Digitální já pod kontrolou: Sledování, které se ti odehrává za zády
Vyber si: chceš žít v sladké nevědomosti surfování na vlnách internetu, nebo se chceš dozvědět pravdu o svém digitálním já a sledování, které se ti odehrává za zády?
Digitální stopa
Stopa, kterou jen tak nezakryješ!
Cookies a fingerprinting
Osobní data na prodej!
OSINT a doxing
Co o tobě může zjistit kdokoli?
Vžij se do role útočníka!
- Sdílej s rozmyslem (na sociálních sítích jenom neveřejně, jen pro přátele).
- Počítej s tím, že tvé osobní informace se mohou dostat k útočníkovi i bez tvého vědomí (únik dat ze sociální sítě, sdílení informací o tobě tvými dětmi nebo kamarády…).
- Měj na paměti, že jakákoliv tvá osobní informace drasticky zvyšuje důvěryhodnost útoku na tebe, nebo na tvou rodinu a přátele.
Digitální stopa
Digitální stopa jsou všechny informace, které za sebou zanecháváš při brouzdání webem – stejně jako stopy na pláži. Rozdíl je, že tyto stopy žádné moře nesmyje.
Tato stopa obsahuje data, která vědomě sdílíš – říkáme jí aktivní digitální stopa:
- Publikuješ příspěvky na sociálních sítích
- Přispíváš do diskuzních fór
- Vkládáš informace do fotobank
- Posíláš e-maily a zprávy
- Vyplňuješ online formuláře, např. se registruješ do e-shopu či na konferenci
Pak jsou tu data, která se shromažďují automaticky, aniž bys o tom věděl – říkáme jim pasivní digitální stopa:
- IP adresa
- Informace o poloze
- Soubory cookies, které sledují tvoje chování na webu
- Historie prohlížení
A proč je dobré vědět, že za sebou digitální stopy zanecháváš? Mají vliv na tvé soukromí, reputaci, možnost nabízet ti cílené reklamy, a především na tvoji bezpečnost! Data z tvé digitální stopy se dají zneužít pro cílené kybernetické útoky.
Skutečný vyděračský mail, který pro větší autentičnost využívá adresu bydliště, kde dokonce přidává fotku bydliště z Google Street View, najdeš na blogu Avastu.
Tento sextortion útok (forma vydírání, kdy útočník hrozí zveřejněním intimních materiálů oběti, pokud mu nezaplatí) vydělal útočníkům minimálně 130 000 USD! Možná se takovému mailu zasměješ, ale představ si, že obsahuje více osobních informací než jen adresu bydliště. Bude to hrozivější a důvěryhodnější? A zasmáli by se mu i tvoji přátelé či rodina?
Dokáže si kdokoliv vyhledat tvou adresu na internetu? Nebo dokáže zjistit i další věci? V jakém jezdíš autě? Kde máš chatu? Jak chata vypadá? Jakého máš psa? Informace o tvých dětech?
- Sdílej s rozmyslem (na sociálních sítích jenom neveřejně, jen pro přátele).
- Počítej s tím, že tvé osobní informace se mohou dostat k útočníkovi i bez tvého vědomí (únik dat ze sociální sítě, sdílení informací o tobě tvými dětmi nebo kamarády…).
- Měj na paměti, že jakákoliv tvá osobní informace drasticky zvyšuje důvěryhodnost útoku na tebe, nebo na tvou rodinu a přátele.
- Vyzkoušej si OSINT na své osobě.
- Reviduj, co citlivého se o tobě dá snadno dohledat z veřejně dostupných zdrojů.
- Projdi si své veřejné profily a nastav si u nich vyšší úroveň soukromí.
OSINT a doxing
OSINT znamená Open Source Intelligence a označuje sběr informací z veřejně dostupných zdrojů, bez ohledu na účel jejich použití. Jedná se o jeden ze způsobů získávání informací, který je oblíbený především v posledních letech v souvislosti s rozvojem chytrých telefonů a internetu po celém světě. Dříve se pro zpravodajskou činnost využíval především tzv. HUMINT (tedy získávání informací od lidských zdrojů).
Doxing je naproti tomu označení pro situaci, kdy je o cílové osobě bez jejího souhlasu zveřejněno co největší množství osobních údajů a informací, které vedou k její identifikaci. Pro doxing je možné zneužít i informace získané pomocí OSINTu.
Pojď se nyní vžít do role útočníka a zkus o sobě najít co nejvíc informací, pokud možno ideálně těch osobních a nějakým způsobem citlivých. K dispozici máš celý internet a různými metodami, ať už manuálním webovým vyhledáváním, automatizovanými scripty (web scraping) či dalšími pokročilejšími metodami, můžeš získat osobní informace na skoro kohokoliv chceš! Je proto důležité dbát na etiku a legálnost takových činností.
Pojďme si to ukázat na příkladu osoby pražského radního pro dopravu. Z veřejných zdrojů či na základě zákona o svobodném přístupu k informacím zjistíš, jaký je jeho měsíční příjem. Z katastru nemovitostí mimochodem zjistíš, že v Praze vlastní 5 nemovitostí na lukrativních adresách. Ze svého příjmu si je ale zjevně nemohl dovolit. Jak k nim tedy asi přišel? Pátráš tedy důkladně dál a zaměříš se např. na jeho pracovní náplň a aktivity. Postupně se dopracuješ k zjištění, že z každého prodaného lístku na MHD se 10 haléřů posílá na účet na Bahamách. Z dalších více i méně nápadných informací a indicií dospěješ k závěru, že účet na Bahamách patří pravděpodobně právě tomuto radnímu. Jak se k danému zjištění postavíš? Nabízí se ti tři možnosti:
1. Jsi investigativní novinář a kauzu zveřejníš s poukazem na předraženou zakázku a obrovskou úplatkářskou kauzu. Toto je ukázkový příklad použití OSINTu pro společensky přínosné účely.
2. Informace, které o pražském radním pro dopravu zjistíš, zveřejníš s veškerými podrobnostmi včetně korespondenčních adres, registračních značek apod. Vůbec nebudeš upozorňovat na nepravosti, které se s penězi dělají a tvým motivem je pouze vyzrazení veškerých osobních údajů člověka bez ohledu na kauzu, to je doxing.
3. Rozhodneš se si taky trochu přilepšit a radnímu napíšeš, co jsi zjistil a že od teď ti bude z těch 10 haléřů posílat 5 haléřů na tvůj účet na Panenských ostrovech, jinak celou věc zveřejníš a zatneš mu tipec. V tomto případě by se nejednalo o doxing, ale o obyčejné vydírání 😊
Obecně tedy záleží především na tom, co se získanými informacemi plánuješ provádět. Je důležité se zamyslet, jak nepřekročit tenkou hranici legitimního sběru informací a nesklouznout ke stalkingu, doxingu, nebo jiným aktivitám, které by mohly být považovány za nelegální.
Chceš si to přesto zkusit?
Dejme tomu, že chceš zjistit více informací o osobě, o které znáš pouze uživatelské jméno na Twitteru (dnes síti X).
1. Shromáždi základní informace: Nejprve si analyzuj veřejně dostupný profil osoby. Uživatelské jméno, fotky, lokace nebo časté zmínky ti mohou poskytnout základní informace o jeho životě, jako je přibližné místo bydliště nebo oblíbené aktivity.
2. Udělej křížovou kontrolu na dalších sociálních sítích: Zkus stejné uživatelské jméno nebo profilovou fotku najít i na jiných platformách, jako je Instagram, LinkedIn nebo Facebook. Na LinkedInu můžeš najít pracovní historii nebo vzdělání, na Facebooku pak rodinné nebo přátelské vazby.
3. Analyzuj geolokace fotografií: Pokud osoba sdílí fotografie, můžeš z nich zjistit, kde byly pořízeny. Některé fotky mají v sobě GPS údaje (EXIF data), případně lze lokalitu odvodit podle detailů na fotografii.
4. Zmapuj sociální vazby: Sleduj lajky a komentáře, kterými interaguje s ostatními. Takto zjistíš blízké kontakty osoby a vytvoříš si obrázek o jejím sociálním okruhu.
5. Prozkoumej obchodní a veřejné registry: Pokud osoba podniká, zkus prohledat veřejné obchodní rejstříky jako Justice.cz. Pokud má nemovitost, lze mnoho údajů najít na katastru nemovitostí.
To jsou jen základy OSINTu – profesionálové mají mnohem mocnější nástroje.
OSINT se také hojně využívá ve vojenském prostředí například pro identifikaci míst, ze kterých byly pořizovány fotografie nebo videa. Následně mohou být tímto způsobem ověřovány různé události, které se podle tvrzení válčících stran na bojišti odehrály.
Z tohoto důvodu si můžeme povšimnout, že v poslední době vojáci, kteří z terénu zveřejňují svoje fotky, zakostičkují pozadí krajiny, protože podle zdánlivě nedůležitých keřů, stromů a terénu lze někdy identifikovat přesné místo na Zemi. A na to je následně možné navést např. dělostřeleckou palbu!
- Vyzkoušej si OSINT na své osobě.
- Reviduj, co citlivého se o tobě dá snadno dohledat z veřejně dostupných zdrojů.
- Projdi si své veřejné profily a nastav si u nich vyšší úroveň soukromí.
Nastav si svou osobní kyberbezpečnost!
Budeme rádi, když nám dáš vědět, co z toho pro tebe byla novinka a jestli se ti podařilo zvládnout nastavit vše bez problémů.
A pokud ti něco z toho není jasné a potřebuješ k tomu více informací, neváhej se obrátit na našeho kyberšerifa Dana Válu.
