Как не потерять бизнес из-за одного письма

Каждое третье успешное проникновение в корпоративную сеть начинается с клика. Сотрудник открывает письмо, которое выглядит точно так же, как сотни других рабочих писем, и вводит пароль или запускает файл. Через час критическая инфраструктура компании парализована, базы данных зашифрованы, а на почту приходит требование выкупа.

Фишинг перестал быть просто «нигерийскими письмами» с ошибками. Теперь это высокотехнологичный инструмент социальной инженерии, который бьет в самое слабое место любой защиты — в человеческое внимание.

Иллюзия безопасности: почему корпоративная почта — не панацея

Часто можно услышать: «У нас стоит корпоративная почта с мощным спам-фильтром, нас не взломают». Это опасное заблуждение.

Современные злоумышленники — не хакеры-одиночки, а хорошо организованные группы. Они проводят разведку: изучают структуру компании, имена реальных сотрудников, внутренний сленг и даже корпоративный дизайн писем. Письмо приходит якобы от коллеги из бухгалтерии с просьбой срочно согласовать счет либо от имени ИТ-отдела с требованием подтвердить доступ к Outlook.

Фильтры пропускают такое письмо, потому что оно:

• отправлено со взломанного или очень похожего, но легитимного домена;
• не содержит вредоносных ссылок в явном виде;
• давит на психологию — страх, срочность, служебное подчинение.

Компрометация одного аккаунта может привести к утечке коммерческой тайны, перехвату финансовых потоков или запуску вируса-шифровальщика во всей сети. В 68% случаев причиной утечек данных становится именно человеческий фактор. Последствия — от репутационных потерь до полной остановки операционной деятельности. 

Как выглядит фишинг сегодня: 5 признаков, которые сложно подделать

Несмотря на все ухищрения, злоумышленники до сих пор оставляют следы. Эксперты выделяют несколько маркеров, которые гарантированно указывают на угрозу.

1. Доменная аномалия

Внешне адрес выглядит знакомо, но содержит микросмещение.
Например, вместо @angarasecurity.ru — @angarasecuriity.ru (лишняя буква) или @angarasecurity.tk (чужая странная зона).
Приучите сотрудников смотреть не на имя отправителя, а именно на домен в угловых скобках. Это базовая, но действенная привычка.

2. Технология «Срочно! Начальник просит»

Письма, требующие немедленной реакции под угрозой санкций, — классика. Но сейчас они стали персонализированными.
Пример такого сценария: «Иван, после плановых работ ФСТЭК нужно срочно подтвердить вход. Ссылка ниже. Сотрудники, не прошедшие проверку, будут наказаны». В данном случае срабатывает эффект авторитета и страх перед руководством.

3. Невидимая ссылка

Текст ссылки ведет на один ресурс, а фактический адрес — на другой.
Чтобы проверить это, достаточно навести курсор на ссылку (не нажимая!). В левом нижнем углу почтового клиента всплывет реальный URL. Если мелькают странные слова вроде token, verify или поддомены вида .v02.site — это 100% фишинг.

4. Вредонос в конверте

Особую опасность представляют архивы с паролями или офисные документы. Любой файл Word или Excel, который при открытии требует нажать кнопку «Включить содержимое» (макросы), почти гарантированно является вредоносным. Задача макроса — скачать и запустить вирус уже с вашего компьютера, обходя антивирусы.

5. Нарушение протокола

Если контрагент или руководитель вдруг просит срочно перевести деньги, сообщить пароль или код из SMS по электронной почте, хотя обычно для этого используются другие каналы (телефон, 1С, официальная бухгалтерия), — это повод остановиться.

ВНИМАНИЕ! В 99.9% СЛУЧАЕВ ОФИСНЫЙ ДОКУМЕНТ (WORD, EXCEL, POWERPOINT И ДР.) С МАКРОСАМИ БУДЕТ ЯВЛЯТЬСЯ ВРЕДОНОСНЫМ! ЕСЛИ ВИДИТЕ КНОПКУ «ВКЛЮЧИТЬ СОДЕРЖИМОЕ» – ЭТО, ВЕРОЯТНЕЕ ВСЕГО, ВРЕДОНОСНЫЙ ФАЙЛ.

Превентивная мера: что делать бизнесу

Технические средства защиты необходимы, но они не дают 100% гарантии. Ключевой элемент киберустойчивости компании — это кибергигиена сотрудников. Ошибка одного человека не должна становиться катастрофой для всех.

Мы рекомендуем клиентам выстраивать защиту в три этапа:

1. Технический барьер. Внедрение продвинутых песочниц (sandbox) для анализа вложений и фильтрации писем по SPF/DKIM-записям.
2. Обучение персонала. Регулярные тренинги и, что важнее, симуляция фишинговых атак. Только практика вырабатывает условный рефлекс: «вижу подозрительное письмо — не кликаю, сообщаю в ИБ».
3. Четкий регламент. У сотрудника должен быть простой и понятный алгоритм действий на случай сомнения или уже совершенной ошибки.

Чек-лист безопасности для вашей команды

Чтобы снизить риски, донесите до сотрудников простое правило: «СТОП-Письмо»:

Если сработал хотя бы один пункт из этого списка, письмо нельзя открывать. Его нужно сразу направить в службу безопасности для проверки.

Если инцидент уже произошел, скрывать факт перехода по ссылке или ввода пароля — самое опасное, что может сделать сотрудник. Время в такой ситуации работает против компании.

Правильный алгоритм действий:

1. Немедленное отключение компьютера от сети (физически или через ИТ-специалиста).

2. Смена паролей, если они были скомпрометированы.

3. Информирование ответственных лиц. Чем быстрее ИТ-отдел узнает о заражении, тем меньше у вируса шансов распространиться.

В современном мире кибербезопасность — это не только задача ИТ-департамента, но и элемент корпоративной культуры. Компании, которым удается выстроить эту культуру, проходят через фишинговые атаки с минимальными потерями, а иногда и вовсе их предотвращают. 

Если вы хотите проверить текущий уровень защиты вашей компании от социальной инженерии и фишинга, мы готовы провести аудит и тестовую фишинговую кампанию, чтобы оценить реальную бдительность ваших сотрудников.