ГК Softline о цифровом следе руководителей: почему открытая информация становится оружием

Чтобы атаковать компанию, злоумышленнику не всегда нужно сначала взламывать ее инфраструктуру. Иногда достаточно изучить людей, которые принимают решения, распоряжаются ресурсами или имеют доступ к значимой информации.

У руководителя может быть публичный профиль в социальной сети, выступления на конференциях, фотографии с мероприятий, информация о деловых связях. Отдельно эти сведения вряд ли выглядят опасными. Но если собрать их вместе, можно получить довольно подробный профиль человека: с кем он общается, чем интересуется, где бывает и через кого с ним проще всего выйти на связь.

По опыту Softline, именно такой цифровой след становится одним из источников для подготовки целевых атак на первых лиц компаний. Речь идет о генеральных директорах, собственниках бизнеса, руководителях подразделений, членах советов директоров, топ-менеджерах и публичных спикерах.

Атака на такого человека может иметь последствия далеко за пределами его личного аккаунта. Через него злоумышленники могут попытаться получить доступ к корпоративным ресурсам, информации или бизнес-процессам.

Как массовый фишинг превратился в персональную атаку

Первые широко распространенные схемы атак на руководителей начали активно развиваться еще в 2010-х годах. Электронная почта оставалась основным каналом деловой коммуникации, поэтому одним из типовых сценариев были письма от имени руководителя или другого вышестоящего сотрудника.

Сотруднику могли написать с просьбой срочно перевести деньги, отправить документы или выполнить другое поручение.

Со временем злоумышленники получили больше каналов для коммуникации. Рабочая переписка частично переместилась в социальные сети и мессенджеры, туда же пришли и мошеннические схемы.

Изменился и сам подход к подготовке атаки. Если массовый фишинг предполагает рассылку большого количества похожих сообщений, то персональная атака начинается с изучения конкретного человека.

Злоумышленник может собрать информацию о его профессиональной деятельности, окружении, интересах и привычках, а затем использовать ее для сценария социальной инженерии. Чем больше контекста удалось собрать, тем убедительнее может выглядеть обращение.

В 2020-х годах эту проблему дополнили технологии искусственного интеллекта. Они используются для создания более убедительных текстов, имитации голоса и формирования видеоматериалов с подменой личности.

В Softline мы рассматриваем это как изменение самого подхода к социальной инженерии: атакующему уже недостаточно знать имя и должность человека. Чем точнее он понимает контекст, в котором работает и общается потенциальная жертва, тем более правдоподобным может быть сценарий.

Почему информация из интернета становится проблемой для компании

Перед атакой злоумышленник может провести OSINT-исследование: собрать и сопоставить информацию из открытых источников.

Какая-то часть данных о руководителе и так доступна публично. ФИО, должность, фотографии, публикации, выступления, профессиональные связи — все это может находиться в интернете совершенно легально.

Сам по себе факт публикации такой информации еще не означает наличие уязвимости, проблема возникает в момент, когда отдельные сведения складываются в единую картину.

По опыту Softline, при анализе цифрового следа важно смотреть не только на отдельные найденные данные, но и на связи между ними. Например, одна публикация может показать профессиональное окружение, другая — интересы человека, третья — место проведения мероприятия. В совокупности такие сведения могут дать злоумышленнику больше возможностей для социальной инженерии.

Поэтому вопрос для бизнеса звучит не только как «что о нашем руководителе можно найти?». Важнее понять, что из найденного можно использовать в атаке.

Как проверить цифровой след первого лица

Самый практичный подход — не ждать, пока найденная информация станет частью инцидента, а заранее проверить, какой цифровой след уже существует.

В ГК Softline для этого используется комплексное исследование цифрового следа первого лица в рамках услуги CYBERID команды DRP-сервиса CYBERDEF Infosecurity.

Работа начинается с исходных данных о проверяемом человеке. Затем специалисты исследуют публичные и специализированные источники, где может находиться информация о руководителе.

В ходе анализа могут проверяться:

• поисковые системы;
• социальные сети;
• мессенджеры;
• СМИ;
• открытые базы данных;
• сервисы определения номеров;
• специализированные площадки;
• утечки персональных данных;
• инструменты искусственного интеллекта;
• другие доступные источники, включая ресурсы с ограниченным доступом.

Отдельное направление — поиск персональных данных, которые уже могли попасть в открытый доступ. Это могут быть номера телефонов, адреса электронной почты, документы и другие сведения, которые потенциально пригодны для подготовки атаки или мошеннической схемы.

Еще одна задача — обнаружить фейковые аккаунты и профили, которые используют цифровую личность руководителя.

Но собрать список найденных данных недостаточно.

По мнению экспертов Softline, следующий шаг должен отвечать на более практический вопрос: как именно эти сведения могут быть использованы против человека и компании?

Поэтому на следующем этапе специалисты моделируют потенциальные сценарии атак. Они определяют, какие данные могут использоваться для социальной инженерии, через кого злоумышленник потенциально может выйти на компанию и какие меры способны снизить риск.

По итогам исследования формируется оценка рисков и рекомендации по их устранению. При необходимости работа может продолжаться в формате реагирования и регулярного мониторинга.

Можно ли удалить цифровой след полностью

Фраза «все, что попало в интернет, остается там навсегда» хорошо описывает проблему, но не означает, что с цифровым следом бессмысленно работать. Часть информации действительно может быть практически невозможно удалить. Например, если персональные данные уже попали в крупную утечку и начали распространяться между разными источниками.

Но некоторые сведения можно убрать или ограничить в открытом доступе. В Softline мы рекомендуем рассматривать такую работу как снижение доступности информации, а не как попытку стереть человека из интернета. Можно добиваться удаления документов из поисковой выдачи, если они содержат персональные данные, ограничивать публикацию отдельных сведений и менять настройки конфиденциальности социальных сетей.

Это не гарантирует, что злоумышленник не сможет найти информацию другим способом. Но сокращение объема доступных данных усложняет подготовку атаки и уменьшает количество возможных сценариев ее реализации.

Есть и еще одна проблема: человек может просто не знать, какой информации о нем уже достаточно для построения такого сценария.

Именно поэтому, по опыту Softline, проверка цифрового следа должна начинаться не с вопроса «что мы хотим удалить?», а с вопроса «что уже доступно и какую угрозу это создает?».

Разовая проверка или постоянный контроль

Цифровой след не остается неизменным: появляются новые публикации, аккаунты и утечки, меняется информация о профессиональной деятельности и окружении человека. Поэтому разовая проверка показывает ситуацию только на конкретный момент.

По мнению Softline, этого может быть недостаточно для компаний, чьи руководители регулярно становятся объектом публичного внимания. Постоянный контроль позволяет отслеживать изменения и реагировать на них до того, как найденные данные будут использованы в атаке.

При этом разовая проверка тоже имеет практическую ценность. Она дает отправную точку: компания получает представление о том, какие сведения уже доступны, где находятся потенциальные риски и какие из них требуют внимания в первую очередь.

В Softline мы рассматриваем эти два подхода как разные уровни работы с цифровым следом. Разовая оценка помогает получить исходную картину. Мониторинг позволяет отслеживать ее изменения.

Цифровой след нужно рассматривать как поверхность атаки

Публичность сама по себе не является уязвимостью. Проблема начинается там, где доступные сведения складываются в сценарий, которым можно воспользоваться.

По опыту Softline, именно поэтому цифровой след первых лиц стоит оценивать не как набор ссылок на социальные сети и публикации, а как часть поверхности атаки компании.

Важно понимать три вещи: что о человеке уже известно, как эта информация может быть использована и какие действия способны снизить риск.

Такой подход меняет и саму задачу. Компания не пытается добиться невозможного и полностью удалить информацию о руководителе из интернета. Она сокращает объем данных, которые можно использовать против бизнеса, контролирует новые риски и заранее готовится к возможным сценариям социальной инженерии.

Для первых лиц компании это особенно важно: один публичный профиль редко выглядит как серьезная угроза. Но именно из множества таких небольших фрагментов может складываться информация, которой достаточно для хорошо подготовленной атаки.

По мнению экспертов Softline, задача бизнеса в этом случае заключается не в том, чтобы спрятать руководителей от интернета. Гораздо важнее понимать, какой цифровой образ уже видит потенциальный атакующий, какие возможности для воздействия он дает и что компания может изменить до того, как эти данные окажутся частью инцидента.