Социальная инженерия и кибератаки: как обезопасить сотрудников и данные компании

Социальная инженерия — это манипуляции, с помощью которых злоумышленники получают доступ к информации, играя на человеческих слабостях: доверии, страхе, любопытстве.

По данным исследования Positive Technologies, 45% успешных кибератак в 2023 году начинались с социальной инженерии. Проще обмануть человека, чем взломать защищенные системы.

Например, мошенник звонит сотруднику, представляется IT-специалистом и просит «проверить систему», а вместо этого крадет данные. Никаких сложных программ — только психология и умение втереться в доверие.

Какой бизнес находится в зоне риска

Любая компания, где сотрудники не обучены распознавать манипуляции.

Социальные инженеры не взламывают системы — они «взламывают» людей. Их методы основаны на том, чтобы заставить сотрудников добровольно передать данные или совершить опасные действия.

Например, в одной из компаний сотрудник отдела финансов получил звонок. Человек представился сотрудником банка, сообщил о подозрительных операциях по счету и потребовал немедленно перевести деньги на «безопасный счет».

Чтобы усилить давление, мошенник упомянул угрозу блокировки расчетного счета компании. Сотрудник, опасаясь сорвать выплаты зарплат, выполнил указания. Через час деньги оказались на счетах злоумышленников.

Так работает схема срочности. Мошенники имитируют кризисную ситуацию, чтобы человек действовал быстро, без проверки информации.

Другая распространенная схема — подделка писем от контрагентов. Например, бухгалтер получил письмо с логотипом известной IT-компании, с которой сотрудничает фирма. В письме была ссылка на «обновленный договор».

После перехода по ссылке и ввода корпоративного пароля злоумышленники получили доступ ко внутренней сети компании. Через неделю клиенты начали жаловаться на утечку персональных данных.

Здесь мошенники используют авторитет бренда. Сотрудник не сомневается в подлинности письма, потому что доверяет отправителю.

Основные приёмы социальной инженерии

Во всех подобных атаках прослеживаются три ключевых приема:

1. Игра на авторитете. Мошенники маскируются под коллег, банки, госорганы — любую инстанцию, которой привыкли доверять.

2. Давление, срочность. «Переведите деньги в течение часа», «Ваш аккаунт заблокируют через 10 минут» — такие формулировки мешают трезво оценить ситуацию.

3. Страх последствий. Угрозы штрафов, блокировок или увольнения заставляют сотрудников нарушать протоколы безопасности.

Как социальная инженерия работает на практике

Социальные инженеры постоянно изобретают новые способы обмана, но большинство атак строится на пяти проверенных схемах. Разберем каждую из них: как распознать угрозу и что делать, чтобы не стать жертвой.

Фишинг

Сотрудник получает электронное письмо с заголовком «Срочно! Ваш корпоративный аккаунт заблокирован». В тексте — ссылка на «форму восстановления доступа», которая ведет на сайт-клон корпоративного портала. После ввода логина и пароля злоумышленники получают доступ к внутренним системам компании.

Признаки фишинга:

Незнакомый email отправителя (например, support@bank-ru.com вместо support@bank.ru).
Ошибки в тексте: опечатки, странные формулировки.
Ссылки, которые не ведут на официальный сайт (проверьте адрес, наведя курсор на ссылку).

Что делать:

— Не переходить по ссылкам из писем с подозрительными запросами.

— Проверить информацию через официальные каналы: позвонить в банк или IT-отдел.

Претекстинг

Мошенник звонит сотруднику, представляется сотрудником IT-службы компании. Сообщает о «критической уязвимости» в системе и просит установить «защитную программу». На самом деле это вредоносное ПО, которое дает доступ к данным.

Признаки претекстинга:

Звонок с подозрительного номера без предупреждения.
Требование совершить действия немедленно, без согласования с руководством.

Что делать:

— Прервать разговор и перезвонить в IT-отдел по официальному номеру.

— Не устанавливать программы без подтверждения от ответственных лиц.

SMS-мошенничество

Сотруднику приходит SMS: «Ваша корпоративная карта заблокирована. Перейдите по ссылке, чтобы разблокировать». И ссылка ведёт на сайт, где требуется ввести данные карты.

Признаки мошенничества:

Короткий номер или неофициальный формат сообщения.
Угрожающий тон: «Счет будет заблокирован через 10 минут!»

Что делать:

— Не переходить по ссылкам в SMS.

— Проверить статус карты через корпоративный банк-клиент или позвонить в банк.

Фейковые профили в соцсетях

В Telegram сотруднику пишет человек, представившийся новым менеджером из другого отдела. Просит срочно прислать данные клиентов для отчета» Профиль выглядит правдоподобно: фото, описание должности, но это аккаунт мошенника.

Признаки фейка:

Профиль создан недавно, мало контактов или информации.
Запрос нарушает внутренние правила обмена данными.

Что делать:

— Уточнить запрос через корпоративную почту или личный разговор.

— Не передавать данные через мессенджеры без подтверждения личности.

Поддельные формы оплаты в мессенджерах

В рабочем чате сотрудник видит сообщение: «Оплатите срочный счет за аренду офиса!» со ссылкой на страницу оплаты. Форма выглядит как корпоративный сервис, но деньги уходят мошенникам.

Признаки подделки:

Ссылка ведет на сайт с незнакомым доменом (например, pay-invoice.company.xyz).
Нет привычных элементов: логотипа компании, SSL-сертификата (https).

Что делать:

— Проверить счет через бухгалтерию или финансовый отдел.

— Не вводить реквизиты карты на непроверенных сайтах.

И главное правило

Любой нестандартный запрос — повод перепроверить информацию. Даже если ситуация кажется критической, потратьте 5 минут на звонок коллеге или поиск официальных контактов. Эти минуты спасут компанию от серьезных потерь.

Инструменты, которые помогут закрыть уязвимости бизнеса

Технические решения проконтролируют ситуацию там, где человек может ошибиться. Вот 5 правил и программ для защиты.

DLP-системы для контроля данных

Решения вроде «СпрутМонитор» отслеживают, куда и как передается информация. Например, если сотрудник попытается отправить базу клиентов на личную почту или в мессенджер, система заблокирует действие и уведомит ответственных. Это не слежка, а страховка: даже если кто-то поверит мошенникам, данные не попадут к ним.

Двухфакторная аутентификация (2FA)

Настройте вход в корпоративные системы через два этапа: пароль + код из SMS или приложения. Например, для доступа к бухгалтерскому ПО сотрудник вводит пароль, а затем подтверждает вход через мобильный телефон.

Фильтрация писем

Установите правила, чтобы письма с подозрительных доменов (например, «bankk.ru» вместо «bank.ru») автоматически попадали в спам. Это снизит риск фишинга, сотрудники просто не увидят опасные письма.

Обучение сотрудников

Проводите короткие тренинги раз в квартал. Например, отправьте тестовое фишинговое письмо и посмотрите, кто перейдет по ссылке. Тех, кто «попался», не ругайте — просто проведите разбор ошибок.

Политика нулевого доверия

«Доверяй, но проверяй» тут подойдёт как нельзя лучше. Создайте алгоритм для подтверждения нестандартных запросов. Например:

Перед переводом денег по звонку — позвонить руководителю через официальный номер.
При запросе данных от «коллеги» в мессенджере — уточнить информацию в корпоративном чате.

Как сотрудникам реагировать на подозрительные запросы

Даже опытный специалист может столкнуться с ситуацией, когда запрос кажется странным, но отказать «коллеге» или «банку» неудобно.

Есть три шага, которые помогут с этим справиться.

1. Остановиться. Не отвечайте сразу, даже если запрос звучит срочно. Сотрудник банка никогда не потребует перевести деньги за 5 минут, а коллега из другого отдела вряд ли станет просить данные через мессенджер без предупреждения (а если и просит, вы к этому уже привыкли).

2. Перепроверить. Используйте только официальные контакты. Например, если вам звонит «банк», положите трубку и перезвоните по номеру с сайта организации. Если пишет «коллега» — уточните всё в чате или лично.

3. Сообщить. Даже если вы распознали обман, передайте информацию в IT-отдел или службу безопасности. Это поможет защитить других.

Как DLP-системы помогают защититься от кибератак

Утечка данных часто происходит не из-за хакерских атак, а из-за ошибок сотрудников: кто-то поспешил отправить файл не туда, поверил мошеннику или не заметил подвоха.

Системы безопасности, такие как «СпрутМонитор», страхуют бизнес от таких рисков. Они контролируют передачу информации и блокируют опасные действия, даже если человек не распознал угрозу.

Так DLP-система обнаруживает нежелательные слова в запросах или буферах обмена

Что умеет «СпрутМонитор»

— Отслеживает, куда и как сотрудники отправляют информацию: через корпоративную почту, мессенджеры, облачные хранилища или USB-носители.

— При подозрительных действиях система отправляет уведомление в режиме реального времени. Допустим, бухгалтер скачивает архив с финансовыми отчетами в нерабочее время — ИТ-отдел сразу получит сигнал и проверит ситуацию.

— Вы сами решаете, какие данные защищать. Например, можно запретить пересылку документов с пометкой «Конфиденциально» или блокировать любые вложения в письмах от новых контрагентов.

Почему это удобно

Система работает автоматически: не нужно вручную проверять каждое действие сотрудников.
Если политики настроены правильно, сотрудники даже не замечают защиты.
Можно создать отдельные настройки для разных отделов.

Как создать культуру безопасности в компании

Культура безопасности — это не свод запретов, а привычка каждого сотрудника действовать осознанно. Даже самые продвинутые технологии не сработают, если команда не понимает, зачем они нужны.

Шаг 1. Внедрите KPI за соблюдение правил

Сотрудники уделяют внимание тому, что влияет на их результаты. Добавьте в систему оценки показатели, связанные с безопасностью. Например:

— Отсутствие инцидентов по вине сотрудника в квартал? +10% к премии.

— Проявил бдительность, например, сообщил о подозрительном письме или звонке? Тоже денежный бонус к зарплате.

Шаг 2. Проводите пентесты (фейковые кибератаки)

Регулярно имитируйте реальные угрозы, чтобы выявить слабые места. Например, отправьте сотрудникам письмо «от HR-отдела» с просьбой обновить пароль через фейковую форму. Тех, кто «попался», не наказывайте — проведите обучающий вебинар. Подробнее – в нашей статье о способах обхода систем безопасности.

Шаг 3. Поощряйте открытость

Сотрудники часто скрывают ошибки из-за страха наказания. Исправить это можно так:

— Создайте анонимную форму для сообщений об инцидентах.

— Публично хвалите тех, кто признался в ошибке и помог предотвратить утечку.

Безопасность должна быть не обузой, а частью рабочих процессов. Когда сотрудники видят, что их осторожность ценится, а ошибки — это повод учиться и быть внимательнее, защита данных станет привычным делом.