Совершенно не секретно. Как я искал утечки в сервисе для ИБ-специалистов

Итак, что­бы про­верить подоз­ритель­ное пись­мо, его мож­но заг­рузить на спе­циаль­ный сер­вис‑песоч­ницу, и тот опре­делит, есть ли в содер­жимом фишин­говые гипер­ссыл­ки. Одна проб­лема: некото­рые сер­висы, вро­де изу­чен­ного мной Any.Run, на бес­плат­ном тарифе пре­датель­ски вык­ладыва­ют всю про­веря­емую кор­респон­денцию в паб­лик, а там она ста­новит­ся лег­кой добычей тех, от кого пред­полага­лось защищать­ся.

Данные в подписях

Вот прос­той при­мер утеч­ки: на поч­ту менед­жера по снаб­жению приш­ло подоз­ритель­ное пись­мо с пред­ложени­ем зарегис­три­ровать­ся на неко­ем пор­тале (ско­рее все­го, это фишинг для кра­жи регис­тра­цион­ных дан­ных). Менед­жер фор­вар­днул пись­мо сот­рудни­ку служ­бы безопас­ности (при этом в сооб­щение авто­мати­чес­ки добави­лась его под­пись с кон­так­тны­ми дан­ными), а безопас­ник, не почис­тив тело сооб­щения, залил его в обла­ко. Теперь мы зна­ем ФИО менед­жера, его дол­жность, адрес элек­трон­ной поч­ты и телефон­ные номера, вклю­чая даже мобиль­ный. Алло, это служ­ба безопас­ности бан­ка!

Ста­ратель­но изу­чив откры­тые источни­ки, мож­но соб­рать боль­шой объ­ем допол­нитель­ных све­дений: наиме­нова­ния дис­трибь­юто­ров, кли­ентов и пар­тне­ров фир­мы. Если не поленить­ся и заг­лянуть на офи­циаль­ный сайт этой ком­пании, есть шанс нат­кнуть­ся, нап­ример, на такую стра­ницу.

Те­перь, про­явив нем­ного сме­кал­ки и исполь­зуя методы соци­аль­ной инже­нерии, мы можем отпра­вить тому самому менед­жеру при­мер­но такое элек­трон­ное пись­мо:

Ува­жаемый Рай­ан Гос­линго­вич.

Мы (наз­вание ком­пании пос­тавщи­ка) спе­шим сооб­щить об изме­нени­ях в наших про­цеду­рах заказа. Мы хотели бы, что­бы Вы обра­тили вни­мание на сле­дующие изме­нения и при­няли меры в соот­ветс­твии с нашими новыми тре­бова­ниями:

1. Из­менение бан­ков­ских рек­визитов для опла­ты.

2. Но­вые фор­мы докумен­тации для под­твержде­ния заказов.

3. Об­новлен­ные про­цеду­ры офор­мле­ния догово­ров.

По­сыла­ем Вам во вло­жении под­робную информа­цию об этих обновле­ниях. Пожалуй­ста, озна­комь­тесь с ней. Бла­года­рим за понима­ние и опе­ратив­ное реаги­рова­ние на наши изме­нения. Если у Вас воз­никнут воп­росы или пот­ребу­ются уточ­нения, пожалуй­ста, свя­житесь с нами по ука­зан­ным кон­так­тным дан­ным.

С ува­жени­ем,
ко­ман­да (ООО «РАН­ДОМ»)

Шан­сы, что получа­тель такого сооб­щения, которо­го наз­вали по име­ни‑отчес­тву, да еще и прис­лали информа­цию от яко­бы зна­комо­го кон­тра­ген­та, отре­аги­рует на пись­мо, дос­таточ­но велики. Что и тре­бует­ся зло­умыш­ленни­ку.

Ос­торож­но, две­ри зак­рыва­ются, мы едем даль­ше. Если хорошень­ко порыть­ся в песоч­нице, мож­но най­ти, нап­ример, такое.

По­лучал ли ты по поч­те приг­лашения на бес­плат­ные вебина­ры для бух­галте­ров, спе­циалис­тов по пер­соналу, нед­вижимос­ти или для экспер­тов по раз­ведению декора­тив­ных ангор­ских хомяч­ков? Навер­няка! Вот и офис‑менед­жеру одно­го из пред­при­ятий пос­час­тли­вилось попасть в чис­ло приг­лашен­ных. Но девуш­ка ока­залась осмотри­тель­ной (видимо, рань­ше уже выиг­рывала кор­поратив­ный чем­пионат по запус­ку исполня­емых вло­жений в сооб­щения email) и ски­нула это пись­мо безопас­нику для про­вер­ки. Тот решил про­тес­тировать его через песоч­ницу, в резуль­тате чего спа­лил дол­жность, ФИО и кон­так­тные дан­ные адре­сата исходно­го пись­ма. Зна­ние имен сот­рудни­ков адми­нис­тра­тив­ного отде­ла орга­низа­ции откры­вает широкое окно воз­можнос­тей для зло­умыш­ленни­ков.

Вот еще один при­мер, поза­имс­тво­ван­ный на том же сер­висе. Замес­тителю ген­дирек­тора по безопас­ности круп­ного пред­при­ятия пос­тупило пись­мо с вло­жен­ным мак­росом. Дол­жность «замес­титель ген­дирек­тора по безопас­ности» зву­чит солид­но — это очень опыт­ный спе­циалист в сфе­ре ИБ. Поэто­му он незамед­литель­но поделил­ся со всем челове­чес­твом сво­ими кон­так­тны­ми дан­ными, вклю­чая номер мобиль­ного телефо­на, ФИО и поч­товый адрес на кор­поратив­ном сер­вере. Если вдруг решишь поз­вонить ему на труб­ку, переда­вай пла­мен­ный при­вет.

Цепочка пересылаемых сообщений

Сле­дующая по рас­простра­нен­ности катего­рия сре­ди уте­чек кон­фиден­циаль­ных дан­ных — это ситу­ация, ког­да сот­рудни­ки отде­ла безопас­ности залива­ют в песоч­ницу не одно пись­мо, а сра­зу цепоч­ку пересы­лаемых сооб­щений. Здесь мож­но выяс­нить име­на, кон­так­тные дан­ные и дол­жнос­ти сра­зу нес­коль­ких сот­рудни­ков пред­при­ятия (сре­ди них впол­не может ока­зать­ся и выс­шее руководс­тво). Бонусом идут све­дения о перего­вор­ном про­цес­се.