Как киберпреступники проникают в бизнес через сотрудников и партнёров

Главная опасность сегодня — не в сложных вирусах, а в людях и процессах, которым мы доверяем. На реальных кейсах разбираем, как иллюзия контроля и формальные меры ИБ создают критические угрозы, а также делимся решениями для построения эффективной защиты.

Представьте ситуацию: крупная компания запускает новый цифровой сервис. Разработку ведет дочерняя ИТ-организация, которая нанимает подрядчика. Тот, в свою очередь, передает часть задач фрилансеру. Этот внешний разработчик, работая на личном ноутбуке, скачивает с сомнительного сайта «взломанную» версию программы. Он даже не подозревает, что вместе с ней установил стилер — похититель данных. На этом цепочка взломана: злоумышленники получают логин и пароль от тестовой среды, критическая инфраструктура компании скомпрометирована.

Этот случай – не гипотетический сценарий, а реальный кейс. Он наглядно демонстрирует главный парадокс современной кибербезопасности: пока бизнес сфокусирован на внутренней защите, угроза приходит извне, через наименее защищенные звенья – цепочки подрядчиков и партнеров.

Злоумышленники давно осознали, что прямой целевой взлом – это сложно, дорого и рискованно. Гораздо проще найти «слабое звено» в экосистеме жертвы. Киберпреступники действуют массово, используя хорошо известные, но эволюционирующие методики: фишинг, вредоносные программы и компрометацию партнёров.

Опасность в том, что скомпрометированные данные мгновенно становятся товаром. Уже через неделю после инцидента информация, похищенная у того же фрилансера, может оказаться выложенной для продажи на теневых форумах в даркнете. Это создает лавинообразный эффект: одна уязвимость у подрядчика порождает десятки угроз для головной компании, включая шантаж, репутационные потери и прямые финансовые убытки.

Если техническая защита укрепляется, основным вектором атаки становится человек. Социальная инженерия эволюционировала от примитивного фишинга до многоходовых комбинаций.

Речь идет не о простых письмах с просьбой перевести деньги, а о тщательно проработанных легендах. Например, злоумышленник может представиться сотрудником службы поддержки и под видом «помощи» убедить жертву выдать доступ или подтвердить операцию.

Яркая иллюстрация: инцидент в одной госкомпании. Взломав почту инженера, злоумышленники детально изучили его переписку и выяснили, что сотрудник часто обращается к локальному администратору для получения расширенных прав. Преступники имитировали стиль общения инженера и от его имени отправили неформальный запрос на открытие доступа – якобы для проведения тестов.

Администратор, нарушив регламент, требующий официального подтверждения, пошел навстречу «коллеге». В результате было установлено майнинговое программное обеспечение (ПО), запрограммированное на запуск спустя два месяца – чтобы скрыть следы. Сразу после этого преступники от имени инженера попросили доступ закрыть и удалили переписку. Инцидент был выявлен лишь два месяца спустя, когда нагрузка на серверы беспричинно возросла с 20% до критических 80%.

Особую опасность представляют атаки, направленные на сбор вспомогательной информации – данных о банковских счетах, привычках, круге общения и других деталях, которые кажутся безобидными, но позволяют злоумышленникам выстраивать более эффективное дальнейшее воздействие. Например, установление факта наличия счета жертвы в определенном банке через последовательный обзвон финансовых учреждений. Если сотрудник отрицает наличие счета, злоумышленник исключает эту организацию из списка и продолжает поиск, пока не получит подтверждение.

Ключевая особенность подобных атак – многоуровневый и адаптивный сценарий. Преступники заранее прорабатывают варианты развития событий, подстраивая каждый следующий шаг под реакцию человека. Даже нейтральные на первый взгляд действия постепенно вовлекают жертву в спланированную схему, ведущую к компрометации.

Риски для компаний определяются не отраслью, а мотивацией злоумышленников и потенциалом выгоды.

Государственные учреждения и объекты критической инфраструктуры традиционно подвергаются атакам, обусловленным политическими интересами, в то время как финансовые организации привлекают преступников, ориентированных на монетизацию. Особенно сегодня подвержены рискам компании в активной фазе цифровой трансформации. При переходе на онлайн-модель работы резко увеличивается количество сетевых активов, что расширяет поверхность атаки.

Также особую привлекательность для злоумышленников представляют организации с большим количеством пользователей и высокими финансовыми потоками, например, те же маркетплейсы. При этом часто атакуются не они сами, а их пользователи через поддельные объявления и мошеннические схемы.

Однако внешние угрозы были бы не так эффективны, если бы бизнес сам не создавал для них почву. Зачастую корень проблемы лежит не в коварстве хакеров, а в ошибках самих компаний.

🗸 Одна из ключевых проблем – формальный подход к безопасности, когда средства защиты внедряются «для галочки». Классический пример — политика паролей, где редкая смена компенсируется большой длиной. Это фундаментальная ошибка: увеличение, условно, с 8 до 10 символов не защищает от перехвата информации вредоносной программой, а редкая смена увеличивает время, в течение которого злоумышленник может использовать украденные данные.

🗸 Противоречие между бизнес-процессами и безопасностью — ещё один фундаментальный риск. Приоритеты удобства и операционной эффективности часто преобладают над мерами защиты. Руководство может осознавать существующие угрозы, но сознательно игнорировать отдельные уязвимости.

🗸 Распространенной иллюзией сегодня является и мнение, что проблему безопасности можно решить просто наймом директора по информационной безопасности (Chief Information Security Officer, CISO). Однако даже дорогой специалист — не панацея. Будучи частью топ-менеджмента, CISO часто вынужден принимать решения, продиктованные бизнес-потребностями, а не исключительно требованиями защиты.

🗸 Многие компании также игнорируют историю инцидентов, а это бесценный источник информации для прогнозирования будущих угроз и подготовки соответствующих механизмов защиты. Нередко организации даже не подозревают об уже произошедших компрометациях. В нашей практике были случаи, когда демонстрация событий двухлетней давности запускала полноценные служебные расследования.

🗸 Крайне недооценивается и человеческий фактор – низкая цифровая грамотность или нелояльность сотрудников. Организации ошибочно полагаются на преданность коллектива, не учитывая финансовые мотивы или банальную невнимательность. И в целом техническая защита неэффективна без соответствующего уровня культуры: слабые пароли, переход по фишинговым ссылкам, хранение файлов в личных облаках – все это создает риски.

🗸 Особую уязвимость представляют личные устройства коллектива, где, например, дети могут непреднамеренно установить вредоносную программу. Яркий пример – инцидент с попыткой компрометации организации через установку читов для компьютерной игры на личное устройство. Сотрудник работал на персональном ноутбуке, а вечером его ребенок скачал с неофициального источника вредоносные файлы, что привело к заражению системы. В результате злоумышленники получили доступ к корпоративной сети, создав реальную угрозу.

🗸 Аналогичные случаи с вредоносами регулярно фиксируются в крупных организациях – программы-стилеры похищают критически важную информацию: учётные данные, конфиденциальные документы из рабочих папок и др., что может привести к масштабным утечкам и операционным потерям.

Борьба с киберугрозами — это не просто техническая задача, а постоянная стратегическая игра на опережение. Подход к безопасности должен быть перманентным – непрерывным циклом обучения, аудита и адаптации. При этом необходимо смотреть не только внутрь компании, но и за ее пределы, оценивая риски всей экосистемы.

Фундаментом является многоуровневая система безопасности, включающая многофакторную аутентификацию, современные антифишинговые фильтры и регулярный аудит внешних сервисов.

Критически важен мониторинг всей цепочки партнерских взаимодействий, поскольку безопасность компании не сильнее самого слабого звена в этой экосистеме.

Также необходимо регулярно проводить ретроспективный анализ инцидентов. Лучший способ понять реальные уязвимости и подготовиться к будущим угрозам – провести детальный разбор событий за последние 2-3 года.

Но ключевой элемент – это инвестиции в культуру безопасности внутри компании. Обучение должно быть системным и интерактивным, а не карательным. Речь идет не о формальных симуляциях фишинга «для галочки», а о регулярной разъяснительной работе, где сотрудники на реальных кейсах учатся распознавать угрозы. Особое внимание следует уделять молодым специалистам из поколения Z: хотя они и «дети цифры», они часто действуют на автомате и могут пропустить изощренную атаку.

Ситуация в кибербезопасности достигла переломного момента. Угрозы извне, будь то атаки на цепочки поставок или многоэтапная социальная инженерия, нельзя игнорировать, пытаясь отгородиться только внутренними системами защиты. Бизнес сталкивается с необходимостью сдвига парадигмы – от реактивного «тушения пожаров» к проактивному мониторингу и нейтрализации угроз во внешней цифровой среде, включая даркнет.

При этом осознание того, что человеческий фактор и системные противоречия внутри компании являются ключевыми уязвимостями, – это первый и самый важный шаг к построению устойчивой системы защиты. Следующий этап – поиск инструментов и партнеров, которые помогут увидеть и устранить эти угрозы до того, как они реализуются.