Ein Honeytoken ist ein absichtlich ausgelegter Köder, der nichts Nützliches tut, außer zu melden, wenn er berührt wird. Das kann ein Dokument sein, das beim Öffnen nach Hause funkt, ein gefälschter Login, der bei Nutzung Alarm schlägt, oder ein eindeutiger Tracking-Link. Da eine berechtigte Person keinen Grund hat, damit zu interagieren, ist jeder Zugriff ein starkes Signal, dass jemand schnüffelt.
Honeytokens schneiden im OSINT in beide Richtungen. Verteidiger und datenschutzbewusste Menschen nutzen sie, um zu erkennen, wenn ihre Daten sondiert oder eine geleakte Datei geöffnet wird. Ermittler wiederum müssen annehmen, dass Dokumente, Links und Bilder, auf die sie stoßen, Honeytokens sein könnten — eines auf einem zurechenbaren Gerät zu öffnen kann Ihre IP, Ihren Standort und die Tatsache preisgeben, dass Sie beobachten. Das ist ein zentraler Grund, aus einer isolierten Umgebung heraus zu arbeiten.