Cenne śmieci - patrz co wyrzucasz !
Wynosimy worek do kontenera. Stare faktury, wydrukowany e-mail, kartka z notatkami ze spotkania, pudełko po routerze, zużyty pendrive, dysk ze starego komputera.
Śmieci. Prawda?
Dla nas — często tak. Dla osoby, która chce dowiedzieć się czegoś o nas albo o naszej firmie — to może być całkiem wartościowy zestaw danych. Bo cyberatak nie zawsze zaczyna się od malware, exploita czy próby złamania hasła. Czasami zaczyna się… przy kontenerze na odpady.
To, co wyrzucamy, opowiada o nas historię
Wyobraźmy sobie kilka zupełnie zwyczajnych rzeczy znalezionych w firmowych odpadach:
📄 fakturę z nazwą dostawcy, numerem klienta i nazwiskiem osoby odpowiedzialnej,
📦 etykietę kurierską z imieniem, nazwiskiem, telefonem i adresem,
📝 notatkę ze spotkania z nazwami projektów i klientów,
🖨 wydrukowany e-mail z podpisem pracownika, numerem telefonu i strukturą stanowisk,
💳 starą kartę dostępu lub identyfikator,
💾 pendrive uznany za „zepsuty”,
🖥 dysk ze starego laptopa,
📡 pudełko po urządzeniu sieciowym z modelem, numerem seryjnym i informacją o wykorzystywanej technologii. Osobno każda z tych rzeczy może wyglądać niewinnie.
Razem mogą stworzyć profil organizacji. Kto w niej pracuje. Kto odpowiada za finanse. Kto jest administratorem. Z jakich usług korzysta firma. Kto jest jej dostawcą. Jak nazywają się projekty. Jak wyglądają adresy e-mail. Jakich urządzeń używa organizacja. A czasami nawet — kto komu ufa.
Haker nie zawsze szuka hasła. Czasami szuka punktu zaczepienia
Załóżmy, że ktoś znajduje wyrzuconą fakturę od konkretnego dostawcy.
Widnieje na niej:
Anna Nowak — dział księgowości.
Kilka minut później wyszukuje Annę na LinkedIn.
Wie już, gdzie pracuje i czym się zajmuje.
Na stronie firmy znajduje nazwisko dyrektora finansowego.
Z wyrzuconego dokumentu poznaje nazwę prawdziwego kontrahenta.
I następnego dnia Anna otrzymuje wiadomość:
„Dzień dobry Pani Anno,
w związku z korektą ostatniej faktury przesyłam poprawiony dokument. Proszę o pilne potwierdzenie przed zaksięgowaniem.”
Nadawca zna firmę.
Zna dostawcę.
Zna nazwisko pracownika.
Zna kontekst.
Wiadomość wygląda wiarygodnie.
Tylko że dostawca nigdy jej nie wysłał.
To właśnie jedna z dróg prowadzących do dobrze przygotowanego spear phishingu.
Atakujący nie musi posiadać wszystkich informacji.
Potrzebuje kilku elementów, które pozwolą mu zbudować wiarygodną historię.
A my czasami sami wyrzucamy te elementy do kosza.
Pendrive? Przecież był uszkodzony…
To jeden z bardziej niebezpiecznych mitów.
„Komputer go nie widzi, więc niczego już z niego nie da się odzyskać.”
Niekoniecznie. Uszkodzenie urządzenia nie musi oznaczać zniszczenia znajdujących się na nim danych. To samo dotyczy:
- dysków HDD,
- dysków SSD,
- kart pamięci,
- telefonów,
- urządzeń NAS,
- starych laptopów,
- nośników backupowych.
Samo skasowanie pliku również nie zawsze oznacza, że informacja fizycznie zniknęła z nośnika. W zależności od technologii, sposobu usunięcia i stanu urządzenia możliwe może być odzyskanie części lub nawet bardzo dużej ilości danych. A na starym dysku mogą znajdować się:
dokumenty, zdjęcia, korespondencja, konfiguracje, kopie zapasowe, dane klientów, historia przeglądarki, pliki konfiguracyjne, klucze, tokeny czy zapisane poświadczenia. Dlatego nośnika danych nie powinno się traktować jak zwykłego kawałka elektroniki.
To pojemnik na historię naszej aktywności.
„Przecież to tylko kartka…”
Spójrz na zwykłą kartkę leżącą obok monitora.Może znajdować się na niej: „VPN — zadzwonić do Marka” „Serwer księgowości — migracja w piątek” ; „Nowe konto dla Kowalskiego” ; „Klient XYZ — awaria” ; „Reset hasła administratora”
Dla pracownika to notatki. Dla osoby prowadzącej rozpoznanie organizacji — mapa punktów zaczepienia.
Cyberprzestępca może wykorzystać takie informacje podczas rozmowy telefonicznej: „Dzień dobry, dzwonię w sprawie piątkowej migracji serwera księgowego…” I nagle rozmówca brzmi jak ktoś z wewnątrz.
Nie dlatego, że włamał się do systemu. Dlatego, że ktoś wyrzucił kartkę.
Śmieci potrafią odebrać nam anonimowość
Odpady mogą zdradzać znacznie więcej niż informacje firmowe. Etykiety z paczek pokazują, co i gdzie zamawiamy. Paragony — gdzie bywamy. Dokumenty — z jakich usług korzystamy. Opakowania po sprzęcie — jakie urządzenia posiadamy. Korespondencja — z kim utrzymujemy kontakt.
Wyrzucone dokumenty mogą zawierać numery telefonów, adresy, dane rodzinne czy informacje pozwalające powiązać pozornie anonimową osobę z konkretnym miejscem, firmą albo aktywnością.
I tu dochodzimy do ciekawego paradoksu. Możemy korzystać z VPN. Możemy mieć MFA. Możemy szyfrować dysk. Możemy posiadać świetnie skonfigurowany firewall.
A następnie…
wyrzucić do kontenera dokument z kompletem informacji potrzebnych do przygotowania ataku socjotechnicznego.
To zjawisko ma swoją nazwę: dumpster diving
W bezpieczeństwie informacji określa się tak pozyskiwanie informacji z wyrzuconych materiałów i urządzeń.Nie wymaga ono szczególnie zaawansowanej technologii. Czasami potrzebne są tylko: czas, cierpliwość i umiejętność łączenia faktów.
Jedna faktura niewiele znaczy. Jedna wizytówka niewiele znaczy. Jedna lista pracowników niewiele znaczy. Jeden pendrive może być pusty.
Ale połącz:
nazwisko + stanowisko + dostawcę + projekt + numer telefonu + adres e-mail.
I zaczynasz otrzymywać materiał do bardzo konkretnego ataku. To jest właśnie OSINT w jego mniej eleganckiej odmianie.
Co więc robić?
📄 Dokumenty zawierające informacje wrażliwe niszcz przed wyrzuceniem.
Nie chodzi o przecięcie kartki na pół. Dokument powinien zostać zniszczony w sposób utrudniający lub uniemożliwiający jego odtworzenie.
💾 Nośniki danych bezpiecznie kasuj lub fizycznie niszcz.
Metoda powinna być dostosowana do rodzaju nośnika. HDD, SSD i pendrive nie zawsze powinny być traktowane w identyczny sposób.
🏷 Usuwaj etykiety identyfikacyjne ze sprzętu i opakowań.
Numery seryjne, asset tagi, nazwy urządzeń i oznaczenia organizacji również są informacją.
🗑 W firmie określ zasady bezpiecznego niszczenia informacji.
Pracownik powinien wiedzieć, co może trafić do zwykłego kosza, a co musi trafić do niszczarki albo bezpiecznej utylizacji.
🔐 Traktuj wycofanie sprzętu jako element cyberbezpieczeństwa.
Lifecycle urządzenia nie kończy się wtedy, kiedy wyłączymy je po raz ostatni.
Kończy się dopiero wtedy, kiedy znajdujących się na nim danych nie da się już wykorzystać przeciwko nam. Następnym razem, zanim wyrzucisz dokument, pendrive albo stary dysk, zadaj sobie jedno pytanie:
„Co obca osoba mogłaby dowiedzieć się o mnie lub o mojej firmie, gdyby znalazła to za pięć minut?”
Jeżeli odpowiedź brzmi: „całkiem sporo”… to prawdopodobnie nie są śmieci. To informacje, których właśnie przestaliśmy pilnować.
Dla nas odpad.
Dla atakującego — punkt zaczepienia.
🔐 Chroń dane również wtedy, kiedy przestają być Ci potrzebne.
#CyberSecurity #Cyberbezpieczeństwo #SecurityAwareness #DataSecurity #InformationSecurity #OSINT #SocialEngineering #DumpsterDiving #DataProtection #CyberAwareness #ArtinusSystem