Социальная инженерия 2025: защита сотрудников

За один квартал крупная публичная компания потеряла 47 миллионов долларов из-за одного письма. Без сложного вредоносного кода и без zero-day уязвимости: обычное сообщение с просьбой обновить банковские реквизиты поставщика.

Именно так выглядит социальная инженерия в 2025 году. Около 65% инцидентов начинаются с того, что человек нажимает не ту ссылку, доверяет не тому собеседнику или сообщает лишние сведения. Межсетевой экран не остановит убедительное письмо, антивирус не распознает звонок «из службы поддержки», а система обнаружения вторжений не отметит сотрудника, который сам передал пароль.

Этот материал объясняет, как устроены такие атаки, почему генеративный ИИ сделал их опаснее и как учения по фишингу вместе с обучением персонала превращают людей из слабого звена в линию обороны. Смежная тема — фишинг с поддержкой ИИ: там разобраны конкретные признаки поддельных писем.

Что такое атаки социальной инженерии

Социальная инженерия — это воздействие на психологию человека, а не на технические уязвимости. Цель одна: побудить сотрудника раскрыть конфиденциальные данные, выдать доступ или выполнить действие, которое ослабляет защиту.

Почему это работает

Люди хотят помогать. Просьба о помощи редко вызывает подозрение.
Авторитет подавляет критику. Сообщение «от директора» воспринимается как указание.
Спешка отключает проверку. «Аккаунт будет заблокирован через час» не оставляет времени подумать.
Любопытство сильнее осторожности. «Посмотрите, кто просматривал ваш профиль» работает годами.

Цифры, которые важны

65% случаев социальной инженерии связаны с фишингом.
42% — настолько выше успешность фишинга, сгенерированного ИИ, по сравнению с шаблонным.
66% атак нацелены на привилегированные учётные записи.
60% инцидентов приводят к утечке данных.

Вывод простой: даже идеально настроенная техническая защита не помогает, если сотрудник сам открывает дверь.

Что изменилось к 2025 году

Классические приёмы — фишинг, целевой спир-фишинг, вишинг по телефону, смишинг в мессенджерах и SMS, претекстинг с выдуманной легендой — по-прежнему работают. Изменились стоимость и качество подготовки.

Новые угрозы

Генеративный ИИ в письмах. Более 80% фишинговых сообщений собраны с помощью языковых моделей: без ошибок, с корректным тоном и точным обращением по имени.
Клонирование голоса. Тридцати секунд записи достаточно, чтобы синтезировать убедительную речь руководителя. Подробнее — в материале о мошенничестве с клонированием голоса.
Атаки через рабочие мессенджеры. Поддельные аккаунты в Teams, Slack и Zoom вызывают меньше подозрений, чем письмо с незнакомого домена.
ClickFix и поддельные обновления. Жертву просят «исправить ошибку» и вставить команду в терминал.
QR-фишинг. Коды в квитанциях, парковочных талонах и презентациях уводят на поддельную страницу входа.

Пять самых опасных сценариев

1. Компрометация деловой переписки

Злоумышленник пишет от имени руководителя или поставщика и просит срочный перевод. Средний ущерб — около 125 тысяч долларов на инцидент, а письма часто приходят вне рабочих часов, когда подтвердить просьбу некому.

2. Сбор учётных данных на поддельных страницах входа

Письмо о блокировке аккаунта ведёт на копию страницы входа. По отраслевым наблюдениям, до 30–40% получателей переходят по ссылке, а 10–15% вводят пароль.

3. Звонки в службу поддержки

Нападающий представляется сотрудником, забывшим пароль, и использует открытые данные о компании, чтобы пройти проверку. В ряде случаев доступ к внутренним системам оформляется менее чем за 40 минут.

4. Вишинг с клонированием голоса

Звонок «от руководителя» в финансовый отдел с просьбой о конфиденциальном переводе. Без отдельного протокола подтверждения отличить синтезированный голос практически невозможно.

5. Смишинг

Сообщение о неудачной доставке посылки или подозрительной операции по карте. Люди доверяют SMS больше, чем письмам, поэтому переход по ссылке происходит быстрее.

Почему технической защиты недостаточно

Межсетевой экран не мешает авторизованному пользователю открыть ссылку. Антивирус не считает вредоносным письмо, написанное человеческим языком. Многофакторная аутентификация обходится через усталость от подтверждений, а шифрование бесполезно, если пароль передан добровольно.

Именно поэтому устойчивость к социальной инженерии проверяют специалисты по защищённости, а не только сканеры уязвимостей.

Как проходит проверка в рамках договора

Такие учения законны и этичны только при письменном согласии заказчика, заранее определённых границах и понятном перечне целей. Мы не работаем с частными устройствами и аккаунтами без согласия владельца.

Что проверяем

Фишинговые сценарии по сотрудникам из согласованного перечня.
Звонки от имени ИТ-подразделения или поставщика.
Претекстинг с легендой, согласованной с заказчиком.
Процедуры подтверждения платежей и смены реквизитов.
Готовность службы поддержки проверять личность перед сбросом пароля.

Что измеряем

Долю переходов по ссылке.
Долю ввода учётных данных.
Долю сообщений о подозрительном письме.
Время до сообщения в службу безопасности.

Цель — не наказать сотрудников, а получить измеримую картину и обучить команду.

Правила фишинговых учений

Регулярность важнее масштаба. Короткие учения раз в квартал дают больше, чем одно большое раз в год.
Разные каналы. Проверяйте не только почту, но и мессенджеры, SMS и телефонные звонки.
Реалистично, но не жестоко. «Нужно согласовать отчёт» — допустимо. «Ваш ребёнок в больнице» — нет.
Награждайте бдительность. Публичная похвала за сообщение о подделке работает лучше штрафов.
Опирайтесь на реальные шаблоны. Сценарии должны повторять то, что действительно приходит в отрасль.

Обучение сотрудников

Простая схема, которую стоит закрепить в регламенте: остановись — проверь — действуй.

Остановись. Не переходите по ссылке и не отвечайте сразу.
Проверь. Подтвердите просьбу по независимому каналу: по известному вам номеру, а не по тому, что указан в письме.
Действуй. Выполняйте просьбу только после подтверждения, а подозрительное сообщение отправьте в службу безопасности.

Отдельное внимание — ролям повышенного риска: финансовый отдел, ИТ-поддержка и руководство. Для них нужны дополнительные правила: двойное согласование платежей, проверка личности перед сбросом пароля, осведомлённость о дипфейках.

Во что обходится ошибка

Средний ущерб от компрометации переписки — около 125 тысяч долларов, от утечки данных — миллионы, а одна атака шифровальщика обходится в среднем дороже, чем годовая программа обучения. Обзор модели ransomware-as-a-service показывает, почему малый бизнес стал приоритетной целью: подготовка атаки стоит копейки.

Вывод

Социальная инженерия не требует взлома — ей достаточно вашего доверия и спешки. Технические средства защищают системы, а выстроенная культура проверки защищает деньги, данные и репутацию. Учения по фишингу, понятный протокол подтверждения и обучение сотрудников дают результат быстрее, чем очередной уровень защиты периметра.

Нужна оценка устойчивости вашей команды к социальной инженерии? Свяжитесь с Cyberlord: мы работаем по письменному договору, определяем границы проверки и передаём отчёт с конкретными мерами.

Частые вопросы

Как часто проводить фишинговые учения? Для большинства организаций достаточно ежеквартальных или раз в два месяца. Для финансов, медицины и госсектора разумнее ежемесячные короткие сценарии.

Чем фишинговые учения отличаются от пентеста? Учения проверяют поведение людей в отношении почты и звонков. Пентест оценивает техническую защиту систем и сетей. Полная картина требует обоих подходов.

Можно ли увольнять сотрудника за переход по ссылке в учении? Нет. Наказание снижает готовность сообщать о реальных инцидентах. Ошибка в учении — повод для обучения, а не для дисциплинарных мер.

Социальная инженерия в 2025: почему люди остаются главной целью