昨天提到，不小心透露公司的專案進度、主管異動、廠商合作等資訊，都可能被有心人士拿去利用。
但我後來開始接觸資安才發現：「如果我什麼都沒有問你，只在網路上搜尋，能不能知道你的公司在做什麼？」
答案是：可以。
這就讓我接觸到一個很有趣的資安領域：OSINT（Open Source Intelligence，公開來源情報）。
簡單來說，就是透過公開且合法取得的資訊，例如公司官網、新聞、公開文件、社群平台、職缺資訊等，進行蒐集、整理並分析出有價值的情報。
例如一家公司在徵才網站公開：「正在尋找熟悉某套系統的工程師。」
再搭配公司官網的組織資訊、新聞稿，以及員工在社群平台分享的工作內容，可能就可以慢慢拼湊出：公司使用什麼技術、有哪些部門、正在進行什麼專案，甚至誰可能負責這些工作。
而這些資訊如果被拿來進行社交工程，就可能變成攻擊者的「劇本」。
iThome鐵人賽
看影片追技術