Jedna od metoda koja se koristi za doxing organizacija su Business Email Compromise (BEC) napadi.
BEC napadi su targetirani napadi u kojima kriminalci pokreću lanac i-mejlova među zaposlenima lažno se predstavljajući kao neko iz kompanije.
U februaru 2021. godine kompanija Kaspersky je otkrila 1646 takvih napada, što naglašava ranjivost organizacija kada je u pitanju eksploatacija javno dostupnih informacija.
Uopšteno, svrha takvih napada je dolazak do poverljivih informacija, kao što su baze podataka klijenata, ili krađa novčanih sredstava.
Primera radi, istraživači kompanije Kaspersky redovno analiziraju slučajeve u kojima se kriminalci, kako bi izvukli novčana sredstva, lažno predstavljaju kao neko od zaposlenih u targetiranoj organizaciji koristeći i-mejlove koji su vrlo slični stvarnim i-mejlovima.
Takvi napadi ne bi bili mogući u masovnim razmerama bez kriminalaca koji prikupljaju i analiziraju javne informacije dostupne na društvenim mrežama i šire, poput imena i položaja zaposlenih, njihovog prebivališta, informacija o tome kada idu na odmor i njihovih veza.
Međutim, BEC napadi su samo jedna vrsta napada koji eksploatišu javno dostupne informacije kako naneli štetu organizacijama.
Raznolikost načina na koje se organizacije mogu naći na meti doxing-a je zapanjujuća i, uz očiglednije metode poput fišinga ili sastavljanja profila organizacija korišćenjem procurelih podataka, uključuje kreativnije pristupe koji se temelje na tehnologiji.
Jedna od možda najpopularnijih strategija korporativnog doxing-a je krađa identiteta. Opšte je pravilo da se ‘dokseri’ oslanjaju na informacije kako bi profilirali određene zaposlene i zatim koristili njihov identitet.
Nove tehnologije kao što su deepfakes olakšavaju takve inicijative pod uslovom da za početak postoje javno dostupni podaci.
Na primer, deepfake video za koji se veruje da je zaposleni u nekoj organizaciji mogao bi da našteti ugledu kompanije – i da ga stvori.
‘Dokserima’ bi bila potrebna samo neka vrsta vizuelnog prikaza zaposlenog i njegovi osnovni lični podaci.
Glasovima se takođe može manipulisati – neki istaknuti spiker koji govori na radiju ili u nekom podcast-u bi mogao da se nađe u situaciji u kojoj je njegov glas snimljen, a zatim kasnij imitiran – na primer, u slučaju poziva računovodstvu prilikom zahtevanja hitnog bankovnog transfera ili slanja baza podataka klijenata.
„Iako se uopšteno veruje da je doxing problem za redovne korisnike – često ga vidimo i u skandalima na društvenim mrežama – korporativni doxing je stvarna pretnja za poverljive podatke organizacija i stoga pretnja koja se ne sme prevideti. Doxing organizacija, baš kao i ljudi, može rezultirati finansijskim i reputacionim gubicima, a što su ukradene poverljive informacije osetljivije, to je veća šteta. Istovremeno, doxing je jedna od pretnji koja bi se mogla sprečiti ili barem značajno umanjiti uz pomoć jakih bezbednosnih procedura unutar organizacije,” komentariše Roman Dedenok (Roman Dedenok), istraživač bezbednosti u kompaniji Kaspersky.