Фишинг

Что это значит

Фишинг - мошенническое сообщение, чаще всего письмо, SMS или сообщение в мессенджере, которое выдаёт себя за доверенного отправителя, например банк, поставщика, курьера или налоговую. Цель - чтобы получатель перешёл по ссылке, ввёл пароль, открыл заражённое вложение или отправил деньги.

Фишинг - самая распространённая форма социальной инженерии. Он атакует не технологии, а людей и их доверие, спешку или страх. Целевая версия, так называемый спир-фишинг, использует конкретные имена, проекты и счета, поэтому её гораздо труднее распознать.

Для фирм опаснее всего мошенничество со счётом и сменой реквизитов. Злоумышленник выдаёт себя за знакомого поставщика или директора и требует оплату на новый счёт. При мгновенном платеже деньги исчезают за несколько секунд.

Как это работает на практике

Первая защита - техническая настройка почты. Мы советуем фирмам внедрить SPF, DKIM и DMARC, затрудняющие подделку их домена, и включить двухфакторную аутентификацию для почты, банка и бухгалтерской системы.

Пароли работникам не стоит ни запоминать, ни записывать, их лучше хранить в менеджере паролей. Он к тому же подставляет пароль только на правильном домене, поэтому на поддельной странице не сработает, и это хороший тревожный сигнал.

В нашей работе с клиентами действует правило: смену банковского счёта поставщика или необычную платёжную просьбу мы всегда проверяем звонком по номеру, который у нас уже есть, а не по номеру из письма. Тот же порядок мы советуем закрепить во внутренних правилах платежей.

На что обратить внимание

Переход по фишинговой ссылке может стать началом более крупной атаки, например вируса-вымогателя, который зашифрует данные фирмы. Кто нажал, должен сразу сообщить, а не скрывать. Быстрая реакция, смена паролей и отключение устройства заметно уменьшают ущерб.

Если при атаке утекли персональные данные, фирма может быть обязана сообщить об инциденте надзорному органу по GDPR и уведомить затронутых лиц. Киберстрахование может покрыть часть расходов, но, как правило, требует, чтобы в фирме были внедрены базовые меры безопасности.