OSINT (Open Source Intelligence), znany również jako biały wywiad, jest to systematyczne zbieranie i analiza informacji z ogólnodostępnych źródeł: Internetu, mediów społecznościowych, rejestrów publicznych, materiałów marketingowych.
OSINT dotyczy każdego, nawet jeśli nie ma nic wspólnego z IT, bo opiera się na tych samych informacjach, które codziennie sami publikujemy w Interncie. Korzystają z niego służby, dziennikarze, firmy, ale tak naprawdę każdy z nas robi „mały OSINT”, gdy sprawdza opinie o restauracji, weryfikuje sprzedawcę w Internecie czy szuka informacji o lekarzu. W tym artykule pokażę krok po kroku, jakie dane o Twojej firmie można zwykle zebrać przed atakiem oraz co możesz zrobić, żeby ograniczyć szanse na ich wykorzystanie.
1. Czym jest OSINT z perspektywy atakującego
Z punktu widzenia atakującego OSINT to faza rozpoznania (reconnaissance), czyli etap poprzedzający właściwy atak techniczny czy socjotechniczny. Celem jest zbudowanie jak najbardziej szczegółowego obrazu organizacji: jej struktury, technologii, procesów, pracowników oraz potencjalnych słabych punktów. Co istotne, na tym etapie zwykle nie dochodzi jeszcze do łamania prawa ani naruszania systemów – napastnik bazuje wyłącznie na tym, co firma sama lub jej otoczenie o niej ujawnia.
Zaczyna się od jasnego zdefiniowania celu. Najczęściej jest to konkretna firma czy grupa firm z danego sektora albo określony typ organizacji. Dopiero mając taki dobrze zarysowany punkt odniesienia, napastnik może świadomie zdecydować, jakie informacje będą dla niego najcenniejsze.
Zamiast szukać „czegokolwiek”, atakujący precyzuje, czego chce się dowiedzieć: jakie technologie są używane w organizacji, kto odpowiada za płatności i przelewy, jak wygląda łańcuch dostaw, czy firma korzysta z zewnętrznych dostawców IT albo jak zorganizowana jest obsługa klienta. Takie pytania kierują późniejsze działania i sprawiają, że z pozornie nieistotnych szczegółów zaczyna się wyłaniać sensowny obraz.
Dopiero na tym etapie rozpoczyna się właściwe zbieranie informacji z wybranych źródeł takich jak strony internetowe, social media, publiczne rejestry, prezentacje z konferencji, materiały marketingowe czy ogólnodostępne skanery usług.
Jednym z najbardziej rozpoznawalnych narzędzi wykorzystywanych w OSINT jest Shodan – wyszukiwarka, która zamiast klasycznych stron internetowych indeksuje urządzenia podłączone do sieci. Shodan zbiera banery usług i informacje o otwartych portach, dzięki czemu w jednej chwili można sprawdzić, czy organizacja „wystawia” na świat coś, co powinno pozostać schowane za firewallem na przykład systemy SCADA, nieaktualne serwery pocztowe czy testowe aplikacje webowe. W praktyce oznacza to, że nie trzeba samemu skanować całego Internetu, wystarczy dobrze dobrane zapytanie, by zobaczyć, jak organizacja wygląda z punktu widzenia ewentualnego atakującego.
Drugą grupą przydatnych zasobów są oficjalne rejestry publiczne. Dobrym przykładem jest polska baza CEIDG, czyli Centralna Ewidencja i Informacja o Działalności Gospodarczej. Z poziomu prostej wyszukiwarki można uzyskać pełny zestaw podstawowych danych o jednoosobowych działalnościach gospodarczych: imię i nazwisko przedsiębiorcy, nazwę firmy, NIP, REGON, adres głównego miejsca prowadzenia działalności, datę rozpoczęcia oraz aktualny status działalności. W kontekście OSINT takie informacje są nieocenione przy weryfikacji kontrahentów, małych dostawców czy podmiotów występujących w łańcuchu dostaw – pozwalają szybko odróżnić realnie istniejącą, zarejestrowaną firmę od tworu, który powstał wyłącznie na potrzeby oszustwa. Co ważne, wszystko to odbywa się w pełni legalnie, na podstawie danych udostępnianych przez państwo właśnie po to, by każdy mógł sprawdzić wiarygodność działalności gospodarczej.
Źródło: https://aplikacja.ceidg.gov.pl/CEIDG/CEIDG.Public.UI/Search.aspx
Kolejnym cennym źródłem informacji są portale z przetargami publicznymi, takie jak oficjalna platforma e-Zamówienia. Przeglądając ogłoszenia o zamówieniach, specyfikacje i wyniki przetargów, można zobaczyć, jakie projekty realizuje dana organizacja, z jakimi dostawcami współpracuje, jakie technologie kupuje oraz w jakich branżach działa. Napastnik może wykorzystać te dane, aby lepiej podszyć się pod konkretnego wykonawcę lub dopasować socjotechnikę do bieżących tematów, które „żyją” w organizacji. Sama treść przetargów zdradza czasem więcej o wewnętrznej architekturze i potrzebach niż oficjalne materiały marketingowe.
Źródło: https://ezamowienia.gov.pl/mo-client-board/bzp
OSINT to jednak nie tylko firmy i urządzenia, ale także ludzie. W tym obszarze pojawiają się narzędzia wyspecjalizowane w analizie nickname’ów i obecności w social mediach, takie jak NAMINT. Prosty serwis pozwalający przeszukać różne platformy pod kątem konkretnej nazwy użytkownika. Wpisując pseudonim używany na jednym forum czy portalu, można sprawdzić, czy ta sama nazwa pojawia się w innych serwisach, co często umożliwia powiązanie rozproszonych profili tej samej osoby. W ten sposób jesteśmy w stanie zbudować pełniejszy obraz aktywności użytkownika: gdzie się wypowiada, jakie ma zainteresowania, z kim wchodzi w interakcje.
https://seintpl.github.io/NAMINT/
Zebrane dane rzadko od razu tworzą spójną całość; trzeba je zestawić ze sobą, powiązać i odsiać szum.
Dlatego następnym, kluczowym elementem procesu jest korelacja i analiza. Atakujący łączy ze sobą informacje o ludziach, technologii i strukturze firmy, uzupełnia brakujące fragmenty, weryfikuje sprzeczne dane i szuka wzorców – np. powtarzających się nazw systemów, ról, nazw hostów czy wątków w wypowiedziach pracowników. W efekcie powstaje możliwie realistyczny model funkcjonowania organizacji widzianej „z zewnątrz”.
Na koniec, na podstawie tak zbudowanego obrazu, tworzone są konkretne scenariusze ataku. Identyfikowane luki – techniczne (stare wersje oprogramowania, wystawione panele admina) i ludzkie (osoby decyzyjne, przewidywalne zwyczaje) – przekładają się na plan działania: kto będzie celem pierwszego kontaktu, jaką „historię” wykorzystać w socjotechnice, które systemy próbować zaatakować i w jakiej kolejności. W praktyce to właśnie ten uporządkowany proces sprawia, że późniejszy atak może wyglądać jak dobrze zaplanowana operacja, a nie przypadkowa próba szczęścia.
Wszystko to odbywa się, zanim ktoś spróbuje wysłać pierwszy złośliwy e-mail, uruchomić exploit czy zadzwonić z „pilną prośbą od prezesa”. Dlatego zrozumienie, co można o Twojej firmie znaleźć „na zewnątrz”, jest kluczowe dla realnej ochrony.
2. Publiczny wizerunek firmy
Pierwszym punktem zaczepienia dla atakującego jest zwykle oficjalna strona internetowa i wszystkie materiały, które wychodzą z działu marketingu, PR oraz HR. To właśnie tam organizacje najczęściej nieświadomie ujawniają szczegóły, które później ułatwiają atak.
Strona główna i podstrony firmowego serwisu są dla analityka OSINT jednym z najcenniejszych punktów startowych. Już pobieżne przejrzenie sekcji „O nas”, „Zespół” czy „Kontakt” pozwala odtworzyć podstawową strukturę organizacyjną: widać imiona i nazwiska, nazwy stanowisk, czasem numery telefonów i bezpośrednie adresy e-mail osób kluczowych dla działania firmy. Z punktu widzenia atakującego to gotowa lista potencjalnych celów.
Równie dużo mówią zwykłe dane kontaktowe. Ogólne adresy skrzynkowe typu biuro@, sekretariat@, rekrutacja@ czy support@ zdradzają podstawowe punkty wejścia do komunikacji z firmą, a numery telefonów, dokładne adresy fizyczne i informacje o godzinach pracy pozwalają lepiej zaplanować moment i formę kontaktu. To wszystko można później wykorzystać w socjotechnice np. podszywając się pod stałego kontrahenta, urząd czy firmę kurierską, która doskonale zna Wasze dane.
Jeszcze więcej informacji kryje warstwa techniczna strony. Analizując kod HTML, pliki JavaScript, nagłówki HTTP czy detale certyfikatów, można zwykle zidentyfikować, z jakiego systemu CMS korzysta firma (WordPress, Joomla, Wix itp.), jaka technologia serwera odpowiada za hostowanie aplikacjijakie wersje bibliotek i frameworków są używane oraz z jakimi zewnętrznymi usługami serwis się integruje. Dla napastnika to podpowiedź, jakie znane podatności mogą wchodzić w grę oraz jaki „scenariusz” przygotować, podszywając się pod dostawcę konkretnego rozwiązania.
Wreszcie, sekcje poświęcone klientom i partnerom – listy referencji, opisy case studies, logotypy współpracujących firm – budują obraz całego ekosystemu biznesowego. Na ich podstawie można zidentyfikować nie tylko pozycję w łańcuchu dostaw, ale też potencjalne „cele rozszerzone”, czyli kontrahentów, przez których łatwiej zaatakować organizację lub odwrotnie. W ten sposób z pozornie marketingowej treści powstaje bardzo konkretny szkic sieci powiązań, który można później przełożyć na scenariusze ataków łańcuchowych.
3. Ludzie: social media, portale zawodowe, prywatne profile
W kontekście OSINT drugim kluczowym obszarem są ludzie – pracownicy organizacji i ich aktywność w sieci. To, co firma stara się kontrolować w oficjalnych komunikatach, bardzo często jest nieświadomie „rozbrajane” przez prywatne profile, wpisy na portalach zawodowych, blogach czy forach technicznych. Najbardziej oczywistym miejscem, w którym widać ten aspekt, są portale zawodowe takie jak LinkedIn. Typowy profil pracownika zawiera aktualne stanowisko, nazwę zespołu, lokalizację biura, a często szczegółowy opis obowiązków. Pojawiają się tam sformułowania wprost wskazujące na utrzymanie konkretnych serwerów, administrację określonym systemem czy odpowiedzialność za wybrane obszary infrastruktury. Do tego dochodzi lista technologii, narzędzi i certyfikatów, z których łatwo wywnioskować, jakie rozwiązania są używane w organizacji na co dzień. Historia zatrudnienia pokazuje z kolei, z jakich firm pracownik przyszedł i jakie doświadczenia przeniósł do obecnego miejsca pracy, co pomaga lepiej zrozumieć kontekst branżowy. Na bazie takiej układanki ktoś przygotowujący atak może bez większego wysiłku wskazać osoby decyzyjne oraz osoby z dostępem do wrażliwych systemów, a następnie dobrać do nich odpowiedni scenariusz ataku. Jednych łatwiej zaatakować poprzez technicznie wyglądający e-mail od „dostawcy systemu ABC”, innych przez kontakt podszywający się pod rekrutera czy audytora, który zna ich rolę i zakres odpowiedzialności.
Jeszcze bardziej nieformalny, ale równie bogaty w dane, jest świat prywatnych profili na Facebooku, Instagramie czy X (dawniej Twitter). Tam pojawiają się zdjęcia z biura – nie tylko zespołowe fotki, lecz także ujęcia ekranów, tablic z rozpisanymi zadaniami, planami projektów czy nawet fragmentami map sieci. Widać informacje o codziennych zwyczajach: że w piątki wszyscy pracują z domu, że nocne dyżury pełni jedna konkretna osoba, że w określonych godzinach biuro jest puste. Wreszcie pojawiają się szczere opinie o narzędziach: narzekania na nowy system ticketowy czy komentarze o ciągle zrywającym się VPN-ie. Z czasem z takich drobiazgów wyłania się obraz, kiedy systemy są słabiej nadzorowane, które rozwiązania sprawiają najwięcej problemów oraz jak ogólnie wygląda kultura bezpieczeństwa.
Nie można też zapominać o miejscach, które z założenia są techniczne: portalach z pytaniami i odpowiedziami oraz repozytoriach kodu, takich jak GitHub, GitLab czy Stack Overflow. Publiczne projekty powiązane z firmą nierzadko zawierają fragmenty konfiguracji, pliki environment, przykładowe pliki ustawień testowych środowisk, a w skrajnych przypadkach nawet klucze API czy hasła, które miały być tymczasowe, ale nigdy nie zostały usunięte/zmienione. Pytania zadawane przez pracowników potrafią zdradzać bardzo konkretne problemy techniczne: opis modułu, który loguje specyficzne błędy, trudności z integracją określonego systemu, obejścia stosowane w praktyce. Dla osoby planującej atak to gotowe podpowiedzi, gdzie szukać słabych punktów. Znając typowe problemy i stosowane obejścia, można zaprojektować bardziej precyzyjny phishing („wiemy, że macie kłopot z modułem X, mamy skuteczne rozwiązanie”) albo próbować zbudować exploit ściśle dopasowany do opisywanej konfiguracji.
W wielu organizacjach to właśnie pracownicy są najsłabszym ogniwem, bo nieświadomie ujawniają detale, których firma sama nigdy by nie opublikowała.
4. Dokumenty i metadane
Publicznie dostępne dokumenty – raporty w PDF, pliki DOCX, prezentacje – są w praktycznym OSINT czymś znacznie więcej niż tylko treścią widoczną na ekranie. W tle, w strukturze pliku, kryją się metadane, komentarze i ślady wcześniejszych wersji. To właśnie one ujawniają kulisy powstawania dokumentu: kto go tworzył, na jakim sprzęcie, w jakim środowisku, w jakim dziale i przy jakich zmianach. Metadane typowego pliku biurowego mogą zawierać imię i nazwisko autora, nazwę komputera lub konta użytkownika, z którego dokument został zapisany, a także informacje o używanym oprogramowaniu. Z pozoru to niewinne informacje techniczne, ale zestawione ze sobą pokazują, jakie nazwy hostów funkcjonują w sieci, jak nazywane są udziały sieciowe, jak wygląda podział na działy i projekty oraz jakie narzędzia są standardem w organizacji.
Wystarczy kilka plików z różnych obszarów działalności, aby zacząć widzieć powtarzające się schematy nazewnicze i wyciągać wnioski o tym, jak zorganizowana jest infrastruktura. Oprócz metadanych, wiele dokumentów zawiera komentarze i pola notatek, które nie zawsze są przez autorów traktowane jako część „finalnego” materiału.
W praktyce mogą tam zostać uwagi wewnętrzne, skróty myślowe, informacje o problemach („ta część wymaga poprawki po migracji na nowy system”), a nawet techniczne szczegóły, które na etapie publikacji miały zostać usunięte. Całość sprawia, że publiczne dokumenty są w praktyce oknem na wewnętrzny świat organizacji. Dla atakującego to drobne, ale niezwykle przydatne puzzle – pomagają odtworzyć strukturę sieci, rozpoznać standardowe narzędzia i lepiej zrozumieć, kto i w jaki sposób tworzy kluczowe treści. Dla obrońcy to sygnał, że przed publikacją warto patrzeć na dokumenty nie tylko przez pryzmat „ładnej treści”, ale również ukrytej warstwy technicznej, która może zdradzić więcej, niż ktokolwiek się spodziewał.
5. Co możesz zrobić: minimalizacja śladu i świadome zarządzanie informacją
Skoro wiesz już, jak wiele informacji o Twojej firmie da się wyciągnąć z otwartych źródeł, naturalnym kolejnym krokiem jest uporządkowanie własnych działań tak, żeby świadomie tym strumieniem danych zarządzać. Celem nie jest paniczne „wymazywanie się z Internetu”, ale takie ułożenie komunikacji, procesów i konfiguracji technicznej, żeby realnie utrudnić pracę komuś, kto próbuje przygotować atak w oparciu o OSINT.
Dobrym punktem startowym jest wprowadzenie regularnego audytu OSINT we własnej organizacji. Taki przegląd obejmuje wszystkie oficjalne kanały komunikacji: stronę WWW, firmowe profile w social mediach, blog, ogłoszenia o pracę, materiały marketingowe. Równolegle analizuje się publicznie dostępne dokumenty, wpisy w rejestrach, informacje o przetargach czy referencjach. Do tego dochodzi spojrzenie na aktywność pracowników w sieci, oczywiście w granicach prawa i z poszanowaniem prywatności – czy nie publikują zbyt wielu szczegółów o pracy, systemach czy procesach. Ostatnim elementem jest skan tego, co firma wystawia do Internetu: domen, certyfikatów, widocznych usług, paneli logowania. Równolegle warto zadbać o higienę informacji w komunikacji zewnętrznej.
Chodzi o proste, ale konsekwentne zasady dotyczące tego, co publikujecie. Dobrym standardem jest rezygnacja z podawania niepotrzebnie szczegółowych informacji technicznych – konkretnych wersji systemów, dokładnych nazw wewnętrznych modułów, szczegółów konfiguracji – wszędzie tam, gdzie nie jest to wymagane przez prawo ani klientów.
Należy też wyczulić zespoły marketingu, sprzedaży i IT na ryzyka związane ze screenami – na zrzutach ekranu nie powinno być widocznych nazw hostów, loginów, struktur katalogów czy fragmentów wewnętrznych paneli. Warto ograniczyć publiczne listy osób wraz z rozbudowanymi danymi kontaktowymi i stanowiskami, tak aby imienne adresy czy numery telefonów pojawiały się tylko tam, gdzie jest to rzeczywiście konieczne. Istotnym elementem staje się też automatyczne sprawdzanie i czyszczenie metadanych w dokumentach przed publikacją – tak, aby pliki PDF czy DOCX nie wynosiły na zewnątrz informacji o wewnętrznych ścieżkach sieciowych czy nazwach komputerów. Wszystko to ma służyć nie ukrywaniu działalności firmy, lecz świadomemu zarządzaniu tym, co faktycznie trafia do przestrzeni publicznej. Kolejnym filarem jest spójna polityka social media i sensowna edukacja pracowników. Zamiast zakazywać im obecności w sieci, lepiej dać jasne, zrozumiałe wytyczne dotyczące tego, jakie treści związane z firmą można publikować, a jakie lepiej zostawić w kanałach wewnętrznych. Kiedy pracownik zobaczy, jak z jego profilu można odtworzyć zwyczaje zespołu, używane narzędzia czy problemy z konkretnym systemem, zaczyna intuicyjnie ograniczać liczbę szczegółów, którymi dzieli się publicznie.
Warto też zachęcać do zgłaszania sytuacji, w których ktoś kontaktuje się z pracownikiem, podając zaskakująco dużo informacji o firmie – to albo efekt dobrze przeprowadzonego OSINT, albo sygnał, że dane wyciekły w innym miejscu. Świadomy pracownik, który rozumie, jak „biały wywiad” może zostać użyty przeciwko jego organizacji, staje się zdecydowanie trudniejszym celem dla socjotechniki.
Ostatnia, ale kluczowa warstwa to sposób, w jaki zarządzacie infrastrukturą wystawioną do Internetu. Tu nie chodzi o całkowite odcięcie się od świata zewnętrznego, lecz o mądre ograniczenie powierzchni ataku. Dobrym krokiem jest przegląd wszystkich publicznie dostępnych paneli administracyjnych, środowisk testowych czy wewnętrznych usług i decyzja, które z nich rzeczywiście muszą być widoczne, a które można ukryć za VPN-em, reverse proxy, dodatkowymi warstwami uwierzytelniania lub po prostu wyłączyć. Równocześnie trzeba zadbać o aktualność oprogramowania: wdrożyć proces regularnego łatania znanych podatności, zamiast odkładać aktualizacje na później. Ważną rolę odgrywa segmentacja sieci.
Całość warto spiąć ciągłym monitorowaniem widoczności usług w zewnętrznych skanerach i reagowaniem na niepokojące wyniki – jeśli narzędzia pokazują, że pojawił się nowy, nieplanowany panel lub serwer, to sygnał, że konfiguracja wymknęła się spod kontroli. W efekcie celem staje się świadome zmniejszenie liczby potencjalnych punktów/wektorów wejścia i usunięcie najbardziej oczywistych, łatwo wykorzystywanych luk.
6. Podsumowanie: wiedza jest bronią, ale i problemem
OSINT sam w sobie nie jest ani dobry ani zły. To narzędzie, które może służyć do zwiększania bezpieczeństwa, transparentności i lepszego zarządzania informacją, albo do przygotowania skutecznego ataku. Rzeczywistość jest taka, że jeśli coś o Twojej firmie da się odnaleźć w otwartych źródłach, prędzej czy później ktoś to wykorzysta – konkurencja, cyberprzestępcy czy nawet drobni oszuści. Kluczowe pytanie nie brzmi więc „czy ktoś zbiera o nas informacje?”, lecz „jak świadomie zarządzamy tym, co o sobie ujawniamy oraz czy potrafimy spojrzeć na siebie oczami atakującego?”
Na koniec praktyczna sugestia: spróbuj raz w roku przeprowadzić wewnętrzne ćwiczenia OSINT, w których ktoś z zespołu bezpieczeństwa lub zewnętrzny konsultant dostaje zadanie zebrania maksimum informacji o Waszej firmie wyłącznie z ogólnodostępnych informacji.
