Открытые источники — это океан информации. Разделим их на категории и разберем, что именно можно найти о вашей фирме.

Корпоративные реестры и финансовые данные

В России ключевые ресурсы — ЕГРЮЛ, ЕГРИП, СПАРК, Контур.Фокус или РБК Компании. Здесь публикуются учредители, директора, уставный капитал, адреса офисов, филиалов и даже истории банкротств. Пример: поиск по ИНН выдает не только текущих владельцев, но и связанные компании, включая ликвидированные. Если ваш CFO ранее руководил фирмой с долгами, это всплывет — конкуренты оценят риски партнерства. Финансовые отчеты (для ООО и АО) раскрывают выручку, прибыль, долги. В госзакупках на портале zakupki.gov.ru видны контракты, цены, поставщики. Аналитик за час составит картину: объемы закупок, маржа, слабые поставщики. Реальный кейс: маркетологи используют это для account-based marketing — целенаправленных кампаний по клиентам конкурентов.

Социальные сети и цифровой footprint сотрудников

Сотрудники — слабое звено. LinkedIn выдает оргструктуру: кто за что отвечает, зарплатные ожидания (по вакансиям), связи. ВКонтакте, Instagram или Telegram-каналы раскрывают личную жизнь: фото с корпоративов (логотипы, офисы), жалобы на босса, упоминания партнеров. Хакеры ищут email в формате firstname.lastname@company.ru и строят базу для фишинга. Пример: OSINT-анализатор сканирует GitHub — разработчики часто выкладывают код с метаданными (IP-адреса, версии ПО). В 2024 году это помогло конкурентам одной IT-фирмы скопировать архитектуру продукта. Даже геотэги в постах показывают локации складов или удаленных офисов.

Веб-сайты, новости и специализированные инструменты

Ваш сайт — золотая жила: whois домена выдает владельца и контакты; Google Dorks (расширенный поиск) находит незащищенные файлы (/admin, backups). Новости и пресс-релизы раскрывают сделки, запуски. Shodan сканирует открытые порты серверов, выявляя уязвимые IoT-устройства в офисе. Геоданные: спутниковые снимки (Google Earth) показывают парковки, логистику. Патентные базы — инновации. Для HR: по ФИО соискателя в XFirm видны все связанные фирмы, риски утечек. В сумме: за день OSINT'щик соберет досье — от топ-менеджмента до уязвимостей инфраструктуры.

Практические примеры OSINT-атак на компании и уроки из них

Чтобы понять угрозу, рассмотрим реальные случаи. Первый пример: проверка контрагента. Компания "Альфа" хотела партнерство с "Бетой". OSINT показал: директор "Беты" судился по мошенничеству (из реестра арбитражных дел), поставщики — фирмы-однодневки (СПАРК). Сделка сорвалась, сэкономив миллионы. Второй: репутационный удар. Конкурент мониторил соцсети сотрудников "Гаммы" — посты о задержках зарплат разошлись в Telegram-каналах. Результат: отток клиентов, акции упали на 15%. Третий: кибератака. Перед фишингом на "Дельту" хакеры изучили VK-профили: узнали имена детей, фото отпусков. Письма "от банка" с персональными деталями обманули 20% адресатов. Четвертый: конкурентная разведка. Фирма "Эпсилон" анализировала тендеры оппонента — выявила предпочтения поставщиков и предложила им лучшие цены. Уроки: данные "работают в обе стороны". Компании, игнорирующие OSINT, теряют преимущество.

Как защитить компанию от OSINT без паранойи: пошаговый план

Защита — это не blackout интернета, а разумный контроль. Начните с аудита, затем внедряйте меры. Цель: минимизировать footprint, не мешая бизнесу.

Шаг 1: Проведите OSINT-аудит своей компании

Самим стать "разведчиком". Используйте бесплатные инструменты: OSINT Framework (карта источников), Google Dorks ("site:yourdomain.ru filetype:pdf"), theHarvester (emails). Проверьте ЕГРЮЛ, соцсети, Shodan. Результат: отчет с рисками. Проводите аудит ежеквартально — 2-3 часа хватит.

Шаг 2: Контролируйте корпоративные данные

• Реестры: В ЕГРЮЛ минимизируйте детали (используйте номинальных директоров только при необходимости). Мониторьте изменения через сервисы вроде Контур.Фокус.
• Сайт: Установите robots.txt, защитите whois (анонимизируйте через Reg.ru). Удалите старые страницы с контактами.
• Госзакупки и отчеты: Публикуйте минимум, маскируйте чувствительные детали.

Шаг 3: Работайте с сотрудниками и соцсетями

• Политика: В трудовом договоре запретите раскрытие конфиденциала (офисы, проекты). Тренинг: "не постите геотэги, корпоративные фото".
• Профили: В LinkedIn — приватные настройки, без деталей оргструктуры. Автоматизируйте мониторинг (Brand24 или Mention).
• Пример: Внедрите правило "no work on personal social" — риски фишинга падают на 70%.

Шаг 4: Технические меры и мониторинг

• Инфраструктура: Закройте ненужные порты (Shodan-скан), используйте VPN для сотрудников.
• Мониторинг: Google Alerts на название компании, Talkwalker для упоминаний. Инструменты вроде SpiderFoot — автоматизация.
• HR и партнеры: Проверяйте соискателей OSINT'ом (XFirm по ФИО). В контрактах — NDA с OSINT-ограничениями.

Шаг 5: Внедрите корпоративный OSINT для преимущества

Не обороняйтесь — атакуйте. Мониторьте конкурентов, риски цепочек поставок. Инструменты: Maltego для графов связей. Это даст преимущество без паранойи. Бюджет: на старте — 50-100 тыс. руб./мес. (сервисы + специалист). Эффект: сниженные риски на 80%. Регулярно обновляйте меры — цифровой мир меняется. Компании вроде Google или Kaspersky уже так живут: открыты, но контролируемы. В итоге, OSINT — не угроза, а напоминание: информация — валюта. Разумный контроль превращает уязвимости в силу, позволяя фокусироваться на росте, а не страхах. Начните аудит сегодня — и ваша компания станет невидимой для чужих глаз, оставаясь видимой для клиентов.