Фишинг в компании: как распознать письмо и чем закрыться

Фишинг против компании устроен иначе, чем массовая рассылка про «выигрыш». Письмо приходит с привычного адреса, в удобный момент и по рабочему поводу: срочный платеж, акт сверки, смена пароля. Разберем, как выглядят такие атаки, по каким признакам их можно заметить и что делать, когда сотрудник уже ответил.

Что такое фишинг и чего добиваются от компании

Если коротко ответить, что такое фишинг в информационной безопасности, получится так: это обман, после которого человек сам отдает данные или сам делает то, что нужно злоумышленнику. В кибербезопасности такой прием относят к социальной инженерии: защиту никто не взламывает, сотрудник открывает дверь собственной рукой, потому что письмо убедило его, что так надо.

В корпоративном случае цель фишинга редко ограничивается одним паролем. Злоумышленнику нужны учетные данные от рабочих систем, доступ к почтовому ящику, из которого удобно писать коллегам и контрагентам, платеж на подмененные реквизиты или документы: договоры, прайсы, выгрузки из учетных систем. Фишинговая атака на организацию готовится заранее. Должности, фамилии руководителей и названия подрядчиков берут из открытых источников, поэтому письмо выглядит правдоподобно.

Последствия считаются в деньгах и в обязательствах. Утечка персональных данных означает разговор о 152-ФЗ «О персональных данных», уход коммерческой информации поднимает вопрос о режиме по 98-ФЗ «О коммерческой тайне», а хищение денег, в зависимости от схемы, квалифицируют по статье 159 или 159.6 УК РФ. Окончательную оценку в каждом случае дают юристы и суд.

Виды фишинга

В любой классификации для компании важны два вопроса: каким каналом сообщение доходит до сотрудника и насколько оно подогнано под конкретного человека. Чем точнее адресовано, тем меньше шансов, что его остановит фильтр.

• Массовый почтовый

   

  Одно письмо уходит тысячам адресатов: «ящик переполнен», «подтвердите учетную запись». На рабочем месте это рассылка по адресной базе компании, и такие письма фильтр обычно ловит.

• Целевой (адресный)

   

  Письмо написано под конкретного человека и учитывает его должность и проект. Бухгалтеру приходит «счет от поставщика», помощнику руководителя — «поручение от шефа».

• Вишинг

   

  Звонок по телефону. В офис звонят «из банка» или «из ИТ-отдела» и просят продиктовать код или установить программу удаленного доступа. Чаще всего трубку берут в приемной и бухгалтерии.

• Смишинг

   

  Ссылка в СМС или мессенджере. «Директор» пишет в личный чат и обходит корпоративную почту, где письмо хотя бы проходит через фильтр.

• Фарминг

   

  Человека перенаправляют на поддельный сайт, хотя адрес он набрал правильно: подменены записи DNS или заражена рабочая станция. Признаков в самом письме нет.

• Клон-фишинг

   

  Берут настоящее письмо, которое сотрудник уже получал, меняют в нем вложение или ссылку и отправляют повторно «с исправлениями». Доверие к оригиналу переходит на копию.

• Фишинг в соцсетях и рабочих чатах

   

  «Коллега» пишет в общий чат, «рекрутер» присылает ссылку на тестовое задание. Почтовый шлюз этот канал не проверяет.

Как выглядит фишинг против организации

Корпоративные схемы повторяются, потому что работают: в каждой есть слабая точка в бизнес-процессе. О том, как схемы меняются, мы писали в материале про новые схемы утечек данных, а здесь четыре сценария, которые встречаются чаще других.

Письмо «от руководителя». Отображаемое имя совпадает с именем директора, текст короткий: «Я на переговорах, говорить не могу. Срочно оплати счет, реквизиты во вложении, напиши, когда сделаешь». Переспросить начальника неловко, и платеж уходит.

Подмена реквизитов. В длинную переписку с подрядчиком вклинивается письмо: «В связи со сменой банка просим платить по новым реквизитам». Иногда оно приходит с взломанного ящика самого подрядчика, и тогда подпись и цитаты из прошлых писем настоящие.

«Смена пароля». «ИТ-служба» сообщает, что срок пароля истекает. Ссылка ведет на фишинговый сайт, копию корпоративного портала, и логин с паролем сотрудник вводит в чужую форму.

Вложение «акт сверки». Документ просит «включить содержимое», чтобы показать данные. После этого запускается макрос, и у злоумышленника появляется точка входа в сеть.

Признаки фишингового письма

Если нужно коротко указать признаки фишинг-письма для памятки сотрудникам, набор получится такой:

• отображаемое имя не совпадает с реальным адресом отправителя;
• в домене подменен символ: «rn» вместо «m», ноль вместо «о», лишний дефис;
• на человека давят срочностью: «до конца дня», «иначе штраф»;
• просьба приходит по нетипичному каналу: директор пишет в личный мессенджер, контрагент просит не звонить, а ответить на письмо;
• предлагают обойти обычное согласование: «без визы, оформим потом»;
• вложение в неожиданном формате: архив с паролем, файл с двойным расширением, документ с макросами;
• адрес в фишинговой ссылке не совпадает с ее текстом.

Ошибки в тексте и корявый перевод остались в прошлом. Письма пишут грамотно, нередко грамотнее настоящей деловой переписки. Поэтому искать стоит не опечатки, а нестыковки в контексте: зачем бухгалтерии эта просьба именно сейчас и именно по этому каналу.

Как проверить ссылку и отправителя, не навредив

Проверка начинается до клика. Курсор наводят на ссылку и смотрят реальный адрес в строке состояния, потом сверяют домен по буквам: подмена обычно прячется в одном символе. Для проверки отправителя открывают служебные заголовки письма, смотрят путь доставки и результаты SPF, DKIM и DMARC. Расхождение между адресом в поле «От» и сервером, с которого письмо ушло, говорит о подделке лучше любого стиля текста. Надежнее всего связаться с отправителем другим каналом, по телефону из договора, а не нажимать «ответить».

Чтобы проверить на фишинг подозрительное письмо, сотруднику нужен понятный путь: кнопка «Сообщить об угрозе» в почтовом клиенте или адрес ИБ-службы. Проверка ссылки на фишинг и разбор вложения идут в изолированной среде, которую обслуживает специалист. Проверка безопасности ссылки на публичном сервисе годится только для безобидных случаев. Загружать туда вложение с рабочими данными нельзя: вы сами отправите документ в чужие руки.

Пересылать письмо коллегам с пометкой «посмотрите, странное» значит разнести его по компании. Открывать вложение «чисто чтобы проверить» тоже не стоит: на этом шаге макрос и срабатывает.

Сотрудник уже кликнул: что дальше

Рано или поздно кто-то ответит на письмо, введет пароль в поддельную форму или откроет файл. Обучение снижает долю таких кликов, но не обнуляет ее. Дальше начинается то, о чем в большинстве материалов молчат: что делать компании в первые часы. Порядок такой:

• отключить учетную запись и сменить пароли, включая те, что сохранены в браузере;
• выяснить, что именно сотрудник отправил или ввел и куда это ушло;
• найти всех, кто получил такое же письмо, по журналам почтового сервера и архиву переписки, и понять, кто еще кликнул;
• сохранить следы: письмо с заголовками, журналы, переписку, пока их не затерли;
• уведомить тех, кого требует регламент: руководителя, юристов, при утечке персональных данных ответственного за их обработку.

Первые два пункта обычно оказываются самыми трудными. Почтовый фильтр знает про входящее письмо: пришло, проверено, доставлено. Что сотрудник отправил в ответ, в какой чат переслал, какой файл загрузил по ссылке, фильтр не видит. Это исходящий контур, через который обычно и крадут данные из компании. Классы решений здесь разные: почтовый шлюз с антифишингом защищает вход, а DLP-система смотрит на то, что выходит наружу.

DLP контролирует каналы передачи данных (почту, мессенджеры, веб, облачные хранилища), анализирует содержимое сообщений и файлов и хранит архив перехваченного. По такому архиву можно восстановить, какие данные и по какому из каналов утечки данных ушли, найти повторные отправки, собрать материалы в дело и разобрать случай по фактам. Если правила настроены заранее, передачу по поддерживаемым каналам можно заблокировать. Антифишинга в DLP нет, входящее письмо она не отсекает. Сам разбор встраивается в общее управление инцидентами информационной безопасности.

Как выстроить защиту от фишинга в компании

Защита от фишинга работает в три слоя, и у каждого свои границы.

Технический слой. Фильтрация почты, вторая проверка при входе, обновления, ограничение прав, чтобы один взломанный аккаунт не открывал все. С чего начинать, описано в материале про защиту корпоративной почты. Массовый мусор и известные вредоносные вложения до людей доходить не должны.

Процессный слой. Платеж и смена реквизитов подтверждаются вторым человеком и обратным звонком по номеру из договора. У сотрудника есть адрес для подозрительных писем, и за ложную тревогу никто не ругает. Этот слой останавливает «директора» с просьбой срочно оплатить.

Человеческий слой. Короткие тренировки заметнее годового инструктажа: учебное письмо раз в месяц или квартал и разбор без поиска виноватых. Гарантий обучение не дает, поэтому для предотвращения кибератак его сочетают с двумя другими слоями.

Хотите увидеть, что уходит из вашей компании по почте, мессенджерам и вебу? Попробуйте DLP-систему Falcongaze SecureTower: бесплатный полнофункциональный тест на 30 дней для юридических лиц. Система показывает, какие данные и по каким каналам покидают периметр, а архив переписки помогает разобрать инцидент после фишинговой атаки. Заявка на тест.

Заключение

Фишинг против компании бьет по процессу, а не по невнимательности отдельного человека. Письмо попадает в точку, где решение принимают быстро и без проверки: оплата, смена пароля, срочная выгрузка. Закрывать ее нужно с трех сторон: фильтр на входе, правила подтверждения и видимость того, что уходит наружу. Фильтр пропустит целевое письмо, обученный сотрудник иногда ошибется, а без исходящего контура компания не узнает, что именно потеряла.

Часто задаваемые вопросы

• Чем корпоративный фишинг отличается от массовой рассылки мошенников?

   

  Массовая рассылка держится на объеме и бьет по случайным адресатам. Корпоративная атака делается под конкретную организацию, с ее должностями, подрядчиками и процессами, поэтому фильтр часто не видит в письме ничего подозрительного.

• Что делать в первую очередь, если сотрудник перешел по ссылке и ввел пароль?

   

  Заблокировать учетную запись и сменить пароли. Затем выяснить, что именно введено и отправлено, сохранить письмо с заголовками, проверить, кто еще получил такое же сообщение, и уведомить ответственных по регламенту.

• Как понять, какие данные ушли наружу после фишингового письма?

   

  По журналам и архиву передачи данных. Почтовый фильтр показывает только входящее письмо. Чтобы увидеть, что сотрудник отправил в ответ, переслал в мессенджер или загрузил в облако, нужен контроль исходящих каналов и архив переписки, например в DLP-системе.

• Помогает ли обучение сотрудников или это формальность?

   

  Помогает, если оно короткое и регулярное. Годовой инструктаж для галочки почти ничего не меняет, а хорошее обучение лишь снижает долю кликов, поэтому его сочетают с техническими мерами.

• Может ли DLP-система остановить фишинговое письмо?

   

  Нет. Входящий контур закрывает почтовый шлюз с антифишингом. DLP работает на исходящем: блокирует передачу данных по настроенным правилам и поддерживаемым каналам и показывает, что именно ушло.

• Как защититься от подмены реквизитов в переписке с контрагентом?

   

  Подтверждать любое изменение реквизитов звонком по номеру из договора, а не из письма, и привлекать второго согласующего. Домен отправителя сверять по буквам.