上海市|挖掘 OSINT 金矿——实习生和社交媒体

话说我看到了一个绝佳的机会:某个员工正在进入安全工作区域。当我试图跟着他时，他转过身来，看着我问道: “我可以看看你的工牌吗? ” ，我带着自信的微笑，把手伸进钱包，掏出一个工牌给他看。当我戴着假冒的员工工牌进入安全工作区时，他笑了笑，向我表示感谢，然后走开了。这一切都要感谢他们公司的一名实习生在社交媒体上发布的一个帖子。
我是怎么走到这一步的?让我从头说起。

黑掉人类，暴露安全盲点我是X-Force红队的一名“专门黑人的黑客” ，这是IBM安全团队内部的一个由资深黑客组成的自治团队，受雇闯入各个组织，揭露犯罪分子可能为了个人利益而利用的安全风险。我收集公司或员工无意中在网上暴露的信息，利用社会工程学说服人们给我更多的信息或访问权限，直到我们最终达到目标。通常，这意味着我要偷偷摸摸地进入公司的实体办公室。
通过我的经验，我学到了寻找能帮助我进入一家公司的情报的最佳地点，那就是社交媒体，这可是一座金矿。大约75%的情况中，通过社交媒体搜索会在几个小时内找到我想要的信息。对于大公司来说尤其如此，因为在社交媒体发布内容的职位大多来自实习生或新员工。
让我们以安全为代价欢迎实习生吧对于学生和应届毕业生来说，实习可能是他们考虑在全职工作中获得宝贵工作经验的绝佳途径。然而， Z世代（译者注：Z世代是美国及欧洲的流行用语，意指在1995-2009年间出生的人）在社交媒体上过度分享的倾向，加上实习期间松懈的安全培训，在涉及到安全和商业风险时，是导致灾难的根源。从上传他们工牌的照片，到在办公室发布“生活中的一天”的视频博客，实习生和热心的年轻员工的社交媒体习惯让他们成为黑客获取丰富信息的来源。
让我们来看看其中的一些因素。安全意识项目本身既不性感也不迷人。因此，新员工入职过程中的这一部分常常被完全忽视，而且在许多情况下，一些政策在涉及到实习生时会放宽。这些规则可能包括关闭工作站、凭证共享和社交媒体限制，这些规定通常适用于所有其他员工。
除此之外， Z世代是迄今为止最热心的一代社交媒体用户。根据皮尤研究中心的数据，在18到24岁的人群中， 75%的人在使用Instagram ， 73%的人在使用Snapchat ， 76%的人在使用Facebook ， 90%的人在使用YouTube 。在没有社交媒体安全指南的情况下，让这群用户体验他们的第一次工作经历是一个巨大的风险，大多数公司都没有考虑到这一点。
实习生并不是黑客们搜集信息的唯一目标。新的全职雇员也会带来风险。对于那些没有把安全意识培训作为新员工入职培训内容的公司，新员工可能要等到下一轮全公司范围的培训，这可能需要一年的时间。兴奋的新员工经常通过一张带有标签（例如：#新工作#在公司的第一天#公司名称）的自拍照发布他们的帖子，炫耀他们的新办公环境，而忽略了公司的敏感信息可能是就在图片背景里。
不仅仅是实习生和员工的帖子会造成问题。我经常发现，一个公司自己的社交媒体团队发布的照片和视频也会暴露敏感内容，他们竞相展示所有有趣的东西，使他们的办公环境和项目看起来令人兴奋和诱惑，以吸引新的人才，这会将整个组织置于危险之中。