Для чего нужен OSINT и как он работает против вас: разведка, с которой начинается почти любая атака

Люди и фишинг · 06.11.2026 · 14 мин чтения · Команда НПП РЕКОРД

Прежде чем взломать компанию, её изучают — законно, по открытым источникам: сайт, вакансии, соцсети сотрудников, старые утечки, метаданные документов. Это называется OSINT. Разбираем, как злоумышленник за один вечер собирает досье на бизнес, какие реальные атаки с этого начинались, и как проверить и сократить собственный цифровой след.

Коротко. OSINT — это разведка по открытым источникам: сбор информации, которую любой может найти законно — на сайте компании, в вакансиях, соцсетях, реестрах, поисковиках и в уже утёкших базах. Её используют журналисты, службы безопасности, отделы продаж — и злоумышленники. Для атакующего это первый этап почти любой атаки: из открытых данных он узнаёт, кому писать, от чьего имени, в какой момент и через какую дверь входить. Защита — не «стереть себя из интернета», а знать свой цифровой след, убрать лишнее и подготовить людей к атаке, которая будет выглядеть очень правдоподобно.

Многие представляют взлом так: хакер в капюшоне подбирает пароль к серверу. На практике большая часть работы делается до первого технического действия. Сначала компанию изучают: кто директор и как его зовут в переписке, кто в бухгалтерии принимает счета, какой формат у корпоративной почты, какими программами пользуются, когда руководитель в отпуске. Всё это обычно лежит в открытом доступе — и собирается за вечер.

Международная база техник атак MITRE ATT&CK, по которой работают специалисты по защите во всём мире, выделяет разведку (Reconnaissance) в отдельный, самый первый этап атаки: сбор сведений о сотрудниках, об организации, о её сайтах, доменах и сети. Чем лучше проведена разведка, тем правдоподобнее письмо, звонок или поддельная видеовстреча — и тем меньше шансов, что сотрудник заподозрит неладное.

Что такое OSINT простыми словами

OSINT (Open Source Intelligence) — разведка по открытым источникам. «Открытый» здесь значит не «бесплатный» и не «хакерский», а доступный без взлома: опубликованный самой компанией, её сотрудниками, государством или третьими лицами. Ценность OSINT не в отдельном факте, а в сборке: имя из вакансии, формат почты с сайта, фотография из соцсети и дата из поста складываются в картину, которой ни в одном источнике по отдельности нет.

Каждый отдельный факт безобиден — опасна их сборка в одно досье

Как OSINT работает против вас: досье на компанию за один вечер

Ниже — типичный порядок разведки, как его видит атакующий. Мы описываем его не как инструкцию, а чтобы было понятно, какие ваши данные складываются в атаку и на каком шаге её можно сломать.

1. Люди. С сайта («О компании», «Команда», «Контакты»), из вакансий, профессиональных соцсетей и пресс-релизов собирается список сотрудников с должностями: директор, главбух, IT-специалист, офис-менеджер. Это готовый список адресатов для писем и звонков.
2. Формат почты. Достаточно двух-трёх адресов из открытых источников, чтобы понять шаблон (i.ivanov@ или ivan.ivanov@) и вычислить почту любого сотрудника по имени.
3. Технологии. Вакансии подробно рассказывают о внутренней кухне: «опыт администрирования 1С на сервере с MS SQL, VPN, удалённый доступ через RDP». Это список программ, под которые стоит искать уязвимости.
4. Внешний периметр. По открытой справке о домене (WHOIS), реестрам сертификатов и поисковикам по устройствам в интернете находятся поддомены, забытые тестовые сайты, открытые наружу сервисы и их версии.
5. Утечки. Почтовые адреса сотрудников проверяются по базам прошлых утечек: если человек использовал тот же пароль на взломанном когда-то сайте, у атакующего уже может быть рабочий пароль.
6. Личные детали. Соцсети подсказывают, кто в отпуске, кто только вышел на работу, кто с кем дружит, как зовут детей и питомцев, — материал для легенды и для подбора паролей.
7. Документы. В опубликованных PDF и офисных файлах остаются метаданные: имя пользователя, версия программ, иногда внутренние пути к папкам на сервере.
8. Сборка атаки. Из всего этого получается письмо от «директора» новому бухгалтеру в день, когда директор в командировке, или звонок в техподдержку от имени сотрудника, который «потерял телефон». Такая атака не выглядит подозрительной — в ней всё правда, кроме отправителя.

• 68% — утечек связаны с действиями людей (ошибка, клик по ссылке, ответ мошеннику)
• $2,9 млрд — потери от мошенничества с деловой перепиской за год (по жалобам в ФБР за 2023 год)
• $25,6 млн — перевёл сотрудник после видеовстречи с дипфейками (Arup, Гонконг, 2024)

Источник: Verizon DBIR 2024; FBI IC3 Internet Crime Report 2023; CNN

Реальные истории: как открытые данные превращались в убытки

• MGM Resorts, 2023 год. Крупнейшая сеть казино и отелей в Лас-Вегасе на дни потеряла работу систем бронирования и электронных ключей в номерах. По данным СМИ и заявлениям самих атакующих, вход начался со звонка в службу поддержки от имени сотрудника, найденного в профессиональной соцсети. Компания оценила ущерб примерно в 100 млн долларов операционной прибыли за квартал. Американское агентство по кибербезопасности CISA отдельно предупреждало: эта группировка выдаёт себя за IT-персонал и сотрудников, чтобы получить доступы через техподдержку.
• Arup, 2024 год. Сотрудник гонконгского офиса международной инженерной компании получил письмо от «финансового директора» и сначала заподозрил фишинг. Сомнения развеяла видеовстреча, на которой «финансовый директор» и «коллеги» выглядели и говорили как настоящие. Все участники, кроме сотрудника, были дипфейками — поддельными видео, созданными нейросетью. Он сделал 15 переводов на 200 млн гонконгских долларов, около 25,6 млн долларов США. Для дипфейка нужны образцы лица и голоса — а у руководителей их полно в открытых интервью, выступлениях и роликах.
• Strava, 2018 год. Фитнес-приложение опубликовало «тепловую карту» пробежек пользователей. В пустынных районах на карте проступили контуры военных баз и маршруты патрулей — их выдали треки военнослужащих. Никто ничего не взламывал: данные были опубликованы добровольно, по отдельности безобидно.

Общее у всех трёх историй: ни один шаг разведки не был незаконным взломом. Опасной оказалась не отдельная публикация, а то, что из публичных фрагментов можно собрать убедительную легенду или точную карту.

Что о вашей компании уже видно снаружи

Важно. Отдельный риск в России — «пробив»: незаконные сервисы и боты, которые продают данные о людях и компаниях из утёкших баз. Для атакующего это продолжение OSINT: к открытым данным добавляются телефоны, адреса и паспортные данные сотрудников. Пользоваться такими сервисами незаконно — с декабря 2024 года за незаконное использование и передачу персональных данных есть отдельная уголовная статья 272.1 УК РФ, — но атакующего это не останавливает.

Как проверить себя за час: мини-OSINT своей компании

Самый честный способ понять риск — посмотреть на себя глазами постороннего. Это можно сделать самим, без специальных навыков.

1. Найдите в поиске название компании и фамилии руководителей. Что видно с первой страницы: телефоны, почты, адреса, фотографии, документы?
2. Откройте свой сайт как чужой: какие сотрудники указаны поимённо и с прямыми контактами, есть ли публичные документы с лишними сведениями.
3. Перечитайте свои вакансии: не перечислены ли в них внутренние системы, версии программ и способы удалённого доступа подробнее, чем нужно кандидату.
4. Проверьте корпоративные почты руководителей и бухгалтерии в сервисе Have I Been Pwned — он покажет, в каких известных утечках они встречались.
5. Посмотрите, кто указан администратором вашего домена в WHOIS и какие поддомены у вас есть. Если про какой-то поддомен никто не может сказать, что это, — это находка.
6. Откройте свойства пары опубликованных PDF: не видно ли в них логинов сотрудников и внутренних путей.
7. Пролистайте публичные фото из офиса: нет ли в кадре мониторов с открытыми системами, стикеров, пропусков, схем на доске.

Совет. Самопроверка находит очевидное. Профессиональная разведка в рамках внешнего пентеста идёт дальше: тестовые сервисы, забытые поддомены, открытые наружу панели управления, утёкшие учётные данные, — и сразу проверяет, можно ли через найденное попасть внутрь.

Как сократить цифровой след и сломать атаку

Полностью исчезнуть из интернета бизнесу нельзя и не нужно: клиентам нужны контакты, кандидатам — вакансии, рынку — лица компании. Задача в другом: не выдавать лишнего и сделать так, чтобы даже идеально подготовленная легенда не срабатывала.

Обратите внимание: половина правил не про технику, а про процессы. Разведка делает атаку правдоподобной, поэтому против неё лучше всего работает простое правило «любую срочную просьбу о деньгах или доступах проверяем по второму каналу». Оно останавливает и письмо от поддельного директора, и звонок от поддельного сотрудника, и видеовстречу с дипфейками.

Хорошо подготовленное письмо «от директора» отличается от настоящего только отправителем

Законно ли это и при чём тут ответственность компании

• Сбор и анализ действительно открытых сведений законен — так работают журналисты, службы безопасности и аналитики. Незаконным становится использование утёкших баз, обход защиты и применение собранного для мошенничества или взлома.
• Утечка персональных данных из вашей компании, в том числе через атаку, подготовленную по открытым данным, — это ваша ответственность как оператора персональных данных: об инциденте нужно уведомить Роскомнадзор, а за повторные утечки с 30 мая 2025 года предусмотрены оборотные штрафы.
• Поэтому сокращение цифрового следа и обучение сотрудников — не паранойя, а часть обычной защиты данных клиентов и бизнеса.

Атакующий не обязан взламывать вашу защиту, если может убедить вашего сотрудника открыть дверь. OSINT — это то, как он узнаёт, какому сотруднику, от чьего имени и в какой день стучать.

Источники

• MITRE ATT&CK: тактика Reconnaissance (разведка) — Международная база техник атак
• Data Breach Investigations Report — Verizon, ежегодный отчёт об утечках
• Internet Crime Report 2023 — ФБР, раздел о Business Email Compromise
• Arup: потеря 25 млн долларов после видеовстречи с дипфейками — CNN
• MGM Resorts: оценка ущерба от кибератаки (форма 8-K) — Комиссия по ценным бумагам США
• Предупреждение о группировке Scattered Spider — CISA и ФБР
• Strava выдала расположение военных баз — The Guardian
• Have I Been Pwned — проверка почты по известным утечкам — Бесплатный сервис

Теги: OSINT, разведка по открытым источникам, социальная инженерия, фишинг, утечки данных, дипфейк, цифровой след, пентест, кибербезопасность бизнеса