OSINT: Jak nasze dane są wykorzystywane?
Korporacje często korzystają z białego wywiadu podczas fuzji firm, aby lepiej poznać przyszłych wspólników czy klientów. Dzięki temu nie tylko łatwiej podjąć decyzję dotyczącą połączenia przedsiębiorstw, ale także przygotować się na potencjalne problemy w przyszłości. OSINT na osobie prywatnej może być przeprowadzany w celu weryfikacji tożsamości lub pozyskania prywatnych informacji. Najczęściej nie dzieje się to bez powodu, a potencjalnymi ofiarami są osoby, które wzbudziły zainteresowanie konkretnych jednostek.
Dla każdego człowieka udostępniane dane mają inną wartość i znaczenie. Często w sposób nieprzemyślany ludzie publikują informacje o sobie oraz swoje statusy. W dzisiejszych czasach wszystko to może być wykorzystane w niecnych celach przez cyberprzestępców.
Jak to robią? Skąd to mają? O tym dalej w dzisiejszym artykule.
Social media
Social media mogą dużo o nas powiedzieć. To źródło dostarcza informacji, którymi się dzielimy: miejsce zamieszkania, wykształcenie, praca, dzieci. Jeśli dodajemy zdjęcie z wakacji to informacją, jaką chcemy przekazać, jest: “hej, odpoczywam i dobrze się bawię w resorcie lub na plaży”.
Przestępca rozumie to inaczej: “hej, wyjechałem za granicę, w ciągu najbliższych dni nie ma mnie w domu i możesz mnie okraść”. Oczywiście, że nie mamy takiego zamiaru, ale ostatecznie informujemy, że jesteśmy na wakacjach. W tej sytuacji cyberprzestępca może zadzwonić do firmy, w której pracujemy i podszyć się pod naszego znajomego. Z pewnością nikt nie będzie niepokoił osoby na zasłużonym urlopie i może udzielić poufnych informacji dzwoniącemu.
Słabym ogniwem są także nasi znajomi. Nawet jeśli my nie dzielimy się szczegółami ze swojego życia, to oznaczenia nas na zdjęciach czy w postach przyjaciół udzielają wielu informacji na nasz temat: gdzie lubimy przebywać, w jakim towarzystwie oraz jaki jest nasz środek komunikacji. Jeśli na fotografiach znajdują się elementy, takie jak nazwy ulic lub rejestracje samochodowe, cyberprzestępcy są w stanie określić lokalizację, w której wykonano zdjęcie.
W ten sposób dzielimy się nie tylko naszym wizerunkiem, ale i miejscem, w jakim przebywaliśmy. Poza tym, jeśli upubliczniamy zdjęcia z numerami rejestracyjnymi pojazdu, to na ich podstawie można w łatwy sposób sprawdzić szczegóły ubezpieczenia właściciela na stronie Ubezpieczeniowego Funduszu Gwarancyjnego.
Aby ułatwić proces namierzania ofiary, można wykorzystać specyficzne elementy architektoniczne, udostępniając ich wycinek w popularnych wyszukiwarkach obrazów. Przydatnymi narzędziami tego typu mogą być Google Search oraz Yandex Image Search. Jeśli cyberprzestępcy chcą znaleźć inne zdjęcia ofiary, mogą skorzystać z programów TinEye oraz PimEyes. Są to wyszukiwarki twarzy, które przeszukują internet i znajdują podobne obrazy. Z kolei Stolen Camera Finder pozwala na pozyskanie innych fotografii wykonanych za pomocą jednego urządzenia. Określa je na podstawie numeru seryjnego umieszczonego w metadanych zdjęcia.
Powinniśmy zwracać uwagę, czy publikując zdjęcia lub inne informacje w naszych mediach społecznościowych, nie dzielimy się zbyt szczegółowymi danymi na nasz temat oraz czy nie mogą być one wykorzystane przeciwko nam.
Wycieki danych
Dość prostym sposobem na pozyskanie wrażliwych informacji są wycieki danych dużych firm, czego przykładem w ostatnich miesiącach były ALAB, PandaBuy, czy Medily. Kompromitacja danych klientów to prawdziwy strzał w kolano oraz utrata zaufania do świadczonych usług, ale nie tylko. Ich pokłosiem jest również figurowanie w internetowych archiwach, gdzie znajdzie się numery telefonów, adresy poczty elektronicznej, a czasem nawet numery PESEL.
W ten sposób cyberprzestępca może wiedzieć naprawdę wiele na nasz temat, ponieważ numer PESEL zawiera często datę urodzenia oraz płeć. Co więcej, jeśli osoba na celowniku będzie mieć oznaczoną rodzinę na Facebooku, skąd w łatwy sposób określić nazwisko panieńskie matki, to po zebraniu wspomnianych danych jesteśmy posiadaczami wszystkich elementów weryfikowanych na infolinii w większości banków.
Pewnego rodzaju zabezpieczeniem jest niepodawanie swoich prywatnych danych, jeśli nie jest to wymagane. W przypadku, gdy nie kierujemy wysyłki na nasz adres, nie ma potrzeby dzielenia się naszym miejscem zamieszkania oraz prawdziwym imieniem i nazwiskiem. Warto wtedy skorzystać z pseudonimu oraz innych fikcyjnych informacji. Ważne jest także, by nie powielać haseł do naszych kont w mediach, ponieważ w przypadku ich wycieku narażone będą wszystkie profile, gdzie użyliśmy danej frazy lub kombinacji znaków.
Bardzo popularnym rozwiązaniem jest menedżer haseł, który przechowuje je wszystkie wraz z loginami i stronami internetowymi, gdzie zostały wykorzystane. Warto także korzystać z różnych pseudonimów oraz różnych adresów poczty elektronicznej, w ten sposób trudno cyberprzestępcom łączyć nasze dane z konkretnymi kontami.
Inżynieria społeczna
Manipulacja ludźmi w celu uzyskania poufnych informacji jest również popularnym sposobem na pozyskanie danych zastrzeżonych. W ostatnich latach znacząco wzrosła częstotliwość telefonów od “konsultantów z banku” lub innych zaufanych osób. Pod przykrywką wiarygodnych postaci cyberprzestępcy wyłudzają wiele danych.
Dobrym przykładem jest wstępna weryfikacja, gdzie podajemy naprawdę istotne szczegóły na nasz temat. Wiele banków zabezpiecza się przed takimi przypadkami, są jednak mniej świadomi użytkownicy, którzy zaufają osobie po drugiej stronie telefonu.
Innym sposobem są maile phishingowe, w których oszuści podają się za znane firmy lub instytucje. Często w ten sposób uzyskują dane logowania do platform, prosząc o podanie loginu i hasła w celu weryfikacji konkretnej osoby i jej konta użytkownika. Cyberprzestępcy wykorzystują kody źródłowe popularnych stron internetowych lub ich szablony wiadomości e-mail, aby upodobnić swoje “strony logowania” i komunikaty do kojarzonych już przez nas marek.
Podczas interakcji z nieznajomymi, którzy proszą nas o udostępnienie prywatnych lub poufnych informacji, powinniśmy zachować czujność. Może się okazać, że jesteśmy ofiarami ataku przeprowadzonych z pomocą inżynierii społecznej i ktoś próbuje nas oszukać.
Rekonesans aktywny
Zagłębiając się w bardziej zaawansowane metody białego wywiadu, warto omówić techniczne sposoby na zdobycie informacji o celu, a właściwie szczegółów jego systemu. Rekonesans aktywny wyróżnia się tym, że nie wyklucza interakcji, aby pozyskać dane na temat potencjalnej ofiary.
Adres URL strony organizacji pomaga w ustaleniu wielu szczegółów dotyczących jej posiadacza oraz oprogramowania, jakie jest na niej wykorzystywane. Narzędzie BuiltWith pozwala określić jakie rozwiązania technologiczne znajdziemy na stronie, a z nimi ich numery wersji, co informuje czy software i wtyczki są aktualne. W przypadku braku wsparcia bezpieczeństwa od producenta nasi goście są w stanie wskazać konkretne podatności. W kolejnym etapie mogą je wykorzystać w celu uzyskania nieautoryzowanego dostępu do systemu i informacji poufnych.
Na podstawie domeny firmy każdy jest w stanie określić adres IP, na jakim umieszczone są serwisy organizacji, a wykorzystać do tego można popularne narzędzia, takie jak: DNS Dumpster, Host czy Whois. Znając ten unikalny numer nadawany wszystkim urządzeniom elektronicznym podłączonym do sieci, można przejść do skanu wybranego celu.
Polega to na wysyłaniu pakietów do konkretnego adresu IP, a następnie przeanalizowaniu otrzymanych od niego odpowiedzi. Popularnym skanerem tego typu jest narzędzie Nmap, które pozwala na uzyskanie informacji o otwartych portach, oferowanych przez hosta usługach, czy nawet systemie operacyjnym obsługującym urządzenia ofiary.
Po takim rekonesansie cyberprzestępcy wiedzą jaki wektor ataku można zastosować, by uzyskać dostęp do danych lub spowodować ich wyciek. Dlatego warto posiadać aktualne oprogramowanie wspomnianych systemów.
Podsumowanie
Korzystając z nieograniczonych możliwości internetu, ważne jest, aby jego użytkownicy zdawali sobie sprawę z potencjalnych zagrożeń, które na nich czekają. Z racji, że przestępcy wykorzystują wiele metod pozyskiwania informacji, nie ma złotego środka na bezpieczeństwo w cyberprzestrzeni. Nie zmienia to faktu, że czujność, ograniczenie udostępniania prywatnych informacji oraz bezpieczne hasła, mogą zwiększyć naszą ochronę przed kradzieżą tożsamości oraz manipulacjami.