Корпоративный фишинг стал одной из самых опасных и распространённых киберугроз для бизнеса. В отличие от атак, направленных на рядовых пользователей, мошенники в корпоративной среде действуют более тонко, тщательно готовят сценарии и используют методы социальной инженерии, которые трудно распознать даже опытным сотрудникам. Потери от таких атак исчисляются миллионами: по оценке экспертов, средний ущерб от фишинга для компании достигает около 17 миллионов рублей. Это связано не только с прямым хищением денег, но и с простоями, репутационными издержками и затратами на восстановление инфраструктуры.
Эксперты «Руцентра» выделяют несколько ключевых схем, которые применяют злоумышленники для обмана корпоративных структур.
1. Классический бизнес-email compromise (BEC) В этой схеме преступники маскируются под руководителей компании или деловых партнёров. Сотрудник получает письмо якобы от генерального директора или финансового директора с просьбой срочно перевести средства на «новый» счёт контрагента. Письмо оформлено предельно правдоподобно: используются фирменные шаблоны, копируются подписи и даже имитируется стиль переписки. Иногда злоумышленники получают доступ к реальным корпоративным почтам, что делает атаку практически неотличимой от легитимной переписки.
2. Фишинг через поддельные сервисы и документы Часто мошенники создают копии популярных корпоративных платформ: почтовых сервисов, облачных хранилищ, систем документооборота. Сотруднику приходит письмо с ссылкой на документ «для срочного согласования». Перейдя по ссылке, он попадает на поддельный сайт, где вводит свои логин и пароль. Так злоумышленники получают доступ к учётным записям, что позволяет им не только красть данные, но и продолжать рассылку фишинговых писем уже от имени жертвы.
3. Подмена реквизитов при работе с подрядчиками Этот способ связан с атакой на цепочки поставок. Злоумышленники взламывают или имитируют почту контрагентов и высылают счёт на оплату. Реквизиты в нём изменены, и деньги уходят на счёт мошенников. Особую опасность представляет то, что такие письма приходят в рамках реальных бизнес-процессов, и сотрудникам бывает трудно заметить подлог.
4. Целенаправленные атаки на конкретных сотрудников Так называемый spear phishing (точечный фишинг) отличается тем, что письма готовятся персонально. Хакеры заранее изучают сотрудника через соцсети, профессиональные профили, публичные выступления. В результате жертва получает сообщение, которое кажется максимально достоверным: от приглашения на конференцию до «служебной инструкции». Достаточно одного клика по вложению или ссылки — и злоумышленники получают доступ к системе компании.
Противостоять таким атакам непросто, но есть ряд стратегий, которые помогают минимизировать риски.
Во-первых, компании должны внедрять многоуровневую аутентификацию (MFA). Даже если пароль сотрудника окажется скомпрометирован, злоумышленники не смогут войти в систему без второго фактора — кода подтверждения или аппаратного токена.
Во-вторых, необходимо регулярно проводить обучение сотрудников. Фишинг работает именно благодаря человеческому фактору, и чем выше осведомлённость персонала о рисках, тем ниже вероятность успеха атаки. Практика показывает, что после тренингов по кибербезопасности количество случаев, когда сотрудники переходят по подозрительным ссылкам, значительно снижается.
В-третьих, важна система мониторинга и защиты корпоративной почты. Современные фильтры умеют определять поддельные домены, блокировать подозрительные вложения и предупреждать пользователей о рисках.
Наконец, необходимо контролировать процессы согласования и перевода средств. Внедрение дополнительных уровней проверки при изменении платёжных реквизитов или крупных транзакциях помогает вовремя отследить мошенничество.
Корпоративный фишинг — это не единичные атаки, а системная проблема современного бизнеса. С ростом цифровизации количество каналов для атак увеличивается, а значит, компаниям приходится уделять всё больше внимания комплексной киберзащите.
Главный вывод экспертов прост: победить мошенников полностью невозможно, но снизить их шансы на успех — вполне реально. Для этого нужно сочетать технологии защиты с регулярным обучением сотрудников и строгим контролем бизнес-процессов.