Какие личные данные о вас могут собрать из открытых источников

Анна выложила в Instagram несколько фото с рабочей конференции — без геолокации, адресов и упоминаний участников. Никаких подробностей. Только на одном из снимков реально было разглядеть бейджи с именами участников, логотип компании, название и расписание мероприятия. Информации уже достаточно, чтобы понять, где происходила встреча, кто в ней участвовал и какие темы там обсуждались.

Это простой пример того, как работает OSINT (Open Source Intelligence) — сбор, анализ информации на основании открытых источников. Чтобы защититься от нежелательного внимания, важно знать, что такое OSINT и цифровая гигиена. Ведь в мире цифровых технологий эти два понятия тесно связаны между собой.

Что такое OSINT и как он связан с цифровой гигиеной

Почти ежедневно вы ищите информацию в поисковике, публикуете посты в социальных сетях и совершаете онлайн-покупки. «И что здесь такого? Личной информацией в сети я же не делюсь?»‎ — подумаете вы. Но вынуждены вас огорчить — это не совсем так. Большинство людей думают, что их онлайн-активность конфиденциальна, но цифровой след может рассказать о вас гораздо больше, чем вы можете себе представить. При этом информация становится доступной любому, кто знает, как и где ее нужно искать.

OSINT или другими словами «открытая разведка»‎ — это целый набор инструментов, использующийся другими людьми для поиска информации из доступных источников: форумов, баз данных, социальных сетей и других медиа-платформ. Большинство таких инструментов — бесплатны и доступны буквально каждому.

Таким образом, неверно утверждать, что личные данные в интернете защищены на все 100%. Эксперты легко определяют, чем вы владеете, где работаете и живете, кто ваши близкие и какие у вас привычки — вплоть до клички питомца и девичьей фамилии вашей мамы.

Как и где используются OSINT-инструменты

Некоторые люди проводят самопроверку OSINT, чтобы предотвратить утечки личной информации и укрепить репутацию в сети. Они самостоятельно ищут и анализируют информацию о себе из общедоступных источников.

OSINT-исследования применяются в таких областях деятельности:

• В сфере кибербезопасности — для выявления и оценки угроз, поиска утечек данных, которые следует устранить;
• В правоохранительных органах, частными детективами — для поиска и анализа информации в целях расследования преступлений;
• В рекрутинге — при найме новых сотрудников в компанию;
• В маркетинге — чтобы узнать, что люди думают о бренде, продукте, для поиска и проверки потенциальных партнеров, конкурентов, клиентов.

К сожалению, есть и обратная сторона медали. Злоумышленники используют OSINT-инструменты в неправомерных целях, чтобы узнать персональные конфиденциальные данные о человеке или компании. Чем больше информации мы размещаем в интернете и оставляем цифровых следов, тем выше становится риск кражи наших личных данных. Данный факт объясняет, почему OSINT и цифровая гигиена — взаимосвязаны.

Какие данные о человеке можно найти через OSINT

Существует множество сервисов, с помощью которых OSINT-специалисты находят ту или иную информацию о человеке. При этом различают активный и пассивный методы OSINT. Первый заключается в том, что сбор и анализ информации происходит через прямое взаимодействие с объектом и считается довольно рискованным. Второй — основан только на поиске информации из общедоступных источников и является наиболее распространенным.

Какие данные можно найти в интернете:

• имена, пароли;
• адреса электронной почты;
• дату рождения;
• физические адреса;
• трудовая деятельность;
• финансовая история;
• семейное положение;
• аккаунты социальных сетей;
• образование;
• активные подписки;
• интересы и увлечения;
• политические взгляды.

В таблице представлен перечень типов персональных данных и OSINT-сервисов, которые помогают их искать.

Общедоступная информация может быть использована как в законных, так и в мошеннических целях. Поэтому важно понимать, какие данные доступны онлайн. Информации в открытом доступе позволяет составить подробный портрет человека, включая его привычки, интересы и поведение.

Как проверить, что о вас уже «светится» в сети

Самопроверку OSINT проводят, чтобы исследовать собственный цифровой след в сети. Это общедоступная информация о нас, которая остается при пользовании интернетом: история поиска, посты в социальных сетях, сайты, сохраненные в браузере, подписки и просмотры в Youtube, пр. То есть все то, что видно в интернете о нас.

Для проверки цифрового следа и утечки данных используют такие сервисы:

Список условно бесплатных OSINT сервисов

Have I Been Pwned (HIBP) — определяет, были ли украдены пароли и email-адреса пользователя. Как проверить утечки данных: ввести на сайте свой электронный адрес, система проверит его наличие в базе данных и выдаст список утечек.

Google Alerts — используется для мониторинга упоминаний о себе в интернете. Как проверить утечки данных: сервис отправляет уведомления на электронную почту пользователя, исходя из указанных ключевых запросов. На сайте нужно указать, как часто присылать уведомления, какой тип контента вас интересует, выбрать язык и страну.

Yandex/Google — сервисы Яндекс.Карты и Яндекс.Картинки используют для поиска информации по изображениям, данных о местоположении. Google Dorks — сервис Google показывает скрытую информацию, которую не отображают общедоступные сервисы. Как проверить утечки данных: для обнаружения информации используются специальные комбинации ключевых слов и строки поиска.

К примеру: запрос filetype:txt имя_пользователя_или_электронная_почта позволяет проверить, не была ли взломана почта или аккаунт.

Epieos, OSINT‑Industries — сервисы показывают, на каких сервисах зарегистрирован электронный адрес; находят информацию по электронной почте, номерах телефона. Как проверить утечки данных: ввести номер телефона или электронный адрес и получить подборку данных о них в интернете.

Whois / Whois IP — сервисы, которые показывают данные о доменных именах и IP-адресах. Как проверить утечки данных: ввести доменное имя/IP-адрес, если в открытом доступе будет информация о пользователе (ФИО, адрес, телефон, почта) — это говорит об утечке информации.

Что можно узнать по IP-адресу: кто владеет IP-адресом, контактной информации, местоположением, какой подсети принадлежит IP-адрес, компании, регистраторе IP-адреса. Аналогично можно узнать информацию о владельце домена, регистраторе, дате регистрации и о лицах, которые отвечают за техническую поддержку домена.

LeakCheck — используется для проверки утечек персональных данных (email, логинов, телефонов и паролей). Как проверить утечки данных: на сайте ввести email, username, IP-адрес или номер телефона — сервис покажет, в каких утечках эти данные были обнаружены.

Что можно узнать по логину

Зарегистрированные профили в соцсетях, адреса электронной почты, контактную информацию, местоположение и другие следы активности в сети — все это можно узнать по логину в результате OSINT-исследования. Можно обнаружить утечки данных, связанные с логином, включая пароли и другую конфиденциальную информацию, если она скомпрометирована.

Самопроверка с помощью таких сервисов, как LeakCheck, Have I Been Pwned, Google Alerts и других, помогает своевременно выявлять утечки данных, оберегать онлайн-репутацию, принимая меры до того, как информация попадет в чужие руки. OSINT для себя — это возможность самому побыть посторонним наблюдателем и узнать, какие данные о вас доступны в сети, где вы засветились, какие риски могут возникнуть.

Почему это опасно: примеры угроз и рисков

Интернет переполнен информацией, доступной любому, кто знает, как пользоваться OSINT-инструментами. Утечка личных данных — нередкое явление. Частные лица и компании должны помнить о том, что они публикуют и о том, что уже есть в открытом доступе. Знать, как та или иная информация может быть использована против вас — лучший способ защитить себя от цифровой угрозы.

Примеры того, как примитивная активность в сети может сыграть злую шутку:

Размещая объявление на маркетплейсе, Юрий указал номер телефона, фамилию, имя и отчество. Спустя несколько недель обнаружил, что на него оформили микрозайм. Мошенники воспользовались указанными данными и общедоступной информацией из соцсети.

Андрей использовал при регистрации один и тот же email-адрес на всех сервисах. Дата рождения была указана в профиле Facebook, при этом он часто публиковал на странице школьные фото, фото с друзьями, родителями и посты с поздравлениями. С помощью функции «забыл пароль», мошенники получили доступ к его электронному ящику, а через него — к другим аккаунтам. 

Это не единичные случаи, когда надежная защита от интернет-угроз отсутствует. Киберпреступники вычисляют риски OSINT, чтобы подготовиться к целевой атаке — фишингу, взлому и даже подделке личности.

Как защитить себя от OSINT-раскрытия

Защита от OSINT начинается с понимания, какой информацией вы делитесь, где и как. Для начала стоит провести аудит вашего цифрового следа в сети. Для этого введите в поисковике свое имя и фамилию. Найдите давно забытые аккаунты в социальной сети, посетите сайты поиска людей. Вы удивитесь, сколько данных находится в открытом доступе.

Практические советы по защите личных данных

Как позаботиться о цифровой гигиене и заранее скрыть личную информацию в интернете от глаз злоумышленников:

1. Используйте надежные пароли, уникальные и желательно разные для каждой учетной записи. Используйте двухфакторную аутентификацию (2FA) в качестве дополнительного уровня безопасности.
2. Используйте VPN. Это позволит замаскировать ваш IP-адрес, зашифровать интернет-трафик и затруднить отслеживание ваших действий в интернете.
3. Регулярно очищайте файлы cookie. Используйте альтернативные браузеры, ориентированы на конфиденциальность (Tor, Brave).
4. Соблюдайте анонимность. Пускай некоторые адреса электронных почт и учетные записи в соцсетях не будут указывать на вашу реальную личность.
5. Закройте свои профили в социальных сетях. За вашей жизнью в интернете сможет следить ограниченный круг людей.
6. Установите в браузере блокировщика трекеров. Избавит вас от получения персонализированной рекламы, которую подбирают исходя из просмотренных вами страниц.
7. Удаляйте личную информацию с сайтов-брокеров данных. Для этого можно использовать такие инструменты: PrivacyDuck, DeleteMe.
8. Изучите, как выглядят фишинговые письма, сообщения. Избегайте подозрительных сайтов, загрузок вложений.
9. Старайтесь не использовать общественный WI-FI. Кибермошенники могут узнать ваши пароли, информацию о банковской карточке и другие личные данные.
10. Не забывайте о конфиденциальности. Старайтесь не делиться большим количеством личной информации на платформах в сети.

Компании, которые заботятся о цифровой гигиене и хотят уберечь бизнес от OSINT-атак, должны уведомить персонал, как обращаться с конфиденциальными данными. На что обращать внимание во время публикаций, какие данные можно выкладывать, а какие нет — все должно быть четко прописано в политике безопасности.

Часто задаваемые вопросы о том, какие данные о вас можно найти онлайн