Бизнес-фишинг

(Business Email Compromise, BEC) — это один из наиболее опасных видов кибератак, направленных на сотрудников компаний, руководителей, бухгалтеров и финансовые подразделения. Цель атакующих — получить доступ к корпоративной переписке, паролям, конфиденциальной информации и, как правило, похитить деньги.

В отличие от классического фишинга, который носит массовый характер, бизнес-фишинг — прицельная атака. Злоумышленники тщательно изучают компанию, структуру её сотрудников, особенности работы и выбирают конкретные цели.

По данным аналитиков в области кибербезопасности, в 2024 году ущерб от атак бизнес-фишинга превысил 5,3 млрд долларов, а число случаев продолжает расти.

1. Что такое бизнес-фишинг

Бизнес-фишинг — это метод социальной инженерии, при котором киберпреступники маскируются под сотрудников компании, руководителей или партнёров, чтобы:

• получить доступ к корпоративным системам;

• похитить конфиденциальные документы;

• заставить сотрудников перевести деньги на счета злоумышленников;

• внедрить вредоносное ПО в сеть организации.

Главная особенность — персонализированный подход. Перед атакой злоумышленники проводят тщательную подготовку: собирают сведения о компании, структуре управления, клиентах и партнёрах.

2. Как работает бизнес-фишинг

Механизм атаки обычно включает несколько этапов:

2.1. Разведка

• Сбор информации о компании через открытые источники: сайты, социальные сети, пресс-релизы.

• Поиск адресов сотрудников и руководителей.

• Изучение стиля корпоративной переписки для имитации подлинных сообщений.

2.2. Подготовка инфраструктуры

• Создание поддельных доменов, похожих на настоящий (@compаny.com вместо @company.com).

• Настройка почтовых серверов для рассылки писем от имени «сотрудников» компании.

2.3. Отправка фальшивого письма

Жертва получает письмо якобы от генерального директора, главного бухгалтера или партнёра компании. В письме может содержаться:

• просьба перевести деньги;

• ссылка на «важный» документ;

• просьба подтвердить пароли или данные доступа.

2.4. Доступ и хищение

• После перехода по ссылке жертва попадает на фальшивую страницу авторизации.

• Данные отправляются злоумышленникам.

• В некоторых случаях внедряется вирус или шпионское ПО.

3. Виды бизнес-фишинга

3.1. CEO Fraud — «мошенничество от имени директора»

Атакующий выдает себя за генерального директора или собственника компании и отправляет письмо бухгалтерии с просьбой срочно перевести деньги на указанный счет.

3.2. Vendor Email Compromise

Мошенники маскируются под партнёров или поставщиков компании, просят «оплатить счет», который на самом деле принадлежит злоумышленникам.

3.3. Compromised Account Attack

Злоумышленники взламывают почту сотрудника и используют его адрес для рассылки писем коллегам или клиентам. Такой способ опаснее, потому что выглядит максимально достоверно.

3.4. Targeted Spear-Phishing

Это прицельные атаки на конкретных сотрудников, чаще всего финансовых директоров и главных бухгалтеров. Письма выглядят персонализированно и содержат реальные детали о компании.

4. Сравнение бизнес-фишинга и обычного фишинга

5. Тактики, используемые злоумышленниками

5.1. Подделка доменов

Использование схожих доменных имен:

• Оригинал: @company.com

• Подделка: @compаny.com (буква «а» заменена на кириллическую).

5.2. Спуфинг электронной почты

Злоумышленники подделывают адрес отправителя так, что письмо выглядит официальным.

5.3. Социальная инженерия

В письмах создается ощущение срочности:

«Срочно проведите платеж, иначе сорвется сделка!»

5.4. Внедрение вредоносного ПО

Некоторые письма содержат вложения с вирусами, которые дают доступ к корпоративной сети.

6. Крупные инциденты бизнес-фишинга

7. Законодательство и ответственность

В России борьба с бизнес-фишингом регулируется следующими нормами:

• Статья 272 УК РФ — неправомерный доступ к компьютерной информации.

• Статья 273 УК РФ — создание, распространение и использование вредоносных программ.

• Статья 159 УК РФ — мошенничество.

• Федеральный закон № 152-ФЗ «О персональных данных».

• Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и защите информации».

За подобные атаки предусмотрены штрафы до 1 млн рублей и лишение свободы до 10 лет.

8. Как защититься от бизнес-фишинга

8.1. Для компаний

• Внедрить двухфакторную аутентификацию для всех сотрудников.

• Настроить фильтрацию писем и защиту почтовых серверов.

• Использовать системы анализа трафика и обнаружения аномалий.

• Проводить регулярные тренинги по киберграмотности.

• Создать протокол проверки всех финансовых операций.

8.2. Для сотрудников

• Всегда проверять адрес отправителя и домен письма.

• Никогда не переходить по подозрительным ссылкам.

• Не скачивать вложения из писем без проверки.

• Подтверждать финансовые операции только через официальный канал связи.

9. Что делать, если произошла атака

1. Немедленно заблокировать учетные записи сотрудников.

2. Уведомить IT-отдел и руководство.

3. Сообщить в банк о возможных мошеннических переводах.

4. Провести внутренний аудит безопасности.

5. Подать заявление в правоохранительные органы.

Заключение

Бизнес-фишинг — одна из самых серьёзных угроз современным компаниям. Его опасность заключается в персонализированном подходе, высоком уровне подготовки атакующих и сложности выявления поддельных писем.

Чтобы минимизировать риски:

• компаниям нужно внедрять комплексную защиту корпоративной почты,

• сотрудники должны проходить регулярное обучение по кибербезопасности,

• финансовые операции следует проверять через несколько уровней подтверждения.