairāk palīdz klientiem, vai tomēr uzbrucējam?

OSINT un sociālā inženierija – biežāk uzdotie jautājumi

Saistītie Haxoris pakalpojumi: sociālās inženierijas testi un pikšķerēšanas simulācijas