ГК Softline: как минимизировать риски фишинговых атак от «имени руководителя»

Бизнес полагает, что сложные кибератаки требуют месяцев подготовки. На практике злоумышленники часто используют открытые данные компаний и ищут контакты в социальных сетях для создания фейковых аккаунтов. Главной мишенью становятся психологические установки сотрудников.

Подход, опирающийся на внедрение протокола DMARC, использование песочниц и стандартные антифишинговые тренинги, не всегда гарантирует защиту. Если сообщение от лица топ-менеджера идеально стилизовано под стиль общения руководителя и содержит фирменный логотип, то в условиях дедлайнов инстинкт подчинения авторитету подавляет критическое мышление. Сотрудник чаще всего выполняет срочный приказ о переводе средств или передаче конфиденциальной информации.

Мы в Softline считаем, в таких сценариях главная уязвимость кроется в корпоративной культуре и страхе перед руководством. Мошенники целенаправленно эксплуатируют эту слабость. При этом уровень цифровой гигиены компании в этих условиях слабо влияет на вероятность атаки. Цифровые следы сотрудников, старые профили и данные партнеров в любом случае находятся в открытом доступе.

Чтобы минимизировать риски общения с лжеруководителями, сотрудникам необходимо знать, на что обращать внимание. Важные признаки – требование секретности и срочность. Но эти характеристики в коммуникации могут помочь выявить обман, если у сотрудника уже возникли подозрения. Любой деловой запрос от незнакомого номера в мессенджере – повод включить критическое мышление.

Что касается более практичных шагов, то проверить самостоятельно аккаунт можно с помощью просмотра даты установки аватара. Но проблема в том, что в мессенджерах номер аккаунта или username могут быть скрыты настройками приватности. Есть специализированные боты, которые показывают историю смены имени пользователя и дату регистрации. Если аккаунт достаточно старый, можно увидеть и привязанный номер. Но с фейками все проще: они долго не живут. Их быстро блокируют либо площадки, либо вендоры, специализирующиеся на борьбе с такими атаками.

Кроме того, одна из относительно новых уловок: мошенники теперь часто пишут жертве фразу «У нас с вами прошлая переписка куда-то удалилась». Злоумышленник так играет на доверии и отсутствии контекста, а сотрудник в условиях давления полагает, что общение действительно было.

В ИБ-проектах Softline мы настаиваем на внедрении политики второго фактора аутентификации для минимизации таких рисков. Любой важный запрос в обычном мессенджере должен дублироваться через корпоративную почту или подтверждаться голосом по телефону. Это помогает и в случае, когда мошенники задействуют взломанные или украденные стиллерами почтовые ящики с известных публичных доменов. Подмены адреса нет: письмо идет с реального, часто легитимного домена, поэтому оно не попадает ни в спам, ни под автоматическое удаление. Этот метод работает, только если на скомпрометированном ящике не включена двухфакторная аутентификация при входе.

Еще одна мера, которую мы в Softline предлагаем заказчикам, связана с обучением. Нужно проводить «слепые тренировки», заранее уведомляя сотрудников о возможности фишинговых рассылок, но не раскрывая детали.

Руководителям в сфере ИБ следует выстраивать стратегию противодействия угрозам с учетом того, что атаки «от имени топ-менеджеров» успешны не из-за слабости технологий защиты. Главную роль играют удобство мессенджеров, фактор срочности и традиционный страх перед руководством. Управленческое решение заключается в изменении корпоративной культуры: необходимо легализовать право сотрудника перепроверять любой, даже самый срочный приказ руководства без риска репрессий. Выстраивание процессов обязательной верификации в ходе общения с коллегами, партнерами и регулярный аудит настроек приватности публичных ресурсов компании помогают обеспечить устойчивость бизнес-процессов.