מה האקר יכול ללמוד על העסק שלכם מהמידע הציבורי (OSINT בשפה פשוטה)

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי או הנחיה מקצועית מותאמת לארגון שלכם.

ההכנה לפני ההודעה

הודעת פישינג משכנעת לא נכתבת בחלל ריק. תוקף ממוקד מבין מי עובד איפה, מי מאשר תשלומים, מי הספקים, ואיך נראית הכתיבה של הארגון. את רוב המידע הזה הוא יכול לקבל ממקורות גלויים. טכניקה זו נקראת OSINT (Open Source Intelligence). המטרה במאמר אינה ללמד איך לאסוף מידע, אלא להבין מה גלוי בדרך כלל ולהחליט מה לעשות עם זה.

מה אפשר ללמוד בדרך כלל

(בדוגמאות שלהלן לא מדובר במקרים אמיתיים.)

• מבנה הארגון: עמוד "הצוות" באתר, פרופילים מקצועיים ורשתות חברתיות חושפים שמות, תפקידים ולעיתים יחסי כפיפות. מי שרוצה להתחזות ל"מנהל" יודע מיהו.
• כתובות מייל: כתובות מופיעות באתר, במסמכים ובמודעות. גם כשאינן מופיעות, אפשר לעיתים להסיק את התבנית (שם.משפחה@) מכתובת אחת.
• ספקים ולקוחות: לוגואים באתר, הודעות על שיתופי פעולה וסיפורי הצלחה מגלים עם מי עובדים. הודעה "מהספק" תהיה משכנעת יותר.
• טכנולוגיות בשימוש: מודעות דרושים שמציינות מערכות ("ניסיון עם...") מרמזות על הסביבה.
• שגרה ואירועים: פוסטים על כנסים, חופשות ותקופות עומס. הודעה "דחופה" שמגיעה כשהמנהל בנסיעה מתאימה לתוקף.
• מסמכים שפורסמו: קבצי PDF ומצגות כוללים לעיתים מטא-דאטה, כמו שם יוצר או תוכנה בשימוש.
• הדומיין עצמו: רשומות DNS ציבוריות מגלות, למשל, באיזה שירות מייל משתמשים. ראו מה רואים מבחוץ.

למה זה משנה

מידע בודד הוא תמים. ביחד הוא מאפשר ליצור הודעה אישית שנראית אמינה, כמו "היי דנה, בהמשך לשיחה עם המנהל, אני שולח את החשבונית החדשה של הספק". ככל שההודעה מדויקת יותר, קשה יותר לחשוד. זו הסיבה שהודעות ממוקדות הצליחו לעבור גם על עובדים זהירים.

איך מקטינים את החשיפה בלי להפסיק לשווק

לא צריך להעלים את הארגון מהרשת. מספיק לבחור מה גלוי ובאיזה פירוט:

1. כתובות מייל באתר: להעדיף כתובת כללית (info@) וטופס צור קשר, ולא כתובות אישיות של עובדים בתפקידים רגישים כמו הנהלת חשבונות.
2. עמוד צוות: להציג מה שחשוב ללקוחות, ולהימנע מפירוט מיותר, כגון מי אחראי על תשלומים.
3. מודעות דרושים: לתאר את התפקיד בלי למנות כל מערכת פנימית.
4. מסמכים: לנקות מטא-דאטה לפני פרסום קבצים.
5. רשתות חברתיות של עובדים: להסביר, בלי לאכוף, מה כדאי לא לפרסם: נוהלי עבודה, תמונות של מסכים, תעודות עובד.
6. חשבונות ישנים ודפים נשכחים: לסגור פרופילים ודומיינים שלא בשימוש.

מה זה אומר לעובדים

הנקודה החשובה ביותר היא לא להסתיר הכול, אלא ללמד שהודעה יכולה להיות מדויקת ועדיין מזויפת. הכלל הפשוט: פרטים נכונים בהודעה אינם הוכחה שהיא אמיתית. בקשה חריגה, בעיקר לתשלום או לפרטים, מאומתת בערוץ אחר. ראו איך מזהים מייל פישינג.

תרגיל קטן לבעל עסק

שבו שעה אחת, והתחזו לתוקף שאין לו מידע פנימי. חפשו את הארגון בגוגל ובפרופילים מקצועיים, ורשמו: מה אפשר ללמוד על מבנה הארגון, על הספקים ועל אנשי המפתח? מה מיותר? מה היה עוזר לכם לכתוב הודעה משכנעת? רשימה כזו היא בסיס טוב לשיחה עם הצוות.

ומה עם הצד הטכני

מעבר למידע האנושי, יש מידע טכני גלוי על הדומיין. אם הוא לא מוגן מפני התחזות, תוקף יכול לשלוח הודעה שנראית כאילו יצאה ממנו. הגדרת SPF, DKIM ו-DMARC מקשה על כך, ראו המדריך.

שלוש שאלות לשאול לפני פרסום משהו חדש

כדי שלא תצטרכו לעשות ניקיון גדול כל כמה שנים, אפשר לאמץ הרגל קטן. לפני שמפרסמים עמוד, מודעה או מסמך, שואלים: האם המידע הזה נחוץ ללקוח או למועמד? האם הוא חושף שמות, תפקידים או מערכות שלא חייבים לחשוף? ואם מישהו יבנה ממנו הודעה מזויפת, איזו הודעה זו תהיה? שאלה שלישית זו מתאימה במיוחד לאנשי שיווק ומשאבי אנוש, שמפרסמים הרבה ושלא תמיד חושבים על זה.

מה לא לעשות

• לא להעלים את הארגון מהרשת. לקוחות ומועמדים צריכים למצוא אתכם.
• לא לעקוב אחרי עובדים ברשתות החברתיות הפרטיות שלהם בלי בסיס ברור. אפשר להסביר ולהמליץ, ולהתייעץ עם עורך דין לפני כל מדיניות בנושא.
• לא להניח שמה שנמחק נעלם. תוכן שפורסם עשוי להישאר בארכיונים ובעותקים.
• לא להסתפק בצמצום חשיפה. גם מידע מינימלי מספיק לעיתים לבניית הודעה, ולכן ההגנה החשובה היא נוהל אימות והדרכה.