Фишинговая атака — это попытка обманом заставить человека самому отдать злоумышленнику то, что ему нужно: пароль, код из СМС, данные карты, доступ к рабочей почте или запуск вредоносного файла. Для этого атакующий выдаёт себя за того, кому жертва доверяет: банк, поставщика, ИТ-поддержку или руководителя. Канал — письмо, звонок, сообщение в мессенджере или поддельный сайт.
Против компании фишинг работает так же, как против частного человека, только цель другая. Злоумышленнику нужна не карта сотрудника, а его рабочая учётная запись, доступ к 1С или бухгалтерия, которая оплатит счёт по подменённым реквизитам. Один пароль от почты открывает переписку с клиентами, документы и путь дальше во внутреннюю сеть.
В статье — признаки фишинговой атаки, её виды и примеры, порядок действий для сотрудника и для компании, если человек уже перешёл по ссылке, и меры защиты: технические и те, что зависят от людей.
Что такое фишинговая атака простыми словами
Слово «фишинг» происходит от английского fishing — рыбалка. Злоумышленник забрасывает приманку и ждёт, кто клюнет. Приманка — письмо или сообщение, которое выглядит привычно: уведомление о доставке, счёт от контрагента, просьба руководителя, требование сменить пароль.
Фишинг не взламывает систему защиты, он обходит её через человека. Антивирус и межсетевой экран не остановят сотрудника, который сам ввёл пароль на странице, похожей на корпоративную почту. Поэтому фишинг относят к методам социальной инженерии: атакующий играет на доверии, страхе, спешке и любопытстве.
У любой фишинговой атаки три части:
- Легенда — от чьего имени пишут и почему. «Служба безопасности банка», «бухгалтерия», «генеральный директор», «техподдержка Microsoft 365».
- Повод действовать сейчас — срочность, угроза или выгода: «аккаунт заблокируют через час», «счёт нужно оплатить сегодня», «вам положена премия».
- Действие — то, ради чего всё затевалось: перейти по ссылке и ввести пароль, открыть вложение, назвать код, оплатить счёт.
Если в сообщении есть все три части, это повод остановиться и проверить отправителя по другому каналу.
Признаки фишинговой атаки: как распознать письмо
Главный признак фишинговой атаки — сообщение просит срочно сделать что-то необычное: перейти по ссылке и ввести пароль, открыть вложение, оплатить счёт по новым реквизитам или сообщить код из СМС. Остальные признаки подкрепляют подозрение: адрес отправителя не совпадает с компанией, домен в ссылке отличается на одну букву, текст давит срочностью или угрозой.
Ни один признак по отдельности не доказывает фишинг: настоящие письма тоже бывают срочными, а опечатки делают и коллеги. Но чем больше совпадений, тем выше вероятность атаки.
| Признак | Как выглядит | Что сделать |
|---|---|---|
| Отправитель не тот | Имя «Бухгалтерия», а адрес — с бесплатной почты или чужого домена | Раскрыть адрес полностью, сверить домен |
| Домен похож, но отличается | cornpany.ru вместо company.ru, лишняя буква или дефис | Не переходить, проверить адрес вручную |
| Срочность или угроза | «Аккаунт заблокируют через 2 часа», «последнее предупреждение» | Взять паузу, уточнить по известному телефону |
| Просьба ввести пароль | Ссылка ведёт на страницу входа в почту или облако | Открыть сервис самостоятельно, не по ссылке |
| Неожиданное вложение | Архив, документ с макросами, файл .html или .exe | Не открывать, переслать в ИБ |
| Смена реквизитов | «С этого месяца платите на новый счёт» | Позвонить контрагенту по номеру из договора |
| Просьба держать в секрете | «Не говорите никому, это конфиденциальная сделка» | Сообщить руководителю и в ИБ |
| Ссылка не совпадает с текстом | Текст ссылки один адрес, при наведении — другой | Навести курсор и прочитать адрес до клика |
| Общее обращение | «Уважаемый клиент», «Здравствуйте, сотрудник» | Сравнить с привычными письмами этого отправителя |
Признаки, характерные для фишинговой атаки в мессенджерах и по телефону
Письмо — не единственный канал. В мессенджере пишут от имени руководителя с новой учётной записи: «Это мой второй номер, срочно нужна помощь». По телефону звонят «из службы безопасности» и просят продиктовать код. Признаки те же: незнакомый контакт выдаёт себя за знакомого, торопит и просит действие, которое обычно делается иначе.
Простое правило для сотрудников: если просят пароль, код или деньги, проверь просьбу по другому каналу. Перезвони руководителю по номеру из корпоративного справочника, напиши контрагенту на адрес из договора, открой сервис через закладку, а не по ссылке.
Виды фишинговых атак
Виды фишинговых атак различаются по каналу и по тому, насколько тщательно злоумышленник готовится к конкретной жертве.
| Вид | Как работает | Кого атакуют |
|---|---|---|
| Массовый фишинг | Одинаковые письма тысячам адресатов: «посылка не доставлена», «подтвердите аккаунт» | Всех подряд |
| Целевой фишинг (spear phishing) | Письмо под конкретного человека: упоминает его проект, коллег, реальную сделку | Бухгалтерию, кадры, ИТ, руководителей |
| Атака от имени руководителя (BEC) | Письмо или сообщение «от директора» с просьбой срочно оплатить или переслать документы | Финансы, помощников руководителя |
| Клон-фишинг | Копия настоящего письма, которое человек уже получал, но с подменённой ссылкой или вложением | Тех, кто ждёт письмо от этого отправителя |
| Вишинг | Телефонный звонок от «банка», «службы безопасности», «техподдержки» | Любого сотрудника |
| Смишинг и фишинг в мессенджерах | СМС или сообщение со ссылкой, иногда с поддельного аккаунта коллеги | Любого сотрудника |
| QR-фишинг | QR-код в письме или на распечатке ведёт на поддельную страницу | Тех, кто сканирует коды телефоном |
| Тайпсквоттинг | Сайт на домене с опечаткой: человек сам ошибается в адресе или кликает по похожей ссылке | Пользователей популярных сервисов |
«Дорожное яблоко» (флешка, подброшенная у офиса) и «кви про кво» (звонок «из техподдержки» с предложением помощи в обмен на доступ) — тоже методы социальной инженерии. Фишингом их обычно не называют: в них нет поддельного сообщения со ссылкой или вложением.
Какой пример описывает фишинговую атаку
Вот три типичных примера.
Пример 1. Письмо «от ИТ-отдела». Сотрудник получает письмо: «Срок действия вашего пароля истёк. Чтобы сохранить доступ к почте, войдите по ссылке до конца дня». Ссылка ведёт на страницу, похожую на вход в корпоративную почту. Введённый пароль уходит злоумышленнику.
Пример 2. Подмена реквизитов. Бухгалтер получает письмо от знакомого поставщика: «У нас сменился банк, оплатите счёт на новые реквизиты». Адрес отправителя отличается одной буквой. Деньги уходят на счёт мошенника.
Пример 3. Сообщение «от директора». В мессенджере пишет новый контакт с фото руководителя: «Я на совещании, не могу говорить. Срочно нужно оплатить счёт, подробности позже». Человек торопится выполнить просьбу начальника и не перезванивает.
Во всех трёх примерах есть легенда, срочность и действие. Именно это сочетание и описывает фишинговую атаку.
Как проходит фишинговая атака на компанию
Целевая атака на компанию редко ограничивается одним письмом. Типичные этапы:
- Разведка. Злоумышленник собирает имена и должности сотрудников с сайта, из соцсетей и вакансий, узнаёт формат адресов почты, имена контрагентов.
- Подготовка. Регистрирует похожий домен, делает копию страницы входа, пишет текст под конкретную роль: бухгалтеру — про счёт, кадровику — про резюме, ИТ — про обновление.
- Доставка. Отправляет письмо или сообщение. В массовых кампаниях — сотням адресатов сразу: достаточно, чтобы ошибся один.
- Действие жертвы. Сотрудник вводит пароль, открывает вложение или оплачивает счёт.
- Использование доступа. С украденной почты атакующий читает переписку, рассылает фишинг уже от имени настоящего сотрудника, ищет документы, пароли и путь во внутреннюю сеть.
- Результат. Перевод денег, кража данных, шифрование файлов и требование выкупа.
Чем раньше атаку заметят, тем меньше шагов успеет сделать злоумышленник. Поэтому важно не только научить людей не кликать, но и научить сообщать, если клик уже случился.
Почему сотрудники попадаются на фишинг
На фишинг попадаются не только невнимательные. Хорошее фишинговое письмо рассчитано на обычную рабочую ситуацию, в которой любой человек действует на автомате.
- Поток писем. Сотрудник за день разбирает десятки писем и не проверяет адрес каждого. Письмо, похожее на привычное, проходит без внимания.
- Авторитет. Просьба «от директора» или «от службы безопасности» включает желание выполнить быстро, а не проверить.
- Срочность. «До конца дня», «иначе заблокируют» — под давлением времени человек пропускает детали, которые заметил бы в спокойной обстановке.
- Ожидание. Если бухгалтер ждёт счёт от поставщика, письмо со счётом от «поставщика» не вызывает вопросов. Целевой фишинг строится именно на этом.
- Мобильный телефон. На маленьком экране не видно полного адреса отправителя и ссылки, а читают почту на ходу.
- Страх признаться. Если человек понял, что ошибся, но боится наказания, он молчит — и атака продолжается.
Из этого следует простой вывод: «будьте внимательны» не работает как мера защиты. Работают конкретные правила (проверить реквизиты звонком, открыть сервис по закладке), тренировка на реалистичных примерах и культура, в которой о своей ошибке сообщают сразу.
Кто в компании под ударом чаще
Злоумышленник выбирает тех, у кого есть деньги, доступы или данные:
| Роль | Чем интересна атакующему | Типичная легенда |
|---|---|---|
| Бухгалтерия и финансы | Проводят платежи | Счёт от поставщика, смена реквизитов, письмо «от директора» |
| Кадровая служба | Открывает вложения от незнакомцев, хранит персональные данные | Резюме кандидата во вложении |
| Руководители и их помощники | Широкие права, авторитет для других сотрудников | Письмо от партнёра, приглашение на встречу, документы на подпись |
| ИТ-администраторы | Привилегированные учётные записи | Уведомление о лицензии, обновлении, сбое сервиса |
| Сотрудники приёмной и продаж | Публичные адреса, много писем от внешних отправителей | Заявка клиента, жалоба, запрос коммерческого предложения |
Эти роли стоит обучать отдельно и на своих примерах: бухгалтеру бесполезен разбор фишинга «от техподдержки», ему нужен разбор подмены реквизитов.
Фишинговая рассылка: почему письма доходят до сотрудников
Фишинговая рассылка — массовая отправка мошеннических писем по базе адресов. Почтовые фильтры отсекают многие такие письма, но не все: злоумышленники регистрируют новые домены, которые ещё не попали в чёрные списки, отправляют письма со взломанных настоящих ящиков, вставляют ссылки на легальные облачные сервисы.
Поэтому защита только фильтром не работает. Часть писем всё равно дойдёт до людей, и тогда решает то, как сотрудник на них отреагирует.
Отдельная угроза — подделка вашего собственного домена: письма «от вас» клиентам и партнёрам. От неё защищают записи SPF, DKIM и DMARC в DNS домена. SPF перечисляет серверы, которым разрешено отправлять почту от вашего домена. DKIM подписывает исходящие письма ключом домена, и получатель проверяет подпись. DMARC говорит почтовому серверу получателя, что делать с письмами, которые не прошли эти проверки: пропустить, отправить в спам или отклонить. Настроить записи — задача администратора почты.
Что делать сотруднику, если пришло фишинговое письмо
Если сотрудник получил подозрительное письмо, безопаснее всего ничего в нём не делать: не переходить по ссылкам, не открывать вложения и не отвечать отправителю. Письмо нужно переслать в службу ИБ или ИТ тем способом, который указан в правилах компании, и удалить. Если ссылка уже открыта и пароль введён, пароль меняют сразу и немедленно сообщают в ИБ.
Порядок для памятки сотруднику:
- не кликать и не отвечать — даже чтобы «уточнить»: ответ подтверждает, что адрес живой;
- проверить по другому каналу — позвонить отправителю по известному номеру;
- сообщить в ИБ или ИТ — переслать письмо целиком или нажать кнопку «Сообщить о фишинге», если она есть в почте;
- если уже кликнул — сменить пароль с другого устройства, сообщить в ИБ, не выключать компьютер без указания ИБ;
- не стыдиться — сотрудник, который сообщил об ошибке сразу, экономит компании часы расследования.
Последний пункт важнее, чем кажется. Если за клик по фишингу наказывают, люди молчат, и атака развивается дальше. Правила о том, как и кому сообщать, стоит закрепить в инструктаже по информационной безопасности и в памятке.
Что делать компании, если сотрудник перешёл по фишинговой ссылке
Для службы ИБ клик по фишинговой ссылке — событие, которое может перерасти в инцидент информационной безопасности. Порядок действий:
- Заблокировать доступ. Сменить пароль учётной записи, завершить все активные сессии, проверить, не настроены ли в почте правила пересылки и не добавлены ли новые устройства.
- Изолировать рабочее место, если было открыто вложение: отключить компьютер от сети и проверить его на вредоносное ПО.
- Найти других адресатов. Фишинговое письмо редко приходит одному человеку. Найти копии в почте, удалить их, предупредить получателей.
- Заблокировать домен и адреса атаки на почтовом шлюзе и прокси.
- Оценить последствия. Какие данные были доступны с этой учётной записи, были ли входы с чужих адресов, уходили ли письма от имени сотрудника.
- Задокументировать хронологию: кто, когда, что сделал. Это понадобится для разбора и, возможно, для регулятора.
Подробно этапы реагирования разобраны в статье управление инцидентами ИБ.
Если после фишинговой атаки утекли персональные данные, оператор по ч. 3.1 ст. 21 152-ФЗ дважды уведомляет Роскомнадзор: в течение 24 часов — об инциденте, его предполагаемых причинах, вреде и принятых мерах, в течение 72 часов — о результатах внутреннего расследования и лицах, чьи действия привели к инциденту. Срок отсчитывают с момента выявления инцидента.
Сутки — это мало, если в компании нет заранее подготовленного порядка: кто оценивает утечку, кто готовит уведомление, кто его подписывает. Об ответственности за утечку — в статье про оборотные штрафы по 420-ФЗ.
Как защититься от фишинга: меры для компании
Защита от фишинга строится в два слоя. Технические меры уменьшают число писем, которые дойдут до людей, и ущерб от ошибки. Организационные — учат людей распознавать атаку и сообщать о ней.
Технические меры
- Фильтрация почты — проверка писем, ссылок и вложений на шлюзе до того, как они попадут в ящик.
- SPF, DKIM и DMARC для своего домена — защита клиентов и партнёров от писем «от вашего имени».
- Двухфакторная аутентификация для почты, VPN и облачных сервисов. Украденный пароль без второго фактора не даёт входа.
- Запрет макросов в документах из интернета и запуска исполняемых файлов из почты.
- Своевременные обновления браузеров, почтовых клиентов и офисных программ.
- Пометка внешних писем — плашка «Письмо от внешнего отправителя» помогает заметить письмо «от директора», пришедшее снаружи.
Пароли — отдельная тема: длина, хранение, запрет повторного использования. Требования разобраны в статье парольная политика ИБ.
Организационные меры
- Правила ИБ для сотрудников — как проверять реквизиты, кому сообщать о подозрительных письмах, что запрещено. Правила закрепляют в политике информационной безопасности и доводят до людей на инструктаже.
- Двойная проверка платежей — смена реквизитов подтверждается звонком по номеру из договора, крупные платежи — вторым сотрудником.
- Простой канал для сообщений — адрес или кнопка, по которой любой сотрудник за минуту сообщает о подозрительном письме.
- Обучение с разбором реальных примеров под роли: бухгалтерии — подмена реквизитов, кадрам — вложения в резюме, руководителям — целевые письма.
- Проверка на практике — учебные фишинговые рассылки, которые показывают, работают ли правила и обучение.
Технические меры без обучения пропускают письма, которые фильтр не распознал. Обучение без проверки не показывает, усвоили ли его люди. Нужны оба слоя.
Как проверить сотрудников на фишинг
Проверить, распознают ли сотрудники фишинг, можно учебной фишинговой рассылкой: сотрудники получают безопасные письма, похожие на настоящие, а платформа фиксирует, кто открыл письмо, перешёл по ссылке или ввёл данные на учебной странице. Результат показывает, каким подразделениям нужно обучение, а повторная рассылка после обучения — изменилось ли поведение.
Тест на фишинг с вопросами «какое из писем фишинговое» тоже полезен, но проверяет знания, а не поведение. Сотрудник может правильно ответить в тесте и всё равно кликнуть по письму в понедельник утром, когда торопится. Учебная рассылка ловит именно такие ситуации.
Чтобы проверка дала пользу, а не обиду:
- согласуйте сценарий и участников с руководством заранее; конкретное письмо сотрудникам не раскрывают, но о том, что в компании бывают учебные проверки, их информируют — в политике ИБ или на обучении;
- не наказывайте за клик — цель в том, чтобы найти слабые места, а не виноватых;
- покажите разбор — после рассылки сотрудник, который кликнул, видит, какие признаки он пропустил;
- обучите по результатам и повторите проверку через время, чтобы сравнить.
Кроме почты, сотрудников проверяют звонками и сообщениями — это социотехническое тестирование. Для команды ИБ проводят киберучения: штабные (разбор сценария атаки за столом) и технические (отработка реагирования на практике).
КиберОснова проводит учебные фишинговые рассылки и социотехническое тестирование на платформах партнёров: готовит сценарии, проводит проверку и разбирает результаты. По слабым местам, которые показала проверка, записываем корпоративный курс по информационной безопасности под правила вашей компании.
Итог
Фишинговая атака бьёт не по системе, а по человеку, поэтому одних технических мер мало. Что нужно компании:
- Фильтрация почты, двухфакторная аутентификация, SPF, DKIM и DMARC для своего домена.
- Понятные правила: как проверять отправителя и реквизиты, кому и как сообщать о подозрительном письме.
- Порядок реагирования, если сотрудник уже перешёл по ссылке, включая уведомление Роскомнадзора при утечке персональных данных.
- Обучение на примерах под роли сотрудников.
- Учебные фишинговые рассылки до и после обучения — чтобы видеть, работает ли защита на практике.
Начать проще всего с проверки: учебная рассылка покажет, с какими письмами и в каких подразделениях проблема, и подскажет, чему учить в первую очередь.
