ГК Softline: как сотрудникам распознавать фишинговые атаки
Бизнес сталкивается с тем, что фишинг перестает выдавать себя внешними признаками. Ориентация только на визуальные маркеры больше не работает. Распознавание атаки смещается в плоскость контекста и поведения пользователя.
Мошенники рассылают письма и сообщения, которые оформлены корректно, содержат правильные логотипы и не имеют орфографических ошибок. Старый подход, основанный на проверке адреса отправителя, теперь не всегда эффективен.
Мы в Softline рекомендуем компаниям в рамках обучения киберграмотности смещать внимание сотрудников на контекст. Злоумышленники давят на срочность и выгоду, чтобы отключить критическое мышление. Пользователю сообщают, что аккаунт заблокируют, платеж не пройдет или данные нужно подтвердить немедленно. Другой вариант – предложить скидку, приз или другую выгоду, доступную только ограниченное время. В обоих случаях человека подталкивают к быстрому действию, не оставляя времени на проверку.
Подозрение должно вызывать сообщение, которое не соответствует обычной ситуации. Например, коллега неожиданно просит перевести деньги на другой банковский счет, хотя раньше такие вопросы решались иначе. В этом случае просьбу лучше подтвердить по другому каналу связи. Осторожность нужна, если требуется открыть вложения, особенно архивы и документы. Стоит перепроверить по другим каналам, что файл действительно отправил знакомый человек или организация. Это особенно важно, если известное лицо пишет с нового аккаунта или в непривычном стиле.
Мы в Softline рекомендуем дать сотрудникам ряд обязательных вопросов, на которые они должны ответить, прежде чем совершить действие в такой ситуации. Ожидалось ли это сообщение, совпадает ли адрес отправителя с официальным, действительно ли нужно действовать срочно, почему запрашиваются эти данные и куда ведет ссылка?
Если пользователь все же перешел по фишинговой ссылке или передал злоумышленникам данные, то важно сразу прекратить контакт и не «разбираться» дальше самостоятельно, а сообщить в ИБ-службу.
Если речь идет о логине и пароле, менять их нужно не только в скомпрометированном сервисе, но и везде, где использовалась такая же комбинация. Важно завершить активные сеансы и включить двухфакторную аутентификацию. С паспортными данными и доступом к порталу Госуслуг ситуация другая: нужно установить самозапрет на кредиты и проверить кредитную историю. Если во время атаки был скачан файл или установлено приложение, интернет лучше отключить, удалить подозрительную программу и проверить устройство с помощью антивируса.
Опыт ИБ-проектов Softline показывает, что для CISO важно выстроить не только профилактику инцидентов, но и четкий процесс реагирования после компрометации. Устойчивость бизнеса после фишинговой атаки зависит от скорости и правильности действий пользователя в первые минуты после инцидента. Управленческое решение заключается в создании и регулярном тестировании регламента реагирования на компрометацию учетных данных. Этот регламент должен быть доступен каждому сотруднику, содержать пошаговые инструкции для разных типов инцидентов и интегрироваться в общие процессы управления инцидентами информационной безопасности.
