У багатьох компаній є своя традиція: раз на рік усіх збирають на тренінг із кібербезпеки, а потім видихають, що команда тепер захищена. Через кілька місяців хтось однаково відкриває вкладення «від податкової». Справа не в неуважності. Просто навчання без системи працює недовго, і вибудувати таку систему допомагає сертифікація ISO 27001, детальніше про яку тут: https://alternatyva.org.ua/sertyfikat-iso-27001/.
На тренінгу легко, у житті складніше
У навчальному тесті всі знають, що десь є пастка, тому шукають її уважно. А в робочій пошті за день набирається сотня листів: рахунки, акти, нагадування про оплату. Серед них підробка нічим не вирізняється, особливо якщо прийшла від «постачальника», з яким компанія справді працює. Людина відкриває її між двома дзвінками, майже не читаючи, і помічає щось дивне вже тоді, коли вкладення завантажилось.
Шахраї теж вчаться
Ще кілька років тому підробку легко було впізнати за помилками й кривим перекладом. Тепер тексти шахраям пише штучний інтелект, і пише добре. До того ж вони заздалегідь вивчають компанію: сайт, соцмережі, імена керівників і постачальників. Тож лист виглядає як справжній, з тим самим логотипом і підписом. Відрізняється хіба що одна літера в адресі, яку з телефона майже не видно.
Коли просить «начальник»
Дуже добре спрацьовують листи від імені керівника. Людина бачить знайоме ім'я і термінове прохання щось оплатити. Перепитувати незручно: раптом директор розсердиться, що його відволікають. Тож гроші йдуть на рахунок шахраїв, а помилку помічають, коли вже пізно. Буває й так, що лист підкріплюють повідомленням у месенджері з фото директора на аватарці. Друге «підтвердження» остаточно знімає сумніви, хоча обидва повідомлення написали шахраї.
Чому працівники приховують підозрілі кліки
Мало хто хоче зізнаватися, що повівся на шахраїв. Соромно перед колегами, страшно перед керівником, та й здається, що нічого поганого не сталося. Але шкідлива програма не завжди проявляє себе одразу. Вона може тихо збирати паролі тижнями, поки в компанії думають, що все гаразд.
Що допомагає насправді
Захист від фішингу не може триматися лише на пам'яті окремих людей. Набагато краще працюють прості правила, які діють щодня:
-
регулярні тестові розсилки замість однієї лекції на рік;
-
кнопка чи чат, щоб одразу повідомити про підозрілий лист;
-
обов'язкова перевірка телефоном будь-яких «термінових» платежів;
-
атмосфера, де за чесне зізнання дякують, а не карають.
Саме так це влаштовано в компаніях, які працюють за стандартом ISO 27001. Там навчання не закінчується одним тренінгом, а повторюється постійно. І кожен працівник знає, кому і як швидко повідомити, якщо щось пішло не так. Людську помилку неможливо викреслити повністю, але можна зробити так, щоб вона не коштувала компанії всього.
