Що робити компанії після кібератаки: покроковий план
Дізнайтеся, що робити компанії після кібератаки: покроковий алгоритм ізоляції інциденту за NIST, вимоги законів України та правила кризової комунікації.
Людський фактор - досі найбільша діра в безпеці будь-якої корпоративної мережі. Це не просто слова. За даними звіту Verizon DBIR, саме люди залишаються мішенню номер один. Масштаби вражають: Антифішингова робоча група (APWG) зафіксувала 3,8 мільйона масштабних фішингових інцидентів за 2025 рік. Український бізнес теж під постійним прицілом. Лише за перше півріччя 2026 року фахівці CERT-UA опрацювали 3309 критичних інцидентів, що майже на 10% більше, ніж торік.
Забудьте старі інструкції. Вчити команду "шукати граматичні помилки" чи "дивні шрифти" більше немає сенсу. Зловмисники змінилися, і наш підхід до навчання теж має змінитися.
Чому старі методи виявлення фішингу перестали працювати?
Хакери вже давно не розсилають масовий спам із поганим перекладом. Вони перейшли до цілеспрямованих багатокрокових операцій. Головний інструмент сьогодні - штучний інтелект.
Як ШІ змінив правила гри?
Штучний інтелект остаточно стер мовні бар'єри. Тепер фішингові кампанії генеруються миттєво, бездоганною діловою мовою і під конкретну жертву. Алгоритми самі збирають дані з відкритих джерел (OSINT) і формують ідеальний контекст для атаки. У 2025 році кількість атак із застосуванням штучного інтелекту зросла на 204%. Розпізнати такий обман суто візуально - практично неможливо.
Новітні вектори атак: до чого готуватися?
Кіберзлочинці не кладуть усі яйця в один кошик. Вони б'ють з різних боків, і персонал має розуміти специфіку кожної загрози:
- Clone Phishing (Точні копії): Візуальні клони легітимних сторінок авторизації (Microsoft 365, Google Workspace). Жертва вводить пароль нібито для оновлення системи, а він летить прямо на сервер хакера.
- Supply Chain Phishing (Через партнерів): Зламали пошту вашого підрядника? Чекайте на лист із зараженим інвойсом від імені людини, якій ви повністю довіряєте. Технічні фільтри такі листи зазвичай пропускають.
- Мобільний фішинг (Smishing/Vishing): Смартфони розслабляють. Саме тому атаки через SMS та месенджери мають на 40% вищий відсоток успіху. Корпоративні антивіруси туди просто не дістають.
- Цільовий Spear Phishing: Атаки, що прикриваються авторитетом держави. Яскравий приклад - кампанія UAC-0255 від імені CERT-UA, коли під виглядом "захищеного архіву" розповсюджувався вірус AGEWHEEZE.
Що таке "умови зупинки" і як вони рятують мережу?
Оскільки візуальних дефектів у листах більше немає, фокус зміщується на патерни поведінки. "Умова зупинки" (Stop Condition) - це червоний прапорець у комунікації. Побачили його - зупиняєтесь, нічого не натискаєте і перевіряєте інформацію іншим шляхом.
Фінанси та доступи: абсолютне табу
Будь-який лист, що стосується грошей або паролів поза стандартними процедурами, вимагає жорсткої зупинки.
- Аномальні рахунки: Контрагент раптом просить перевести гроші на нові реквізити? Берете телефон і дзвоните йому за номером з вашої ERP-системи, а не з підпису в листі.
- Запити на автентифікацію: Побачили в листі кнопку "Увійдіть для перегляду" або отримали несподіваний пуш-запит MFA? Ігноруйте. Відкривайте потрібний сервіс самостійно через закладки браузера.
Емоційні гойдалки та зміна каналів
Хакерам потрібно, щоб ви вимкнули критичне мислення. Найкраще для цього підходять страх або повага до авторитету.
- Штучна терміновість: "Ваш акаунт заблокують за 2 годин" або секретне доручення від "генерального директора" в обхід бухгалтерії.
- Міграція в месенджери: Колега пише на пошту з проханням терміново перейти у WhatsApp або завантажити файл через невідоме посилання у Slack. Завжди верифікуйте такі прохання через звичний канал зв'язку.
Технічна верифікація для нетехнічних спеціалістів
Щоб перевірити лист, не обов'язково бути айтівцем. Достатньо розуміти базові механізми перевірки посилань та знати кілька корисних сервісів.
Hovering та відкриті інструменти (OSINT)
Золоте правило: ніколи не клікайте наосліп. Спочатку перевірте.
- Hovering (наведення курсора): Просто наведіть мишку на кнопку чи посилання (не натискаючи). У лівому нижньому куті браузера з'явиться справжня URL-адреса. Бачите HTTP замість HTTPS або зайву літеру в назві компанії? Це фішинг.
- VirusTotal: Універсальний сканер. Закиньте туди підозрілий файл або посилання, і сервіс перевірить його понад 70 антивірусними рушіями.
- urlscan.io: Боїтеся переходити за посиланням? Цей сервіс зробить це за вас і покаже безпечний скріншот сайту.
Як читати службові заголовки (Email Headers)
Службові заголовки - це "паспорт" вашого листа. Їх аналіз дозволяє порівняти те, що ви бачите в полі "Від кого", з реальною адресою сервера відправки (Return-Path).
У Gmail достатньо відкрити лист, натиснути три крапки (Більше опцій) і обрати "Показати оригінал". У Microsoft Outlook треба двічі клікнути на лист, зайти у "Файл", потім "Властивості" і подивитися блок "Заголовки інтернету". Знайшли розбіжність? Лист підроблено.
Незвидимий щит: SPF, DKIM та DMARC
Поки люди аналізують текст, поштові сервери роблять свою роботу. DNS-протоколи автентифікації - це базовий гігієнічний мінімум для будь-якого бізнесу. Ще з початку 2024 року гіганти на кшталт Google та Yahoo зробили ці налаштування обов'язковими для тих, хто робить масові розсилки. Якщо ви їх не налаштували - ваші листи летітимуть у спам, а хакери легко підроблятимуть ваш домен.
| Технологія | Як це працює простими словами |
|---|---|
| SPF (Sender Policy Framework) | Список IP-адрес, яким офіційно дозволено надсилати пошту від імені вашого домену. Всі інші - блокуються. |
| DKIM (DomainKeys Identified Mail) | Цифрова криптографічна печатка. Гарантує, що по дорозі від відправника до отримувача текст листа ніхто не підмінив. |
| DMARC (Domain-based Message Authentication) | Головне правило. Каже серверу отримувача, що робити з листами, які провалили перевірку SPF або DKIM (наприклад, жорстко відхиляти весь шахрайський трафік). |
Культура безпеки: чому технологій недостатньо?
Навіть найдорожчі технічні фільтри не врятують, якщо в компанії токсична культура. Тренінги "для галочки" раз на рік працюють лише на папері.
Парадигма "No-Blame": чому не можна штрафувати за кліки?
Якщо людину штрафують або публічно сварять за клік по фішинговому посиланню, вона просто приховає свою помилку. А вірус тим часом спокійно розповзеться мережею. Культура "No-Blame" гарантує імунітет. Співробітник розуміє: натиснув не туди - одразу повідом айтішникам, тобі нічого за це не буде. Головна метрика успіху тут - не нуль кліків (це утопія), а стабільне зростання "Коефіцієнта звітування" (Rate of Report).
Інтеграція симуляцій та мікронавчання
Теорію треба підкріплювати практикою через контрольовані навчальні атаки.
- Навчання в моменті (Just-in-Time): Працівник попався на навчальний фішинг? Він одразу, тієї ж секунди, отримує коротке відео з поясненням, де саме він схибив.
- Адаптація під ролі: Бухгалтерія має тренуватися на складних фальшивих інвойсах, HR - на "резюме" з вірусами, а топ-менеджмент - готуватися до Deepfake-атак.
Безкоштовний старт: Google Phishing Quiz
Для базової перевірки навичок, особливо для новачків, чудово підходить Google Phishing Quiz. Це інтерактивний тренажер від підрозділу Jigsaw. Він безпечно імітує інтерфейс пошти і змушує на практиці використовувати техніку наведення курсора (Hovering). Це ідеальна точка відліку перед запуском дорогих корпоративних симуляцій.
FAQ: Коротко про головне
Що робити, якщо я вже випадково клікнув по посиланню?
Швидкість - ваше все. Негайно відключіть пристрій від Wi-Fi або витягніть мережевий кабель. Нічого не вводьте на сторінці, яка відкрилася. Знайдіть інший телефон чи комп'ютер і терміново повідомте ІТ-відділ.
Лист пройшов перевірку SPF/DKIM. Він точно безпечний?
Ні. Це хороший знак, але не гарантія. Хакери могли зламати реальну пошту вашого підрядника (Supply Chain Phishing). З погляду серверів лист буде ідеальним. Тому аналіз "умов зупинки" ніхто не скасовував.
Як часто треба проводити навчальні фішингові атаки?
Систематично. Короткі, раптові мікро-симуляції - хоча б раз на місяць. За статистикою, після нормального навчання відсоток кліків на симуляції має впасти нижче 10%.
