Надмірна відвертість у соцмережах

Що таке Надмірна відвертість у соцмережах?

Перш ніж написати фішинговий лист, зловмисники читають публічні профілі. Жодна окрема публікація не є таємницею; уся цінність — у їхньому поєднанні. Ви лишаєте привітний коментар під доповіддю колеги на конференції та пишете допис у LinkedIn про свій поточний проєкт, а зловмисник тим часом бере зразки голосу з тієї самої доповіді. Потім ви бачите, як він складає з коментаря, допису й відео цільове повідомлення, де названо вашого клієнта, члена вашої команди й колегу.

Що ви дізнаєтесь у Надмірна відвертість у соцмережах

• Розпізнавайте, які саме дописи в соцмережах розкривають зловмисникам особисті, фінансові й організаційні відомості
• Простежуйте, як один коментар і один допис по шматочку доповнюють профіль цілі, який складає зловмисник
• Усвідомлюйте, як публічні записи конференцій дають зловмисникам зразки голосу для видавання себе за іншу особу
• Пояснюйте, як зловмисники методами OSINT зводять докупи розрізнені дані з соцмереж і готують кампанії цільового фішингу
• Розпізнавайте, як корпоративні сторінки LinkedIn, довідники працівників і організаційні схеми створюють поверхню атаки для вейлінгу та BEC

Надмірна відвертість у соцмережах — Кроки навчання

1. Вступ

   Понеділок, ранок. Аліса починає день із перевірки службової пошти.

2. Оголошення компанії

   Аліса отримує внутрішній лист компанії: у ньому вітають Майка Стівенса з успішною доповіддю на нещодавній конференції з кібербезпеки. Працівників закликають переглянути запис доповіді й залишити вітальні коментарі.

3. Перехід за посиланням

   Аліса переходить із листа за посиланням на OurTube.

4. Перегляд відкладено

   Аліса вирішує подивитися відео пізніше, коли закінчиться робочий день. Якби вона його подивилася, то дізналася б, що під час виступу Майк згадав: Nexlify Solutions працює над кількома цікавими проєктами для великих клієнтів, але конкретних подробиць не розкрив через угоди про нерозголошення.

5. Коментар під відео

   Аліса прокручує сторінку до коментарів, щоб залишити підбадьорливий коментар. Водночас вона ненавмисно розкриває внутрішню інформацію компанії.

6. Боб аналізує відео

   Тим часом Боб теж знайшов на OurTube те саме відео з конференції. Але вітати Майка він не збирається: він аналізує звук, щоб витягти зразки голосу. Спеціальною програмою Боб виокремлює з 45-хвилинного виступу манеру мовлення Майка, його інтонацію, акцент і особливості голосу. Боб збирає характерні фрази й слова Майка та відзначає його бостонський акцент і діловий стиль мовлення. Ці аудіодані стануть основою для переконливого клону голосу на основі ШІ.

7. Натхнення з LinkedIn

   У коментарі до виступу Майка Аліса згадала майбутній проєкт для SecureTech — відомості, які мали лишитися в компанії й не потрапляти у відкритий доступ. Натхнення спонукає Алісу поділитися власними професійними досягненнями, і вона пригадує свій поточний проєкт із Сарою для SecureTech Corp. Вона вирішує, що це ідеальна тема для допису в LinkedIn: можна показати свою роботу й відзначити командну співпрацю.

8. Створення допису

   Аліса створює в LinkedIn допис про свою роботу й ненавмисно публічно розкриває ще більше чутливих відомостей про компанію.

9. Розвідка Боба з відкритих джерел

   Автоматичні інструменти моніторингу за лічені хвилини повідомляють Бобу про новий допис Аліси в LinkedIn. Тепер у нього є цінні відомості: Аліса працює над впровадженням для SecureTech Corp Сара Джонсон — її колега з проєкту проєкт стосується впровадження захисту інфраструктури Аліса в добрих робочих стосунках із Майком Стівенсом у компанії тривають значущі проєкти Боб зіставляє ці відомості з попередніми коментарями Аліси й підтверджує зв'язки між цими працівниками.

10. Використання даних із соцмереж

    Боб користується всім, що Аліса, не здогадуючись, розповіла у своїх соцмережах. Тепер він може назвати Сару на ім'я, прямо послатися на проєкт для SecureTech і видати себе за Майка, бо Аліса, вочевидь, добре його знає й поважає. Боб вигадує правдоподібну термінову ситуацію на основі публічних дописів Аліси й готується до атаки.