Streszczenie: W artykule wyjaśniamy, jak OSINT (wywiad z otwartych źródeł) przekształca zarządzanie ryzykiem, bezpieczeństwem i reputacją w nowoczesnym biznesie. Metoda ta, wcześniej kojarzona głównie ze służbami specjalnymi, zyskuje na znaczeniu w sektorze prywatnym, umożliwiając firmom dokładną weryfikację kontrahentów, monitorowanie zagrożeń cybernetycznych oraz ochronę przed wyciekami danych i dezinformacją. OSINT pozwala patrzeć na firmę z perspektywy potencjalnego atakującego, identyfikując słabe punkty niedostrzegalne dla tradycyjnych systemów. W artykule omawiamy także wyzwania prawne i etyczne związane z wykorzystaniem OSINT oraz rolę sztucznej inteligencji w automatyzacji tego procesu.
Wyzwania związane z zarządzaniem ryzykiem, bezpieczeństwem i reputacją firmy w coraz bardziej złożonym cyfrowym środowisku wymagają nowych narzędzi i sposobów myślenia. OSINT, czyli wywiad z otwartych źródeł, staje się dziś nie tylko domeną służb specjalnych, lecz także kluczowym elementem strategii biznesowych. Betina Tynka, ekspertka w obszarze OSINT z Mediarecovery, wyjaśnia, jak ta metoda zmienia sposób, w jaki firmy podejmują decyzje i minimalizują ryzyka. Rozmawia Paulina Kostro.
Przez lata OSINT (Open Source Intelligence), czyli wywiad oparty na otwartych źródłach, był kojarzony niemal wyłącznie ze służbami specjalnymi i działaniami wywiadowczymi. Dziś, w obliczu dynamicznych zmian geopolitycznych i nieustannego rozwoju technologii, staje się kluczowym narzędziem dla sektora prywatnego, umożliwiającym skuteczne wykrywanie zagrożeń i minimalizowanie ryzyka operacyjnego.
OSINT tradycyjnie kojarzy się głównie ze służbami specjalnymi. Skąd pomysł, by tę dziedzinę przenieść do biznesu? Czy obserwuje Pani rosnące zainteresowanie firm tą metodą pozyskiwania informacji?
Zdecydowanie tak, to jeden z powodów, dla których dziś o tym rozmawiamy. OSINT jeszcze do niedawna było domeną wywiadu i służb, które korzystały z otwartych źródeł informacji, by zbierać dane o osobach czy zdarzeniach. Jednak od jakiegoś czasu ten obszar zaczyna dynamicznie przenikać do świata biznesu. OSINT pozwala na wyszukiwanie, agregowanie i analizowanie danych z wielu różnych źródeł, dostarczając wiedzę kluczową dla podejmowania decyzji strategicznych oraz zarządzania ryzykiem w firmach.
Czy mogłaby Pani zdefiniować, czym dokładnie jest OSINT? Czy „otwarte źródła” oznaczają wyłącznie darmowe dane?
OSINT to proces pozyskiwania, gromadzenia i analizy informacji publicznie dostępnych, które służą do uzyskania użytecznych danych wywiadowczych czy rozpoznawczych. Warto podkreślić, że „otwarte źródła” nie zawsze oznaczają dane darmowe. Do OSINT zaliczamy także informacje dostępne odpłatnie, ale publicznie – na przykład komercyjne rejestry, artykuły za paywallami czy branżowe subskrypcje. Kluczowy jest fakt ich publicznej dostępności, nawet jeśli wymaga to uiszczenia opłaty.
Słyszy się też o pochodnych OSINT, takich jak SOCMINT czy WEBINT. Jakie znaczenie mają te specjalizacje w kontekście biznesu?
Wraz z rozwojem internetu i cyfryzacji OSINT musiał się wyspecjalizować. WEBINT, czyli Web Intelligence, to wszelkie dane pozyskiwane z sieci, często o charakterze technicznym. SOCMINT (Social Media Intelligence) koncentruje się wyłącznie na mediach społecznościowych i platformach komunikacyjnych. Z kolei ADINT (Advertising Intelligence) to analiza danych pochodzących z ekosystemu reklamowego, która pomaga rozpoznawać trendy rynkowe i zachowania konsumentów. Dzięki tym pochodnym firmy mogą przeprowadzać głębsze, bardziej ukierunkowane analizy zagrożeń i szans.
W jakich obszarach biznesowych OSINT ma największe znaczenie, jeśli chodzi o wykrywanie zagrożeń?
Wyróżniam trzy główne płaszczyzny, które często się przenikają i uzupełniają. Pierwsza to weryfikacja kontrahentów i dostawców (Due Diligence). To obecnie absolutny priorytet, zwłaszcza w świetle wymagań unijnej Dyrektywy NIS2, która rozszerza obowiązki dotyczące bezpieczeństwa na cały łańcuch dostaw. OSINT pozwala na znacznie bardziej pogłębioną weryfikację partnerów biznesowych – wykraczającą poza podstawowe rejestry, takie jak KRS czy CEIDG. Dzięki niemu można analizować powiązania kapitałowe, historię zarządu, aktywność w mediach społecznościowych czy potencjalne powiązania z podmiotami z krajów wysokiego ryzyka. To pomaga uniknąć ryzyk operacyjnych, finansowych i wizerunkowych.
Kolejną jest bezpieczeństwo cybernetyczne i monitoring infrastruktury. OSINT pozwala działom bezpieczeństwa na wykrywanie podatności w infrastrukturze IT, takich jak niewłaściwie zabezpieczone serwery, publicznie dostępne metadane wrażliwych dokumentów, czy wykorzystywanie przestarzałego oprogramowania z krytycznymi lukami. W odróżnieniu od tradycyjnych systemów, które chronią od środka, OSINT patrzy na firmę oczami potencjalnego atakującego, identyfikując „cyfrowy odcisk palca” organizacji i jej słabe punkty.
Jako trzecią wymieniłabym ochronę reputacji, dezinformacje i wycieki danych. OSINT to także stały monitoring internetu, Darknetu oraz komunikatorów jak Telegram czy Discord. Dzięki temu można szybko wykryć wycieki danych powiązanych z domeną firmy, kontami pracowników, a także wczesne próby oszustw, phishingu czy podszywania się pod firmę. Wczesna reakcja zapobiega dużym stratom wizerunkowym i finansowym.
Czy mogłaby Pani podzielić się przykładem, jak OSINT pomógł wykryć krytyczne ryzyko podczas weryfikacji partnera biznesowego?
Oczywiście. Analizowaliśmy kiedyś szwajcarską firmę technologiczną, która na pierwszy rzut oka wyglądała standardowo. Jednak dzięki OSINT wykryliśmy, że wszyscy członkowie zarządu mają lub mieli obywatelstwo rosyjskie. Dalsze śledztwo w mediach społecznościowych ujawniło powiązania jednego z nich z rosyjskim przedsiębiorstwem produkującym identyczną technologię. Okazało się, że szwajcarska firma była przykrywką dla działalności rosyjskiego podmiotu, co w kontekście sankcji i geopolityki stwarzało dla klienta nieakceptowalne ryzyko. Bez OSINT ta ważna informacja prawdopodobnie pozostałaby nieodkryta.
Jakie techniczne zagrożenia dla firm jest w stanie wykryć OSINT, a których nie zauważają tradycyjne systemy bezpieczeństwa?
OSINT działa jako tarcza zewnętrzna – patrzy na naszą organizację oczami potencjalnego atakującego. Pozwala na wykonanie tzw. Footprint Analysis, czyli dokładnej analizy „cyfrowego odcisku palca” firmy w sieci. Możemy wykryć m.in.: niewłaściwie zabezpieczone serwery czy urządzenia podłączone do internetu; szczegóły o wykorzystywanym oprogramowaniu, które mogą być podatne na ataki czy publicznie dostępne metadane w dokumentach (np. PDF), które ujawniają dane o systemach, użytkownikach czy strukturze firmy.
Czy OSINT może z wyprzedzeniem ostrzegać o lukach w zabezpieczeniach?
Tak, jest to jedno z najważniejszych zastosowań. W ramach OSINT można monitorować publiczne bazy podatności, takie jak CVE (Common Vulnerabilities and Exposures) i CPE (Common Platform Enumeration), łącząc je z technologiami działającymi w organizacji. Dzięki temu firma może szybko zareagować i załatać luki, zanim wykorzysta je cyberprzestępca.
A jak wygląda monitorowanie Darknetu i wycieków danych z organizacji?
Niestety wyciek danych to dziś kwestia nie „czy”, lecz „kiedy”. OSINT umożliwia szybkie wykrywanie haseł i adresów e-mail powiązanych z domeną firmy, co pozwala na natychmiastową reakcję – np. zmianę haseł i blokadę kont; ofert sprzedaży kont firmowych czy baz danych na forach Darknetu; prób phishingu i spoofingu, czyli fałszywych stron i ataków podszywających się pod firmę. Monitoring takich aktywności pozwala minimalizować ryzyko i straty.
Jak technologia, a zwłaszcza sztuczna inteligencja, wpływa na rozwój OSINT?
Wpływ technologii, w tym AI, rośnie niemal wykładniczo. Komercyjne systemy automatyzują wyszukiwanie, agregację i analizę danych. Coraz częściej stosuje się uczenie maszynowe i modele AI, które wspomagają monitoring, analizę sentymentu wokół firmy i automatyczne klasyfikowanie informacji jako pozytywne, negatywne czy neutralne.
Czy to oznacza, że można OSINT całkowicie powierzyć algorytmom?
Absolutnie nie. Nawet najlepsze narzędzia są tylko wsparciem. OSINT to proces wywiadowczy, którego sercem jest analiza i weryfikacja. Informacja z pojedynczego źródła jest często bezwartościowa lub wręcz myląca. Niezbędne jest potwierdzenie faktów w co najmniej dwóch niezależnych źródłach, o ile to możliwe, a także krytyczne, nieszablonowe myślenie analityka, którego obecna AI jeszcze w pełni nie zastępuje.
Jakie są największe wyzwania we wdrożeniu OSINT w polskich firmach?
Poza kosztami zaawansowanych narzędzi, największym problemem jest brak kompetencji i wiedzy o legalności działań. Wiele firm, zwłaszcza MŚP, nie wie, jak zacząć, a niektóre błędnie zakładają, że OSINT jest nielegalny. Często też nie wiedzą, gdzie w strukturze firmy umieścić funkcję OSINT, co prowadzi do problemów z zarządzaniem ryzykiem regulacyjnym.
A jak wygląda kwestia legalności i etyki pozyskiwania informacji z otwartych źródeł w Polsce? Gdzie jest granica, której nie wolno przekroczyć?
To fundamentalna sprawa. W polskim prawie nie ma bezpośrednich przepisów regulujących OSINT, ale przyjmuje się, że jest on legalny pod dwoma warunkami. Przede wszystkim działamy wyłącznie na informacjach publicznie dostępnych. Nasze działania mają charakter pasywny, to znaczy, że nie podszywamy się pod nikogo, nie zakładamy fałszywych kont, nie wykorzystujemy inżynierii społecznej. Warto bowiem podkreślić, że aktywne działania to już wywiad, który zarezerwowany jest dla służb. Najczęstsze błędy to natomiast brak weryfikacji źródła i błędy w zakresie przetwarzania danych osobowych. Dlatego OSINT powinien być prowadzony pod nadzorem działu compliance lub prawnego albo we współpracy z nimi.
W takim razie, w strukturze firmy, zespół OSINT powinien być właśnie umiejscowniony w dziale compilance lub prawnym?
Tak, ponieważ to w nich jest największa wiedza o ryzyku regulacyjnym. Jeśli zespół jest bardziej techniczny, może być w dziale bezpieczeństwa (Security), ale zawsze pod nadzorem prawników, aby działania były zgodne z RODO i innymi przepisami.
A jak widzi Pani przyszłość OSINT w sektorze prywatnym?
OSINT przestał być niszowym narzędziem wywiadu. To dynamicznie rozwijający się obszar, który w najbliższych latach stanie się standardem w zarządzaniu ryzykiem dużych i średnich przedsiębiorstw, zwłaszcza regulowanych. Rosnące znaczenie Dyrektywy NIS2, ciągłe zagrożenia cyberatakami oraz rosnąca rola geopolityki w biznesie sprawiają, że proaktywna inteligencja biznesowa oparta na OSINT nie jest luksusem, a koniecznością. Firmy, które ją zignorują, poniosą wyższe koszty – wizerunkowe, prawne i finansowe.
