Фишинг: что это такое и как защитить бизнес

Что в статье

• Что такое фишинг
• Как работает фишинговая атака на бизнес
• Виды фишинга
• Как распознать фишинг
• Как бизнесу защититься от фишинга
• Что делать, если сотрудник перешел по фишинговой ссылке
• Частые вопросы о фишинге
• Главное о фишинге

Что такое фишинг

Фишинг — это один из приемов социальной инженерии. Его смысл не обязательно в техническом взломе: злоумышленник создает ситуацию, в которой человек сам сообщает секретные данные, вводит их на поддельной странице, открывает опасный файл или подтверждает действие, выгодное мошеннику.

Целью могут быть логин и пароль от корпоративной почты, код подтверждения, платежные реквизиты, доступ к облачному сервису, интернет-банку, CRM или другим системам компании. Иногда задача атаки — не украсть данные напрямую, а убедить сотрудника перевести деньги или установить программу, которая даст злоумышленнику доступ к устройству.

Как работает фишинговая атака на бизнес

Сценарии различаются, но логика обычно похожая:

• злоумышленник выбирает массовую рассылку или собирает информацию о конкретной компании и сотруднике;
• сообщение маскируется под письмо от банка, госоргана, руководителя, коллеги, поставщика или от популярного сервиса;
• получателя подталкивают к срочному действию: открыть документ, перейти по ссылке, войти в аккаунт, подтвердить платеж или сообщить код;
• после этого мошенник получает данные, доступ к системе, возможность установить вредоносное ПО или провести платеж.

Для бизнеса особенно опасны письма, которые выглядят как часть обычной рабочей переписки: запрос от директора, новый счет от контрагента, уведомление из государственного сервиса или ссылка на документ. Такие сообщения могут быть написаны без ошибок и учитывать реальные должности, проекты и деловые процессы компании.

Виды фишинга

В практике встречаются как массовые, так и целевые атаки. Ниже — основные варианты, с которыми может столкнуться компания.

Почтовый фишинг

Мошенник отправляет письмо от имени знакомой организации или человека. Внутри может быть ссылка на поддельную страницу, вложение или просьба подтвердить данные. Адрес отправителя иногда отличается от настоящего одной буквой, дефисом или доменной зоной, но возможен и взлом реального почтового ящика.

Целевой фишинг

Целевой, или направленный, фишинг строится под конкретного сотрудника или компанию. Перед атакой злоумышленник может изучить сайт, вакансии, соцсети, имена руководителей и контрагентов, чтобы письмо выглядело как обычная рабочая коммуникация.

Уэйлинг

Уэйлинг — разновидность целевого фишинга, направленная на руководителей и сотрудников с расширенными полномочиями: генерального директора, финансового директора, главного бухгалтера. Целью могут быть доступ к рабочей почте, согласование платежа или получение конфиденциальных документов.

Смишинг

Смишинг — фишинг через СМС. В сообщении может быть ссылка на поддельный сайт или просьба срочно связаться с отправителем. Похожие схемы встречаются и в мессенджерах, но термин «смишинг» относится прежде всего к СМС.

Вишинг

Вишинг — мошенничество с помощью телефонного разговора. Звонящий представляется сотрудником банка, сервиса, госоргана, подрядчика или руководителем и пытается получить код, пароль, платежные данные либо убедить выполнить нужное действие. Вишинг часто рассматривают как близкую к фишингу форму социальной инженерии.

Фишинговые сайты и QR-коды

Поддельная страница может почти полностью повторять дизайн банка, почтового сервиса, маркетплейса или корпоративной системы. На нее ведут ссылки из писем, сообщений и рекламы, а также QR-коды. Задача страницы — заставить пользователя ввести логин, пароль, код или платежные реквизиты.

Как распознать фишинг

Один признак не доказывает, что сообщение мошенническое. Важно оценивать сразу несколько деталей и перепроверять неожиданные запросы по независимому каналу.

Грамматические ошибки больше нельзя считать признаком фишинга. Современные инструменты позволяют быстро создавать аккуратные деловые письма, поэтому важнее проверять источник сообщения, адрес, контекст и сам запрос.

Как бизнесу защититься от фишинга

Обучение сотрудников важно, но одной внимательности недостаточно. Защита работает лучше, когда правила поведения сочетаются с техническими ограничениями и понятным порядком действий.

1. Включить многофакторную аутентификацию для корпоративной почты, облачных сервисов, CRM, рекламных кабинетов и других важных аккаунтов.
2. Использовать уникальные пароли и менеджер паролей. Один пароль не должен открывать несколько рабочих систем.
3. Настроить фильтрацию спама и фишинга в корпоративной почте. Для собственного домена полезно настроить SPF, DKIM и DMARC: они помогают снизить риск подделки писем от имени компании.
4. Ограничить права доступа. Сотрудник должен иметь только те права, которые нужны для его задач; административные учетные записи лучше использовать отдельно.
5. Закрепить правило проверки платежей: изменение реквизитов, необычный перевод или просьбу обойти стандартное согласование подтверждают через второй, независимый канал.
6. Регулярно обновлять операционные системы и программы, использовать антивирусную защиту и не отключать встроенные механизмы безопасности по инструкции из письма или сообщения.
7. Проводить короткие тренировки для сотрудников: показывать актуальные примеры писем и объяснять, куда сообщать о подозрительном сообщении или ошибочном клике.
8. Заранее назначить ответственного за инциденты и сохранить контакты банка, технического специалиста, хостинга и других критичных подрядчиков.

Абсолютной защиты от фишинга нет, но технологии и четкие и быстрые действия могут заметно снизить риск и ограничить последствия ошибки.

Что делать, если сотрудник перешел по фишинговой ссылке

Порядок действий зависит от того, что произошло после перехода. Чем быстрее компания понимает сценарий, тем проще ограничить ущерб.

Если ссылку открыли, но данные не вводили

• Закрыть страницу и не скачивать предложенные файлы.
• Сообщить ответственному за безопасность или техническому специалисту.
• Если браузер или защитное ПО сообщает о загрузке или запуске файла, перейти к сценарию с подозрительным вложением.

Если ввели пароль или код

• С чистого устройства сменить пароль скомпрометированного аккаунта.
• Завершить активные сеансы и отозвать доступы, если сервис это позволяет.
• Включить многофакторную аутентификацию.
• Сменить такой же пароль в других сервисах, если он повторялся.
• Проверить настройки аккаунта: правила пересылки почты, резервные адреса, номера телефонов и выданные приложениям разрешения.

Если открыли подозрительный файл или запустили программу

• Отключить устройство от интернета и корпоративной сети.
• Не продолжать работу с него и сразу передать информацию специалисту.
• Не удалять наугад файлы и не выключать устройство, если специалист не попросил это сделать: данные об инциденте могут понадобиться для анализа.
• Проверить, к каким аккаунтам и данным было подключено устройство, и при необходимости ограничить доступы.

Если под угрозой деньги или платежные реквизиты

• Сразу связаться с банком по официальному номеру и сообщить о возможном мошенничестве.
• Заблокировать скомпрометированный платежный инструмент или доступ к интернет-банку, если это требуется.
• Сохранить письмо, номер телефона, переписку, реквизиты и другие данные, которые могут понадобиться банку и правоохранительным органам.

Банк России рекомендует не сообщать коды и финансовые данные, не переходить по подозрительным ссылкам и при сомнительном звонке самостоятельно связываться с банком по номеру с официального сайта или банковской карты.

Если произошла утечка персональных данных

Если компания как оператор персональных данных установила факт неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, который повлек нарушение прав субъектов, возникает обязанность уведомить Роскомнадзор. Первичное уведомление направляют в течение 24 часов, результаты внутреннего расследования — в течение 72 часов.

После инцидента важно не только устранить последствия, но и понять причину: какой канал сработал, каких правил или технических ограничений не хватило и что нужно изменить, чтобы атака не повторилась.

Частые вопросы о фишинге

Можно ли определить фишинговый сайт по значку замка в браузере?

Нет. Значок защищенного соединения показывает, что данные между браузером и сайтом передаются по зашифрованному каналу, но сам сайт при этом может принадлежать мошенникам. Проверять нужно домен, источник ссылки и контекст запроса.

Фишинговое письмо всегда содержит ссылку?

Нет. Мошенники могут прислать вложение, попросить ответить на письмо, связаться по телефону, подтвердить перевод или изменить реквизиты. В целевых атаках письмо иногда вообще не содержит технически опасных элементов.

Чем целевой фишинг отличается от обычного?

Массовый фишинг рассчитан на большое число получателей, а целевой — на конкретного человека или компанию. В целевой атаке злоумышленник заранее собирает информацию и подстраивает письмо под должность, контрагента или рабочую ситуацию.

Достаточно ли антивируса для защиты от фишинга?

Нет. Антивирус и почтовые фильтры помогают блокировать часть угроз, но не могут предотвратить любой обман. Защита должна сочетать технические меры, многофакторную аутентификацию, правила платежей и обучение сотрудников.

Главное о фишинге

• Фишинг — это социальная инженерия: мошенник добивается, чтобы человек сам передал данные, открыл файл, перешел на поддельный сайт или подтвердил действие.
• Для бизнеса опасны не только массовые рассылки, но и целевые письма от имени руководителя, банка, госоргана, партнера или подрядчика.
• Главные признаки — неожиданный запрос, срочность, подозрительный адрес, ссылка или вложение, изменение платежных реквизитов и попытка обойти обычную процедуру.
• Ошибки в тексте не обязательны: современные фишинговые письма могут выглядеть профессионально и точно имитировать деловой стиль.
• Защита строится на сочетании обучения и технологий: многофакторной аутентификации, уникальных паролей, фильтрации почты, ограничения доступов и проверки платежей.
• После инцидента важно быстро ограничить доступ, связаться с банком при риске потери денег и выполнить требования по уведомлению Роскомнадзора, если затронуты персональные данные.