Языковые модели и генераторы изображений оказались удобны не только бизнесу. Те же инструменты снизили порог входа для атак: письмо на грамотном русском языке, голосовое сообщение «от директора» или вредоносный скрипт теперь собираются за минуты и не требуют квалификации. Разберём, что именно изменилось в приёмах злоумышленников, почему привычные признаки обмана перестали работать и какие меры защиты имеют смысл для обычной компании с сайтом и корпоративной почтой.
Что изменилось на самом деле
Принципиально новых типов атак искусственный интеллект не создал. Фишинг, подмена отправителя, социальная инженерия и вредоносные вложения существовали и раньше. Изменились три вещи: качество, масштаб и скорость.
- Качество. Раньше поддельное письмо выдавали орфографические ошибки, кривой перевод и странные обороты. Сейчас текст пишется без ошибок и в нужном деловом стиле.
- Масштаб. Персональное обращение с упоминанием должности, отрасли и недавнего события компании стало массовым: подготовка тысячи разных писем стоит столько же, сколько одного.
- Скорость. От появления публичной информации о компании до письма, которое на неё ссылается, проходят часы.
Практический вывод неприятный: советы вида «обращайте внимание на ошибки в тексте» больше не работают. Проверять нужно не форму сообщения, а факт: кто отправитель, по какому каналу пришёл запрос и подтверждён ли он вторым способом связи.
Фишинг нового поколения
Типичное современное письмо выглядит как обычная деловая переписка: ссылка на реальный проект, правильные должности, корректный тон. Часто оно приходит как продолжение существующей цепочки — злоумышленник получил доступ к почте контрагента и отвечает в уже начатом обсуждении. В таком письме просят обновить реквизиты, подтвердить доступ или открыть документ.
Сайт компании при этом становится источником материала для подготовки: страница «Команда» даёт имена и должности, новости — поводы, раздел «Клиенты» — список контрагентов. Это не повод убирать информацию, но повод понимать, что публичные данные используются и в такой роли.
Подделка голоса и видео
Синтез голоса по короткой записи и подмена лица в видеозвонке перестали быть экзотикой. Сценарий обычно один и тот же: сотруднику финансовой службы звонит «руководитель», ситуация срочная, оплату нужно провести сейчас, обсуждать ни с кем нельзя. Расчёт на давление и на нежелание перепроверять начальника.
Защита здесь не техническая, а организационная. Нужен регламент, при котором любое изменение платёжных реквизитов и любой срочный платёж подтверждаются по второму, заранее известному каналу — звонком на записанный в справочнике номер, а не на тот, с которого поступил запрос. Регламент должен явно разрешать сотруднику перезванивать и переспрашивать: без этого разрешения человек под давлением сделает то, что просят.
Автоматизация вредоносного кода
Отдельно упоминают закрытые модели, которые продаются в теневых сообществах и не имеют ограничений обычных сервисов: они помогают писать письма-приманки, генерировать варианты вредоносного кода и подбирать формулировки для обмана. Не стоит преувеличивать их возможности — принципиально новых атак они не порождают, — но объём и разнообразие однотипных угроз выросли, и системы, ориентированные на поиск уже известных образцов, чаще промахиваются.
Для владельца сайта это означает простую вещь: рассчитывать на то, что сайт «никому не интересен», больше нельзя. Массовые атаки не выбирают жертву, а перебирают всё подряд, проверяя известные уязвимости старых версий популярных систем управления.
Что делать: меры и их отдача
| Мера | От чего защищает | Насколько сложно внедрить |
|---|---|---|
| Двухфакторная аутентификация в почте, CMS и панели хостинга | Кража паролей, вход по подобранным данным | Несколько часов, требует обучения сотрудников |
| Регламент подтверждения платежей и реквизитов | Голосовые подделки, письма «от руководителя» | Организационная работа, затрат почти нет |
| Обновления CMS, расширений и серверного ПО | Автоматические атаки по известным уязвимостям | Регулярная задача, лучше по графику |
| Проверенные резервные копии в отдельном хранилище | Шифровальщики, порча данных, ошибки персонала | Настраивается один раз, требует регулярной проверки восстановления |
| Разграничение прав доступа | Ущерб от одной скомпрометированной учётной записи | Требует ревизии, кто и зачем имеет доступ |
| Настройка почтовых записей домена | Отправку писем от вашего имени | Настройка DNS, делается за один подход |
| Мониторинг и журналы сервера | Позднее обнаружение взлома | Нужна настройка оповещений и человек, который их читает |
| Обучение сотрудников на примерах | Социальную инженерию во всех видах | Периодические короткие занятия, важнее регулярность |
Что мы проверяем на стороне сайта и сервера
- Версии CMS, расширений, PHP и серверных пакетов; наличие давно не обновлявшихся компонентов.
- Учётные записи в административной панели: кто заведён, кто пользуется, есть ли доступы уволившихся.
- Пароли и способ хранения доступов: общий файл в мессенджере — типичная и опасная практика.
- Права на файлы и каталоги, возможность записи туда, где её быть не должно.
- Наличие постороннего кода в шаблонах и загруженных файлах, скрытые страницы и переадресации.
- Резервное копирование: где лежит, как часто делается, восстанавливали ли из копии хоть раз.
- Почтовые записи домена и настройки отправки писем с сайта.
- Журналы обращений и наличие оповещений о подозрительной активности.
Как реагировать, если инцидент уже случился
Порядок действий стоит продумать заранее, потому что в момент происшествия времени на размышления нет. Первое — ограничить ущерб: сменить пароли, закрыть доступы, при необходимости временно отключить сайт. Второе — сохранить журналы: они понадобятся, чтобы понять, как попали внутрь, и не наступить на то же место после восстановления. Третье — восстановиться из заведомо чистой копии, а не чистить заражённые файлы вручную. Четвёртое — закрыть исходную уязвимость: восстановление без этого шага приводит к повторному взлому через несколько дней.
Если речь о переводе денег по поддельному запросу, счёт идёт на часы: чем быстрее обращение в банк и в правоохранительные органы, тем выше шанс что-то остановить.
Здравый смысл вместо паники
Появление новых инструментов у злоумышленников не отменило базовых мер защиты — оно повысило цену их отсутствия. Компания, которая обновляет системы, хранит проверенные копии, разграничивает доступы и приучила сотрудников перепроверять срочные запросы, находится в существенно лучшем положении, чем та, что купила дорогое средство защиты и не сделала ничего из перечисленного.
Нужна помощь
Большая часть работ по защите сводится к аккуратной настройке сервера и регулярным обновлениям. Мы проводим ревизию доступов, настраиваем обновления, копии и мониторинг: настроим сервер и защиту инфраструктуры и передадим понятный регламент по обслуживанию.
Разобрать причину и починить можем мы: поддержка сайтов — от диагностики до исправления и профилактики.
