Чем фишинг отличается от социальной инженерии?
Социальная инженерия — это любая попытка с помощью манипуляций заставить человека передать информацию, деньги или предоставить доступ. Самая распространённая её форма — фишинг через электронную почту или поддельный сайт. CISA также выделяет голосовую разновидность — вишинг — и разновидность через текстовые сообщения — смишинг.
Представьте вымышленное архитектурное бюро «Кэллоуэй Партнерс» с 30 сотрудниками. В один из вторников помощница финансиста Лия получает три сообщения. Письмо от «управляющего директора», отправленное в 7.58am: «Лия, весь день на совещаниях, нужно сегодня оплатить счёт поставщика во вложении, реквизиты новые, пусть это останется между нами». Текстовое сообщение: «Ваша посылка задержана, оплатите £1.45 за повторную доставку здесь». И звонок от человека, который представляется сотрудником ИТ-подрядчика фирмы и просит продиктовать только что отправленный шестизначный код, «чтобы починить вашу почту». Ситуации выглядят по-разному. Но уловка одна и та же.
Какие приёмы давления используют фишинговые сообщения?
В фишинговых сообщениях используют пять распространённых тактик давления, которые NCSC определяет как авторитет, срочность, эмоции, дефицит и текущие события. Распознать тактику надёжнее, чем заметить опечатку.
Полномочия
Сообщение якобы приходит от руководителя, банка, государственного органа или поставщика, поэтому вам кажется, что вы должны выполнить просьбу.
Срочность
Жёсткий срок или угроза штрафа, чтобы вы действовали без проверки.
Эмоция
Страх, паника, любопытство или надежда — чтобы вы реагировали, а не думали.
Дефицит
Что-то ограниченное по времени или количеству, например срок возврата денег или число билетов.
Текущие события
Привязка к новостям, срокам уплаты налогов или широко известному сбою, чтобы сообщение казалось ожидаемым.
Как ИИ изменил фишинг?
Благодаря ИИ фишинговые сообщения стали более грамотными, поэтому правильная орфография и грамматика больше не доказывают подлинность сообщения. В рекомендациях CISA теперь прямо говорится об этом. Злоумышленники также могут писать в манере вашего коллеги, адаптировать сообщение под вашу работу или имитировать знакомый голос во время звонка. Поэтому прежний список признаков — орфографические ошибки и странные приветствия — стал менее полезен, а проверка самого запроса стала важнее. Просьбу перевести деньги, изменить банковские реквизиты, сообщить код или обойти стандартную процедуру нужно проверять, как бы убедительно она ни звучала.
Как проверить подозрительное сообщение шаг за шагом?
Чтобы проверить подозрительное сообщение, вы выходите за его пределы: никогда не используете указанные в нём ссылки, номера телефонов или адрес для ответа, а связываетесь с человеком или организацией по контактам, которым уже доверяете.
1. Остановитесь и назовите приём
Определите, какое давление на вас оказывают. Секретность, срочность и деньги — классическое сочетание при платёжном мошенничестве.
2. Проверяйте сам запрос, а не только отправителя
Отображаемые имена и номера звонящих можно подделать. Изменение банковских реквизитов или просьба сообщить код — тревожный сигнал, от кого бы ни исходило сообщение.
3. Проверьте через независимый канал
Позвоните человеку по номеру из ваших собственных записей или самостоятельно введите адрес сайта организации. Эту рекомендацию дают и CISA, и NCSC.
4. Никогда не сообщайте коды или пароли
Настоящие сотрудники ИТ-служб и банков не просят вас назвать одноразовый код или пароль.
5. Сообщите об этом
Нажмите кнопку отправки жалобы в вашей почте и сообщите ответственному за ИТ. В Великобритании подозрительные письма можно переслать на [email protected]; в США CISA принимает сообщения через свой сервис Report a Cyber Issue.
Как выглядят неудачный и удачный ответы?
Слабая реакция — довериться внешним признакам. Лия видит имя управляющего директора, отвечает на письмо с вопросом, действительно ли платёж срочный, быстро получает 'да, пожалуйста, оплатите сейчас' с того же поддельного адреса и переводит деньги. Она игнорирует сообщение, но, желая помочь, зачитывает код звонящему, который использует его для входа в её почтовый ящик.
Правильная реакция — проверить запрос. Лия замечает сочетание авторитета, срочности и секретности и звонит управляющему директору на мобильный по номеру из списка сотрудников: он ничего не отправлял. Она удаляет сообщение о посылке, не переходя по ссылке. Она говорит звонящему, что сама перезвонит поставщику ИТ-услуг, кладёт трубку и набирает номер из договора фирмы: оттуда ей не звонили. Она сообщает обо всех трёх случаях в ИТ-службу и пересылает письмо на адрес для сообщений об инцидентах. Деньги не переведены, код никому не сообщён.
Что делать, если вы уже перешли по ссылке или ответили?
Если вы уже перешли по ссылке, ответили или передали какие-либо сведения, сразу сообщите об этом ответственному за ИТ: быстрое реагирование снижает ущерб, и никого не следует винить за сообщение об инциденте. С другого устройства смените пароль каждой учётной записи, данные которой вы вводили, и включите многофакторную аутентификацию. Если речь шла о деньгах или банковских реквизитах, немедленно позвоните в банк по номеру с его сайта или вашей карты.
Какие ошибки часто допускают при столкновении с фишингом?
Самая распространённая ошибка — отвечать на подозрительное сообщение, чтобы проверить его подлинность: так вы лишь просите злоумышленника подтвердить собственные слова. Другие ошибки: доверять отображаемому имени или определителю номера, ориентироваться на орфографические ошибки, переходить по ссылкам для отписки, зачитывать одноразовые коды и молчать после ошибки из-за стыда.
К какому разделу Tosheo.ai относится этот урок?
Этот урок относится к категории «Кибербезопасность» и курсу по кибербезопасности. В практическом задании Tosheo.ai вы получаете набор вымышленных сообщений. Нужно назвать тактику в каждом из них, описать шаг проверки и подготовить сообщение об инциденте. Критерии оценки показывают, какой тревожный признак вы пропустили. Это обучение основам осведомлённости для сотрудников и руководителей, а не технический курс по безопасности электронной почты.
Источники и границы рассмотрения
NCSC: как распознать мошенническое письмо, сообщение или звонок (проверено 19 октября 2026) ↗
NCSC: сообщить о мошенническом письме (проверено 19 октября 2026) ↗
CISA, как распознать фишинг и сообщить о нём (проверено 19 октября 2026) ↗