OSINT i AI: jak atakujący wykorzystują dane publiczne
·Atak rzadko zaczyna się od łamania haseł. Zaczyna się od czytania: atakujący sprawdza, co firma i jej pracownicy sami o sobie opublikowali.
To OSINT, po polsku biały wywiad – zbieranie informacji z otwartych źródeł. Nie z wykradzionych baz, tylko z danych publicznych, które w internecie może znaleźć każdy.
OSINT i AI działają dziś razem. OSINT dostarcza materiału do phishingu, vishingu, oszustw z deepfake’ami i całej socjotechniki, a AI skraca robotę: z rozsypanych okruchów informacji układa wiarygodną wiadomość, scenariusz rozmowy albo fikcyjny kontekst biznesowy.
Szerszy obraz opisujemy w artykułach o AI jako narzędziu atakującego, o tym, czym jest phishing AI, oraz o rozpoznawaniu oszustw głosowych.
Czym są dane publiczne?
Częsta reakcja brzmi: „przecież nie publikuję niczego wrażliwego”. Atakujący rzadko szuka jednej wielkiej tajemnicy. Zbiera kawałki układanki.
Do danych publicznych zaliczają się:
- imiona i nazwiska pracowników,
- stanowiska,
- struktura organizacyjna,
- format firmowych adresów e-mail,
- numery telefonów,
- zdjęcia z biura, konferencji i wydarzeń,
- ogłoszenia o pracę i wymienione w nich technologie,
- listy klientów, dostawcy i informacje prasowe,
- komentarze i posty pracowników na LinkedInie,
- dokumenty, prezentacje oraz dane z KRS i CEIDG.
Każdy z tych elementów osobno wygląda niegroźnie. Razem składają się na dokładny obraz firmy: kto w niej pracuje, nad czym, z kim i co jest teraz priorytetem. Dlatego cyfrowy ślad to temat bezpieczeństwa, a nie tylko marketingu.
Jak atakujący układa historię
Prosty scenariusz. Firma chwali się na LinkedInie nowym kontraktem. Pracownicy komentują wpis, jeden z nich ma w profilu „project manager”. Na stronie firmowej są dane kontaktowe. W ogłoszeniu o pracę pada nazwa konkretnego systemu CRM. Na zdjęciu z biura widać nazwę dostawcy.
Tyle wystarczy, żeby napisać wiadomość, która nie budzi podejrzeń:
„Cześć Marcin, przesyłam zaktualizowany eksport z systemu CRM dla nowego klienta z logistyki. Zerknij jeszcze dziś, bo jutro mamy termin”.
To zupełnie inna liga niż masowy phishing. Jest imię, projekt, narzędzie i kontekst pracy. Wszystko się zgadza.
Co zmienia AI
AI szybko przerabia rozproszone szczegóły na wiarygodny tekst. Atakujący wrzuca zebrane dane do modelu i prosi o mail do księgowości, spersonalizowaną wiadomość na LinkedInie, scenariusz rozmowy telefonicznej albo korespondencję udającą dostawcę.
Model dopasuje też ton: oficjalny, koleżeński, zwięzły, zarządczy albo techniczny. Napisze bez błędów językowych i doda dokładnie tyle szczegółów, żeby całość brzmiała prawdziwie.
Dlatego literówki i koślawa polszczyzna przestały być wiarygodnym sygnałem ostrzegawczym. Phishing AI bywa napisany lepiej niż zwykły firmowy mail.
Czym jest pretexting?
Pretexting to zmyślony powód, który ma skłonić ofiarę do działania. Atakujący wymyśla historię i wciela się w rolę.
Może podawać się za:
- nowego dostawcę,
- klienta,
- kolegę z innego działu,
- dział IT,
- kuriera,
- audytora,
- kandydata do pracy,
- przełożonego albo pracownika banku.
Dobry pretekst nie jest dramatyczny. Jest zwyczajny i wpisuje się w normalny dzień pracy. Właśnie dlatego działa.
Przykłady ataków z użyciem OSINT
Phishing przez LinkedIn
Atakujący wybiera pracownika. Sprawdza jego rolę, komentarze, znajomych i zainteresowania, a potem pisze jako rekruter, partner biznesowy albo uczestnik tej samej konferencji.
Celem bywa fałszywa strona logowania, szkodliwy plik albo samo zbudowanie zaufania pod kolejny krok.
Oszustwo na zmianę numeru konta
Atakujący ustala, kto odpowiada za finanse i z jakimi dostawcami firma współpracuje. Wysyła wiadomość, która wygląda jak prośba dostawcy o zmianę numeru rachunku. Bez weryfikacji przelew może trafić na konto oszusta.
Fałszywe wsparcie techniczne
Ogłoszenia o pracę często zdradzają, z jakich systemów korzysta firma. Atakujący dzwoni do pracownika i podaje się za wsparcie tego narzędzia: „Dzień dobry, dzwonię w sprawie systemu CRM. Dziś mamy migrację i muszę potwierdzić, czy dostęp działa”.
Materiał na deepfake
Publiczne nagrania i podcasty mogą zawierać próbki głosu kadry zarządzającej, a te wystarczą do przygotowania oszustwa głosowego. Im więcej materiału krąży w sieci, tym mniej pracy zostaje atakującemu.
Jak ograniczyć cyfrowy ślad firmy, nie znikając z internetu
Nie chodzi o to, żeby przestać komunikować. Firma potrzebuje marketingu, sprzedaży, LinkedIna i strony, na której widać, komu można zaufać. Chodzi o to, żeby publikować świadomie.
Dla pracownika
- Nie opisuj publicznie wewnętrznych procesów.
- Zastanów się, czy każde narzędzie pracy musi być wymienione w profilu.
- Traktuj wiadomości od nieznanych osób z rezerwą.
- Nie klikaj w linki z LinkedIna bez weryfikacji nadawcy.
- Sprawdzaj, co widać na zdjęciach: ekrany, identyfikatory, tablice, dokumenty wewnętrzne.
- Nie wysyłaj dokumentów służbowych z prywatnych kont.
Dla firmy
- Przejrzyj, co publikuje strona firmowa.
- Usuń zbędne szczegóły techniczne z ogłoszeń o pracę.
- Ustal zasady publikowania zdjęć z biura.
- Przeszkol zespół z socjotechniki i OSINT, najlepiej na scenariuszach z realnych testów socjotechnicznych.
- Wprowadź weryfikację przy płatnościach i zmianach danych do przelewu.
- Obserwuj domeny łudząco podobne do firmowej.
- Ułatw pracownikom zgłaszanie podejrzanych wiadomości.
Dlaczego LinkedIn działa w dwie strony
LinkedIn jest przydatny: buduje markę, pomaga sprzedawać, rekrutować i dzielić się wiedzą. Jednocześnie jest znakomitym źródłem informacji dla atakującego.
To nie znaczy, że trzeba z niego zrezygnować. Znaczy, że warto pomyśleć, co się na nim pisze. Wpis w stylu „nasz dział finansowy pracuje nad dużym audytem z zewnętrznym dostawcą” dla marketingu jest neutralny, dla atakującego – to gotowy pretekst.
Zasada jest prosta: chwal się efektami, a nie tym, jak firma działa od środka.
Lista kontrolna dla marketingu i HR
Marketing i HR publikują najwięcej, więc potrzebują prostej listy pytań.
Zanim opublikujesz, sprawdź:
- Czy na zdjęciu widać ekrany, dokumenty albo notatki?
- Czy zestawiamy nazwiska z konkretnymi systemami?
- Czy nie zdradzamy za dużo o używanych technologiach?
- Czy widać, kto zatwierdza płatności i dostępy?
- Czy z tego wpisu da się zbudować pretekst do kontaktu?
- Czy na bieżąco informujemy o urlopach i nieobecnościach osób decyzyjnych?
Podsumowanie
OSINT i AI to groźne połączenie. Dane publiczne dają atakującemu materiał, AI składa z niego wiarygodną historię, a człowiek pod presją może popełnić błąd.
Dobra wiadomość: ryzyko da się ograniczyć. Nie trzeba znikać z internetu. Trzeba przyjąć, że wszystko, co publiczne, ktoś może wykorzystać przeciwko Twojej firmie.
Ta sama logika dotyczy rodzin i szkół – zdjęcia, profile i publiczne wpisy wpływają na prywatność i na ryzyko podrobionych treści.
Przed publikacją warto zadać jedno pytanie: czy ta informacja bardziej pomaga naszym klientom, czy atakującemu?
