В 60% атак на компании злоумышленники используют доверие сотрудников

Представьте, что вы поставили в офис хорошую дверь. Стальную, с замком за триста тысяч, с камерой и картой доступа. А потом ваш менеджер выходит покурить, и на крыльце стоит человек в жилетке с папкой. «Я из сервисной, вызывали, тут кондиционер течёт в переговорке, шеф в курсе, он уже уехал». Менеджер придерживает дверь. Человек заходит.

Замок не сломан. Он вообще не при чём.

Ровно то же самое происходит в цифре, только вместо жилетки идёт письмо от «контрагента», а вместо придержанной двери — введённый пароль. Это и называется социальной инженерией: атака не на систему, а на человека, который в этой системе работает. И если технический взлом требует от злоумышленника квалификации, то атаки социальной инженерии требуют только наглости и сценария.

Социальная инженерия стоит за 60% успешных атак

По исследованию Positive Technologies (CODE RED 2026), социальная инженерия применялась в 60% успешных атак на организации за период с июля 2024 по сентябрь 2025 года. Двумя годами раньше было 49%. Тенденция понятная: ломать людей дешевле, чем ломать код.

Главный канал — обычная рабочая почта, 88% случаев. Никакой экзотики. Атака приходит туда, куда ваши сотрудники смотрят по сорок раз на дню и где бдительность давно притупилась.

Ещё одна цифра, которая мне кажется самой важной: в 24% успешных атак злоумышленники унесли учётные записи. Не деньги напрямую, а доступы. С доступом можно вернуться позже, спокойно осмотреться и забрать больше.

Три кнопки, на которые нажимают

Если убрать всю мишуру, все атаки социальной инженерии давят на одно и то же. Три кнопки.

Срочность. «Оплатить надо сегодня до шести, иначе поставка сорвётся». Времени подумать не даётся намеренно: думающий человек начинает проверять, а проверка ломает всю схему.

Авторитет. «Это просьба генерального», «я из службы безопасности банка», «с вами говорит сотрудник техподдержки». Мы приучены не спорить со старшими и со специалистами. Особенно если тон уверенный.

Страх. «На вашу компанию оформили кредит», «сейчас заблокируем счёт», «за это будет проверка». Испуганный человек хочет побыстрее закрыть проблему, а не разбираться в ней.

Всё. Дальше только декорации. Знаете кнопки, узнаете и схему, в какой бы обёртке она ни пришла.

Шесть методов социальной инженерии, которыми бьют по компаниям

1. Письмо «от контрагента»

Приходит письмо от давнего поставщика. Тот же стиль, та же подпись, в теме стоит номер вашего реального договора (его берут из утечек или из взломанной почты самого контрагента). Внутри новые реквизиты для оплаты или счёт во вложении. Иногда мошенники месяцами читают чужую переписку и вклиниваются ровно в тот момент, когда оплата действительно ожидается.

Проверять текст бесполезно: ошибок в нём давно нет, нейросеть пишет на чистом деловом русском. Проверять надо процесс.

2. Звонок «из техподдержки»

Вишинг — это фишинг голосом. Звонит «айтишник» (ваш же, аутсорсный, вы половину подрядчиков в лицо не знаете) и просит продиктовать код из СМС, потому что «слетела синхронизация почты». Или «служба безопасности банка» сообщает о подозрительной операции и просит срочно подтвердить данные.

Правило простое: код из СМС — это ключ. Ключи по телефону не диктуют. Никому. Даже если очень уверенный голос.

3. «Фейк-босс» и клон голоса

Одна из самых распространённых схем против компаний. Сотруднику пишет директор: срочно оплати, я на встрече. Потом присылает голосовое, и голос звучит как настоящий: современным сервисам синтеза хватает короткой записи с любого вашего интервью или созвона. Дальше может быть и видеокружок, и видеозвонок.

Подробно разобрал эту схему и её связь с новым законом об ИИ в отдельной статье про дипфейки. Если коротко: видео и голос больше не доказательство того, что с вами говорит живой человек.

4. Претекстинг: легенда и роль

Претекстинг — это когда под вас пишут сценарий. Звонит «новый сотрудник бухгалтерии из головного офиса», извиняется, что дёргает, и просит скинуть карточку компании и последние акты сверки: «меня только оформили, доступов не дали, а отчёт сегодня». Вежливо, немного растерянно, очень по-человечески. Никто ничего не взламывает, вы сами отдаёте всё, что нужно для следующего шага.

Здесь нет ни срочного платежа, ни подозрительных ссылок. Поэтому и не срабатывает тревога.

5. Приманка: флешка и QR-код

Классика, которая до сих пор работает. На парковке или в холле «случайно» оставляют флешку с наклейкой «Зарплаты 2026» или «Сокращения, список». Любопытство сильнее инструкций. Флешку подбирают и вставляют в рабочий компьютер.

Современная версия — QR-код: наклейка на парковочном автомате, «обновлённое меню» в столовой, «оплата штрафа». Камера телефона, один тап, поддельная страница входа.

6. Через подрядчика

Самое неочевидное. Вас не атакуют напрямую: взламывают вашего дизайнера, бухгалтера на аутсорсе или маленькое агентство, у которого есть доступ к вашим системам. У них защита слабее, а входят они к вам уже как свои, с законным доступом.

Поэтому вопрос «а какая ИБ у моего подрядчика» звучит занудно, но это прямая экономия. Ваш периметр заканчивается не там, где заканчивается ваш офис.

Почему попадаются нормальные люди

Здесь я хочу сказать вещь, которая многим руководителям не нравится.

Ваши сотрудники попадаются не потому, что они глупые. Попасться может и сильный исполнитель. Причина не в характере, а в среде: в компании скорость нередко ценят выше проверки. Если человек боится показаться медленным или недоверчивым, срочность и авторитет начинают работать на атакующего.

Атака эксплуатирует ровно те рабочие рефлексы, которые вы сами поощряете: быстро реагировать на просьбу руководства, не спорить с клиентом, выручать коллегу, не тормозить процесс лишними вопросами.

Отсюда практический вывод: бесполезно ругать людей за доверчивость. Работает другое: дать им законное право притормозить. Пока «перезвоню и уточню» выглядит как недоверие к начальству, правило второго канала работать не будет.

Защита от социальной инженерии: план на один час

Хорошая новость: методы социальной инженерии стары, а значит, и защита от них отработана. Не нужен ИБ-отдел и дорогая платформа. Соберите тех, у кого есть доступ к деньгам, данным и почте, проговорите вслух, запишите, повесьте на видное место.

• Правило второго канала. Любая просьба о деньгах или доступах, пришедшая в мессенджер или почту, подтверждается перезвоном по номеру из записной книжки. Не по тому, что в письме.
• Смена реквизитов — только после звонка контрагенту. Всегда. Особенно когда «очень срочно».
• Коды из СМС не диктуются никому. Ни банку, ни техподдержке, ни директору. Это ключ от сейфа, а не пароль от вайфая.
• Лимит на платежи, выше которого нужна вторая подпись или подтверждение вторым сотрудником. Плюс банковские лимиты — они надёжнее договорённостей.
• Кодовое слово между директором и бухгалтерией — как дополнительный слой, не вместо звонка.
• Двухфакторный вход на почту, банк, CRM и админку сайта. Даже если пароль утёк, одного его мало.
• Право на паузу. Публично объявите: сотрудник, который притормозил платёж и перепроверил, получает благодарность, а не выговор за медлительность. Без этого правила все остальные не работают.
• Спросите подрядчиков, как у них с двухфакторкой и кто имеет доступ к вашим системам.

Проверьте своих (без наказаний)

Регламент на бумаге ничего не стоит, пока его не проверили. Самый практичный способ — тренировочная фишинговая рассылка: отправить своим людям безобидное письмо-приманку и посмотреть, что произойдёт.

Важно понимать, что именно вы проверяете. Учебная рассылка — не экзамен на виноватого, а проверка процесса: заметили ли сотрудники подозрительное письмо, знают ли, куда сообщить, и как быстро на сигнал отреагировала компания. Поэтому смотреть надо не только на клики, но и на то, сколько человек сообщили о письме и за какое время. Один click rate о качестве защиты не говорит почти ничего.

Рамки, за которые лучше не выходить:

• Возможность учебных рассылок заранее закреплена во внутренней политике, сценарий согласован с руководителем или HR.
• Не собираются настоящие пароли, нет вредоносных вложений и внешних форм ввода данных.
• Не используются темы зарплаты, премий, увольнений, болезни и личных трагедий. Это бьёт по доверию сильнее, чем учит.
• Результаты не публикуются, рейтинги «кто кликнул» не вывешиваются.
• После теста — короткий разбор со всей командой: по каким признакам письмо можно было опознать.

И главное условие: за единичный учебный клик не наказывают. Иначе сотрудник начнёт скрывать ошибки, а для компании раннее сообщение важнее красивой статистики: узнать о проблеме от своего человека всегда дешевле, чем от банка. При этом эффект от одной рассылки недолгий, и повторять её придётся. А вот сознательное игнорирование правил после обучения — это уже отдельный управленческий разговор, и к «наказанию за доверчивость» он отношения не имеет.

Кстати, если произошла утечка персональных данных клиентов, у вас есть 24 часа на уведомление Роскомнадзора. Что именно проверить на своей стороне, разбирал в чек-листе аудита сайта на 152-ФЗ.

Обучение людей — часть организационных мер защиты данных, которые требует 152-ФЗ. Полный набор обязательных мер разобрал в статье про защиту персональных данных.

Коротко

Технологии атак меняются каждый год: вчера кривое письмо, сегодня дипфейк с голосом директора, завтра что-нибудь ещё. А кнопки те же самые с девяностых: поторопить, сослаться на старшего, напугать.

Поэтому и защита не в том, чтобы купить очередную коробку. Она в одной привычке: любая срочная просьба про деньги и доступы проверяется по второму каналу. Один звонок. Тридцать секунд. Дешевле любого замка за триста тысяч, который всё равно откроют изнутри.

Свежие схемы и разборы выкладываю в телеграм-канале — там же можно спросить, если попалось что-то подозрительное.

Частые вопросы