2025 májusában a berlini GITEX EXPO egyik legnagyobb figyelmet kapott előadója Danni Brooke volt – egykori brit titkosrendőr és hírszerzési szakértő, aki évtizedes tapasztalatát osztotta meg a hallgatósággal. Előadásának középpontjában az OSINT, azaz az Open Source Intelligence, vagyis a nyílt forrásból származó hírszerzés állt. Egy módszertan, ami nem technológiai trükkökkel, hanem az emberek által önként megosztott adatokkal dolgozik.
Az üzenete egyértelmű volt: a közösségi média, a LinkedIn profilok, az önéletrajzok vagy akár a nyilvánosan hozzáférhető céges dokumentumok révén olyan információk kerülhetnek rossz kezekbe, amelyek egy jól irányzott kibertámadás kulcsát jelenthetik.
Miért fontos ez? Mert amit te ártalmatlannak gondolsz, az másnak értékes fegyver
A támadók ma már nem egy adatbázist próbálnak feltörni első körben. Ehelyett információt gyűjtenek: ki dolgozik hol, ki milyen eszközt használ, milyen a beosztása, mikor nyaral, hol szokott kávézni, milyen témákról posztol. Ezekből a kirakós darabkákból összeáll egy profil – és a támadó tudni fogja, kinek írjon, miről beszéljen, mit kérjen, és hogyan kérje úgy, hogy az ne tűnjön gyanúsnak.
Ez az OSINT. Egy láthatatlan, de hatékony előjáték minden sikeres social engineering támadáshoz.
A valódi probléma gyökere: a láthatóság, amiről nem tudunk
Sokan nincsenek tisztában azzal, milyen részletes képet festenek magukról a digitális térben. Egy HR-es a LinkedIn-en felsorolja, milyen eszközöket használnak a toborzáshoz. Egy rendszergazda GitHubon nyíltan publikál egy konfigurációs fájlt, amelyből kiderül a belső rendszer architektúrája. Egy CEO a nyaralásáról posztol, miközben a támadó már tudja, mikor nincs bent az irodában. Egy támadó ezek alapján tudja majd megírni azt a belső e-mailnek tűnő levelet, amit egy pénzügyes kolléga jóhiszeműen továbbít – mellékletekkel együtt.
A legmodernebb tűzfal sem véd meg a saját Facebook-od ellen
A cégek hatalmas összegeket költenek végpontvédelemre, tűzfalakra és titkosított kommunikációra, miközben a dolgozók közösségi média aktivitása alig szabályozott. Pedig a valódi belépési pont sokszor nem egy port a tűzfalon, hanem egy „Nyilvános” státuszú LinkedIn-bejegyzés, egy Instagram sztori vagy egy X-en (korábban Twitteren) megosztott badge a legutóbbi konferenciáról.
Ezek a csalók nem „hackerek” a klasszikus értelemben – inkább mesterei az emberi viselkedés és a nyilvános adatok összekapcsolásának. És ez teszi őket különösen veszélyessé.
Megelőzés: nem technológia, hanem tudatosság
A legfontosabb védekezési módszer nem egy új szoftver vagy AI-alapú detektor – hanem a tudatosság emelése.
Minden szervezetnek át kell gondolnia, hogy:
• Milyen információkat osztanak meg dolgozóik nyilvánosan?
• Milyen szabályozás védi a céges adatvagyont a social platformokon?
• Rendszeresen történik-e OSINT audit?
• A dolgozók részesülnek-e képzésben arról, hogy mi számít érzékeny adatnak a támadók szemében?
A kiberbiztonsági kultúra akkor kezdődik, amikor egy alkalmazott magától tudja: „Erről nem posztolok, mert ebből egy támadó következtetni tud.”
A következő támadó már lehet, hogy rég ismeri a jelszavad kedvenc kutyád neve alapján
A social engineering és az OSINT kéz a kézben járnak – előbbi a cselekvés, utóbbi az alapozás. Ha valaki célba veszi a cégedet, nem az endpoint protection lesz az első akadálya. Hanem az, ha nem talál rólad semmit, ami használható.
Ezért a legfontosabb kérdés: te mennyire vagy látható?
A United Consult-nál rendszeresen végzünk OSINT-auditokat és szimulált social engineering támadásokat partnereinknél. Célunk nem a hibák keresése – hanem az éberség felébresztése. Mert a kibertámadások első lépése már megtörténhetett – egy hónapokkal ezelőtti LinkedIn-bejegyzésedben.
Most kell cselekedni – később már csak magyarázkodni lehet
Képezd a kollégáidat. Korlátozd a nyilvános információkat. Vizsgáld felül a közösségi média használatra vonatkozó irányelveket. Ne csak IT-esként, hanem vezetőként, HR-esként, kommunikációs szakemberként is.
Mert a jövő támadásai nem nullákkal és egyesekkel kezdődnek – hanem szelfikkel és hashtagekkel.
Szerző:
D.László István
Kiberbiztonsági vezető, United Consult cégcsoport
