Технические средства защиты бесполезны, если сотрудник сам ввёл пароль на поддельной странице или сам отправил файл злоумышленнику. Большинство успешных атак на компании начинается именно так: не со взлома, а с письма, звонка или сообщения, на которые человек отреагировал автоматически. Ниже — схемы, которые встречаются чаще всего, и порядок действий, который снижает риск.
Типичные схемы
| Схема | Как выглядит | Признак подделки |
|---|---|---|
| Письмо от хостинга или регистратора | Требование срочно продлить услугу, иначе сайт отключат | Ссылка ведёт на посторонний домен, обращение обезличено |
| Письмо от руководителя | Просьба срочно оплатить счёт или прислать документы | Другой адрес отправителя, спешка, просьба никому не говорить |
| Звонок из банка или службы безопасности | Подтвердите операцию, назовите код из сообщения | Просят коды, данные карты, установить программу |
| Сообщение от клиента с файлом | Договор или акт во вложении | Архив с паролем, документ с макросами, файл с двойным расширением |
| Ссылка на документ | Открытый доступ к файлу, требуется войти в почту | Страница входа на чужом домене, отсутствие подписи |
| Сообщение в мессенджере от коллеги | Аккаунт взломан, просят проголосовать или перевести деньги | Нетипичная манера речи, отказ говорить голосом |
| Уведомление о посылке или штрафе | Требуется доплата, ссылка на оплату | Незнакомый платёжный сайт, отсутствие номера отправления |
На чём строится расчёт
Все эти схемы эксплуатируют не технику, а поведение. Работают четыре рычага, и полезно уметь их замечать в момент, когда они применяются к вам.
- Срочность. «Сегодня до конца дня», «сайт отключат через час». Спешка выключает привычку проверять.
- Авторитет. Письмо от руководителя, звонок от банка, обращение от проверяющего органа.
- Страх последствий. Штраф, блокировка счёта, потеря домена.
- Секретность. Просьба не обсуждать с коллегами — она же лишает сотрудника единственной надёжной проверки.
Отсюда простое правило: сочетание срочности и секретности само по себе является признаком атаки, независимо от содержания сообщения.
Правила, которые работают
- Не переходить по ссылкам из писем в сервисы, где есть вход. Открывать почту, банк, панель хостинга вручную по закладке.
- Проверять домен в адресной строке до ввода пароля, а не после. Подделывают именно написание: лишняя буква, дефис, другая зона.
- Никому не сообщать коды из сообщений, включая тех, кто представился службой безопасности. Настоящие сотрудники их не спрашивают.
- Любую срочную финансовую просьбу подтверждать по известному телефону, набранному самостоятельно, а не по номеру из письма.
- Включить двухфакторный вход везде, где он есть: почта, панель управления сайтом, хостинг, платёжные сервисы, системы учёта.
- Не открывать вложения, которых не ждали, даже от знакомых адресов. Если ждали — сверить с отправителем другим каналом.
- Использовать разные пароли и менеджер паролей: он ещё и не подставит сохранённый пароль на поддельном домене.
Что сделать в компании
Индивидуальная бдительность не масштабируется. Нужны организационные меры, и они несложные.
- Разбор примеров. Полчаса на реальных письмах, полученных вашей компанией, работают лучше, чем инструкция на пять страниц.
- Порядок подтверждения платежей. Смена реквизитов подтверждается голосом или личной встречей, платежи выше определённой суммы — двумя людьми.
- Настройка почты. Предупреждение о внешних отправителях, фильтрация подделок под ваш домен, проверка вложений.
- Понятный адресат. Сотрудник должен знать, к кому идти с подозрением, и быть уверен, что за ошибку его не накажут. Страх наказания — главная причина, по которой об инцидентах узнают поздно.
- Разделение доступов. Панель хостинга, домен и почта не должны быть в одних руках вместе с платёжными доступами.
- Учёт доступов при увольнении. Список того, что нужно отозвать, составляется заранее, а не в день ухода сотрудника.
Что делать, если уже нажали
Скорость реакции важнее разбора, кто виноват. Порядок такой.
- Сменить пароль от затронутого сервиса, а если он повторялся — везде, где использовался тот же.
- Завершить все активные сессии: злоумышленник может оставаться в аккаунте, даже когда пароль сменён.
- Проверить почтовые правила и пересылку. Скрытая пересылка входящих на чужой адрес — стандартный шаг после взлома почты, и её замечают месяцами позже.
- Проверить, не добавились ли новые устройства, приложения с доступом, ключи или пользователи в панели управления.
- Предупредить коллег и контрагентов: от взломанного ящика рассылают письма дальше, и они выглядят убедительно.
- Если дело касается денег — сразу связаться с банком, время здесь решает.
- Разобрать инцидент письменно: как пришло, почему сработало, что меняем. Без этого история повторится.
Кто в компании под ударом
Атакуют не всех одинаково. Проще всего проверить, у кого в компании есть сочетание доступа и права принимать решения — именно на этих людей приходится основная часть попыток.
- Бухгалтерия и финансы. Поддельные счета, изменённые реквизиты, письма от «руководителя» с просьбой оплатить срочно.
- Секретариат и общие ящики. Туда приходит всё подряд, и открывать вложения там приходится по должности.
- Отдел кадров. Резюме с вложением — идеальный повод прислать файл, который откроют.
- Маркетинг. Доступы к рекламным кабинетам и социальным сетям с привязанными картами.
- Технические специалисты. Панель хостинга, домен, серверы: одна успешная атака даёт доступ ко всему сразу.
Отдельная категория — сотрудники на испытательном сроке. Они не знают внутренних порядков, боятся показаться некомпетентными и потому реже переспрашивают. Разбор правил в первую неделю работы снимает заметную часть риска.
Со стороны сайта
Отдельный класс проблем — когда поддельным становится ваш собственный сайт или письма от вашего имени. Здесь помогают вполне конкретные технические меры: настроенные записи проверки подлинности почты, чтобы письма от вашего домена нельзя было подделать; действующий сертификат и перенаправление на защищённое соединение; регулярное обновление системы управления сайтом и её дополнений; отдельные учётные записи для сотрудников вместо одного общего администратора; резервные копии, которые проверяются восстановлением, а не только создаются.
Заброшенный сайт со старой версией движка — типичная точка входа. Через него рассылают письма от вашего имени, размещают чужие страницы и получают доступ к базе с контактами клиентов. Обнаруживается это чаще всего по жалобам посетителей или по предупреждению браузера, то есть уже после потери репутации.
Нужна помощь
Мы разбираем последствия таких инцидентов и приводим сайты в порядок: обновляем движок, закрываем известные уязвимости, настраиваем резервное копирование и почтовые записи, разделяем доступы. Обсудить техническую поддержку сайта можно с предварительной диагностикой текущего состояния.
Разобрать причину и починить можем мы: поддержка сайтов — от диагностики до исправления и профилактики.
