De liefde van OSINT via datingsites

De liefde van OSINT via datingsites

februari 25, 2019 0 Door admin

 

Valentijnsdag wenskaart met geschenkdozen en smartphone op houten achtergrond. Bovenaanzicht met ruimte voor uw groeten of smartphone-app. Plat leggen Getty

Met Valentijnsdag om de hoek, liefde in de lucht en OSINT in de ether, hebben we een vluchtige mix van brandbare materialen. Deze materialen kunnen een krachtige OSINT-verzameling en gebruik voor kwaadwillige doeleinden mogelijk maken. In tegenstelling tot Facebook , LinkedIn , Twitter , Pinterest of realty-sites , is inhoud op datingsites niet bedoeld voor consumptie door het grote publiek. Ze zijn bedoeld voor een kleine groep gelijkgestemde mensen.

Voor de toepassing van dit artikel verzamel ik dating-, hook-up- en fetisj sites als ‘dating sites’. Hoewel ik erken dat alle platforms verschillende modellen, beoogde doelgroepen en beoogde resultaten hebben, consolideer ik ze voor het doel van dit artikel. Ik bedoel geen belediging of schade in deze generalisatie, ik illustreer het potentieel van open source intelligence-verzameling, niet de verdiensten of nadelen van het gebruik van datingsites.

dating sites. Veel mensen gebruiken datingsites om liefde te vinden of om lust te vinden. Zoals Kevin Murnane in 2016 illustreerde , gebruiken steeds meer mensen datingsites zoals eHarmony , OkCupid , Tinder , Grindr , Plenty of Fish , Farmers Only, Ashley Madison en OurTime. Met websites als deze kan een persoon een vergoeding betalen en de achtervolging inhalen. Wat zijn de intenties van de persoon die zich aanmeldt? Casual dating, aansluiten of serieuze relatie / huwelijk?

dating-sites lenen zich voor de OSINT-collectie. Gebruikers zijn niet geverifieerd om geldige afbeeldingen of gegevens te gebruiken. Hoewel er onbetwistbare valse accounts zijn, zoals we geleerd hebben met de datalek van Ashley Madison , zouden gebruikers van deze sites waarschijnlijk eerder een voordeel van de twijfel geven. De andere kant van dezelfde medaille wijst erop dat veel gebruikers hun harten uitstorten en veel intieme details delen die tegen hen kunnen worden gebruikt. Beginnend met het voor de hand liggende, plaatsen gebruikers meestal hun postcode of andere verwijzingen naar hun fysieke locatie.

Dit is niet de schuld van de sites, voor het grootste deel. De sites kunnen vragen stellen die te invasief zijn of mogelijk dat overschatting mogelijk maken. Een beetje meer terug, de gebruikers kunnen een gebruikersnaam op dat platform gebruiken die ze ook op een andere website gebruiken, of het nu een andere datingsite is of een reguliere sociale media-website. Dit is een potentiële vector voor een stalker of een agressor om van internet naar het echte leven te gaan. Zelfs als de gebruiker een valse voornaam gebruikt of zijn achternaam niet onthult, negeert het opnieuw gebruiken van de gebruikersnaam elk beveiligingsprotocol met dit account als hun echte naam wordt gebruikt voor een account met dezelfde gebruikersnaam. De profiler-module van Recon-ng of Micah Hoffman ’s What’s My Name (de bron van de Recon-ng-plug-in), kan een gebruikersnaam gebruiken en opsommen waar deze gebruikersnaam anders wordt gebruikt.

Nu voor de meer sinistere toepassingen van OSINT voor het richten van mensen op datingsites. Omdat ik niet op een datingsite sta, heb ik kennissen en vrienden die ze gebruiken voor ondervraagde datapunten gepolled. Ik vroeg hen over de informatie die nodig was om het account te maken, of de e-mail toegankelijk was voor andere gebruikers, de soorten informatie die andere gebruikers hadden aangevraagd en de soorten informatie waar andere gebruikers naar vroegen. Ik vroeg ook of degenen die datasites gebruiken als ze dezelfde gebruikersnaam of profielfoto elders gebruikten.

Als resultaat van dit informele kwalitatieve onderzoek kon ik een paar vectoren vinden die ertoe konden leiden dat een stalker of andere kwaadwillende acteur OSINT gebruikt om onethisch of onwettig gedrag te plegen. In dit geval zou een actor (ex-geliefde, aanvaller gericht op de werkgever van het slachtoffer, afperser) een account kunnen maken op het gewenste platform. Het kan variëren in nauwkeurigheid van volledig onwaar tot helemaal waar (minder hun intenties). Ze konden het profiel van hun doelgroep lezen en hun eigen profiel aanpassen om aantrekkelijk te zijn voor het doelwit. Eenmaal verbonden, zouden ze social engineeringtechnieken kunnen gebruiken om een ​​verstandhouding op te bouwen en het doel te bereiken.

Als je naar een meer extreme optie gaat, kan een afgewezen gebruiker problemen hebben door nee te nemen als antwoord. De persoon die ze weigert, gebruikt zijn gebruikersnaam op andere sociale mediaplatformen zoals Facebook, Instagram en Twitter. De afgewezen partij noteert de gebruikersnaam van de persoon en downloadt of maakt schermafbeeldingen van hun foto’s. Vanaf dit punt zoekt de afgekeurde partij naar ander gebruik van de gebruikersnaam en vindt het Facebook-account van het slachtoffer en hun echte naam. Ze zien ook waar ze zich bevinden en foto’s van de buitenkant van hun huis. Om hun locatie te bevestigen, correleren ze de afbeeldingen met zoekopdrachten in omgekeerde afbeeldingen en vergelijken ze met eerdere aanbiedingen van onroerend goed.

Op basis van de informatie die is ontdekt, kan de afgewezen partij het slachtoffer achtervolgen en lastigvallen of erger. Omdat dit buiten de servicevoorwaarden van de datingsite valt, zijn ze niet wettelijk verantwoordelijk voor de agressor die de correlatie uitvoert en alles wat ze digitaal of in het echte leven met het slachtoffer of hun geliefden doen. Het enige dat censuur op de site zou kunnen doen, is dat gebruikers anonieme gebruikersnamen moeten gebruiken.

Door middel van gesprekken kunnen potentiële aanvallers ook in gesprek gaan met slachtoffers of in sommige gevallen de bijschriften of tekst lezen. Ze kunnen vragen over het opnieuw instellen van hun wachtwoord op slimme manieren inlijsten om dingen te krijgen zoals de naam van de basisschool, de naam van het huisdier, de straat waar het slachtoffer is opgegroeid of de meisjesnaam van het slachtoffer. Dit zou op veel online platforms rampspoed voor het slachtoffer kunnen betekenen. Stel je voor dat het doel van het eindspel was dat de aanvaller de werkgever van het slachtoffer zou aanvallen of het slachtoffer professioneel zou vernietigen. De bovenstaande scenario’s kunnen zeker verschillende soorten reputatieschade, emotionele en fysieke schade veroorzaken.

Hoe kan men een niveau van veiligheid en beveiliging op deze sites handhaven en toch gebruiken? Gebruik een speciale gebruikersnaam op elke datingsite. Gebruik het niet opnieuw op een social media-platform of e-mailaccount dat is gekoppeld aan iets dat verder gaat dan de datingsite. Wees alert op vragen die kunnen leiden tot het leren van een tegenstander of het opnieuw instellen van uw wachtwoord. Wees voorzichtig met welke andere informatie u verstrekt en wanneer u mensen persoonlijk ontmoet. Wees voorzichtig bij het plaatsen van foto’s. De achtergrond van de afbeelding kan worden gebruikt bij het zoeken in omgekeerde afbeeldingen en geeft uw locatie weg. Tenzij u een ID moet opgeven, kunt u overwegen om een ​​nepnaam of een gedeeltelijk valse naam te gebruiken. Tenslotte, wees voorzichtig bij het koppelen van uw sociale media-accounts aan datingsites.

Concluderend, datingsites zijn niet slecht. Ze zijn een middel voor mensen om contact te maken, elkaar te ontmoeten en liefde te vinden. Bij het gebruik ervan is het van vitaal belang om ze op te nemen in uw dreigingsmodel en uw gedrag dienovereenkomstig aan te passen. Overweeg ook de problemen die verschillende sites hebben gehad met datalekken zoals Adult Friend Finder, Ashley Madison, OkCupid en Zoosk om er maar een paar te noemen. Dit moet ook worden verwerkt in uw dreigingsmodel.

“>

Valentijnsdag wenskaart met geschenkdozen en smartphone op houten achtergrond. Bovenaanzicht met ruimte voor uw groeten of smartphone-app. Plat leggen Getty

Met Valentijnsdag om de hoek, liefde in de lucht en OSINT in de ether, hebben we een vluchtige mix van brandbare materialen. Deze materialen kunnen een krachtige OSINT-verzameling en gebruik voor kwaadwillige doeleinden mogelijk maken. In tegenstelling tot Facebook , LinkedIn , Twitter , Pinterest of realty-sites , is inhoud op datingsites niet bedoeld voor consumptie door het grote publiek. Ze zijn bedoeld voor een kleine groep gelijkgestemde mensen.

Voor de toepassing van dit artikel verzamel ik dating-, hook-up- en fetisj sites als ‘dating sites’. Hoewel ik erken dat alle platforms verschillende modellen, beoogde doelgroepen en beoogde resultaten hebben, consolideer ik ze voor het doel van dit artikel. Ik bedoel geen belediging of schade in deze generalisatie, ik illustreer het potentieel van open source intelligence-verzameling, niet de verdiensten of nadelen van het gebruik van datingsites.

dating sites. Veel mensen gebruiken datingsites om liefde te vinden of om lust te vinden. Zoals Kevin Murnane in 2016 illustreerde , gebruiken steeds meer mensen datingsites zoals eHarmony , OkCupid , Tinder , Grindr , Plenty of Fish , Farmers Only, Ashley Madison en OurTime. Met websites als deze kan een persoon een vergoeding betalen en de achtervolging inhalen. Wat zijn de intenties van de persoon die zich aanmeldt? Casual dating, aansluiten of serieuze relatie / huwelijk?

dating-sites lenen zich voor de OSINT-collectie. Gebruikers zijn niet geverifieerd om geldige afbeeldingen of gegevens te gebruiken. Hoewel er onbetwistbare valse accounts zijn, zoals we geleerd hebben met de datalek van Ashley Madison , zouden gebruikers van deze sites waarschijnlijk eerder een voordeel van de twijfel geven. De andere kant van dezelfde medaille wijst erop dat veel gebruikers hun harten uitstorten en veel intieme details delen die tegen hen kunnen worden gebruikt. Beginnend met het voor de hand liggende, plaatsen gebruikers meestal hun postcode of andere verwijzingen naar hun fysieke locatie.

Dit is niet de schuld van de sites, voor het grootste deel. De sites kunnen vragen stellen die te invasief zijn of mogelijk dat overschatting mogelijk maken. Een beetje meer terug, de gebruikers kunnen een gebruikersnaam op dat platform gebruiken die ze ook op een andere website gebruiken, of het nu een andere datingsite is of een reguliere sociale media-website. Dit is een potentiële vector voor een stalker of een agressor om van internet naar het echte leven te gaan. Zelfs als de gebruiker een valse voornaam gebruikt of zijn achternaam niet onthult, negeert het opnieuw gebruiken van de gebruikersnaam elk beveiligingsprotocol met dit account als hun echte naam wordt gebruikt voor een account met dezelfde gebruikersnaam. De profiler-module van Recon-ng of Micah Hoffman ’s What’s My Name (de bron van de Recon-ng-plug-in), kan een gebruikersnaam gebruiken en opsommen waar deze gebruikersnaam anders wordt gebruikt.

Nu voor de meer sinistere toepassingen van OSINT voor het richten van mensen op datingsites. Omdat ik niet op een datingsite sta, heb ik kennissen en vrienden die ze gebruiken voor ondervraagde datapunten gepolled. Ik vroeg hen over de informatie die nodig was om het account te maken, of de e-mail toegankelijk was voor andere gebruikers, de soorten informatie die andere gebruikers hadden aangevraagd en de soorten informatie waar andere gebruikers naar vroegen. Ik vroeg ook of degenen die datasites gebruiken als ze dezelfde gebruikersnaam of profielfoto elders gebruikten.

Als resultaat van dit informele kwalitatieve onderzoek kon ik een paar vectoren vinden die ertoe konden leiden dat een stalker of andere kwaadwillende acteur OSINT gebruikt om onethisch of onwettig gedrag te plegen. In dit geval zou een actor (ex-geliefde, aanvaller gericht op de werkgever van het slachtoffer, afperser) een account kunnen maken op het gewenste platform. Het kan variëren in nauwkeurigheid van volledig onwaar tot helemaal waar (minder hun intenties). Ze konden het profiel van hun doelgroep lezen en hun eigen profiel aanpassen om aantrekkelijk te zijn voor het doelwit. Eenmaal verbonden, zouden ze social engineeringtechnieken kunnen gebruiken om een ​​verstandhouding op te bouwen en het doel te bereiken.

Als je naar een meer extreme optie gaat, kan een afgewezen gebruiker problemen hebben door nee te nemen als antwoord. De persoon die ze weigert, gebruikt zijn gebruikersnaam op andere sociale mediaplatformen zoals Facebook, Instagram en Twitter. De afgewezen partij noteert de gebruikersnaam van de persoon en downloadt of maakt schermafbeeldingen van hun foto’s. Vanaf dit punt zoekt de afgekeurde partij naar ander gebruik van de gebruikersnaam en vindt het Facebook-account van het slachtoffer en hun echte naam. Ze zien ook waar ze zich bevinden en foto’s van de buitenkant van hun huis. Om hun locatie te bevestigen, correleren ze de afbeeldingen met zoekopdrachten in omgekeerde afbeeldingen en vergelijken ze met eerdere aanbiedingen van onroerend goed.

Op basis van de informatie die is ontdekt, kan de afgewezen partij het slachtoffer achtervolgen en lastigvallen of erger. Omdat dit buiten de servicevoorwaarden van de datingsite valt, zijn ze niet wettelijk verantwoordelijk voor de agressor die de correlatie uitvoert en alles wat ze digitaal of in het echte leven met het slachtoffer of hun geliefden doen. Het enige dat censuur op de site zou kunnen doen, is dat gebruikers anonieme gebruikersnamen moeten gebruiken.

Door middel van gesprekken kunnen potentiële aanvallers ook in gesprek gaan met slachtoffers of in sommige gevallen de bijschriften of tekst lezen. Ze kunnen vragen over het opnieuw instellen van hun wachtwoord op slimme manieren inlijsten om dingen te krijgen zoals de naam van de basisschool, de naam van het huisdier, de straat waar het slachtoffer is opgegroeid of de meisjesnaam van het slachtoffer. Dit zou op veel online platforms rampspoed voor het slachtoffer kunnen betekenen. Stel je voor dat het doel van het eindspel was dat de aanvaller de werkgever van het slachtoffer zou aanvallen of het slachtoffer professioneel zou vernietigen. De bovenstaande scenario’s kunnen zeker verschillende soorten reputatieschade, emotionele en fysieke schade veroorzaken.

Hoe kan men een niveau van veiligheid en beveiliging op deze sites handhaven en toch gebruiken? Gebruik een speciale gebruikersnaam op elke datingsite. Gebruik het niet opnieuw op een social media-platform of e-mailaccount dat is gekoppeld aan iets dat verder gaat dan de datingsite. Wees alert op vragen die kunnen leiden tot het leren van een tegenstander of het opnieuw instellen van uw wachtwoord. Wees voorzichtig met welke andere informatie u verstrekt en wanneer u mensen persoonlijk ontmoet. Wees voorzichtig bij het plaatsen van foto’s. De achtergrond van de afbeelding kan worden gebruikt bij het zoeken in omgekeerde afbeeldingen en geeft uw locatie weg. Tenzij u een ID moet opgeven, kunt u overwegen om een ​​nepnaam of een gedeeltelijk valse naam te gebruiken. Tenslotte, wees voorzichtig bij het koppelen van uw sociale media-accounts aan datingsites.

Concluderend, datingsites zijn niet slecht. Ze zijn een middel voor mensen om contact te maken, elkaar te ontmoeten en liefde te vinden. Bij het gebruik ervan is het van vitaal belang om ze op te nemen in uw dreigingsmodel en uw gedrag dienovereenkomstig aan te passen. Overweeg ook de problemen die verschillende sites hebben gehad met datalekken zoals Adult Friend Finder, Ashley Madison, OkCupid en Zoosk om er maar een paar te noemen. Dit moet ook worden verwerkt in uw dreigingsmodel.

bron