Проведение тестирования В рамках тестирования безопасности крупного банка наши специалисты провели симуляцию фишинговой атаки. Мы создали письмо, якобы от корпоративной службы поддержки, с текстом: «Обновление Битрикс24. Для просмотра изменений необходимо перейти по ссылке». Чтобы письмо выглядело убедительно, мы использовали поддельный адрес, максимально похожий на настоящий корпоративный (например, если почта компании — support@company.ru, мы отправили письмо с адреса support@companv.ru, заменив одну букву). Ключевые элементы фишинга включали: Использование домена, визуально схожего с официальным, чтобы не вызывать подозрений Давление на сотрудников: в письме был сделан акцент на срочность, чтобы люди действовали быстрее и не задумывались о возможной угрозе Убедительный дизайн письма, соответствующий корпоративному стилю Мы отправили сообщение десяти сотрудникам. В ответ получили уведомления, что некоторые из них уже не работают в компании, но двое сотрудников перешли по ссылке. Один из них ввел свои учетные данные — логин и пароль от корпоративной учетной записи. Это оказалось достаточным, чтобы симулировать взлом и получить доступ к данным компании. Еще одна сотрудница, столкнувшись с технической проблемой при переходе по ссылке, ответила нам письмом, в котором попыталась уточнить, как действовать дальше, что также могло бы использоваться злоумышленниками для дальнейшей атаки. Итоги и рекомендации По итогам тестирования мы рекомендовали банку: Регулярно проводить обучение сотрудников по вопросам информационной безопасности, чтобы они могли распознавать фишинговые письма. Настроить технические меры защиты, такие как технологии SPF, DKIM и DMARC, которые позволяют проверять подлинность писем и снижать вероятность успешной фишинговой атаки Обязать сотрудников использовать двухфакторную аутентификацию для всех корпоративных систем. Это защитит учетные записи даже в случае компрометации логина и пароля. Мы рекомендуем всем компаниям следовать этим рекомендациям, так как их выполнение значительно повышает уровень защиты от фишинговых атак и снижает вероятность компрометации корпоративных данных. Этот тест продемонстрировал, что, несмотря на технические средства защиты, человеческий фактор остается одной из ключевых уязвимостей, требующих постоянного внимания и работы. Фишинг сработал. А у вас сработает? Проверьте, кто в компании подвержен риску — до того, как станет поздно.Запросить демо Финтех и банковский сектор Поделиться
