Появилась новая схема корпоративного фишинга: мошенники рассылают письма сотрудникам банка или любой другой организации с предложением пройти оценку знаний и навыков, рассказали «Известиям» в «Лаборатории Касперского».
На якобы HR-портале сотрудника просят авторизоваться, введя логин и пароль от рабочей почты, после чего эти данные отправляются мошеннику, рассказала старший контент-аналитик «Лаборатории Касперского» Татьяна Щербакова. Так, первое, к чему могут получить доступ мошенники, — это корпоративная переписка.
А если логины и пароли от баз данных с персональной информацией о клиентах или сами базы пересылаются в открытом виде, то злоумышленники и их получат в распоряжение, отметила Щербакова.
В банках постоянно проводится обучение и аттестация сотрудников по профильным направлениям работы, рассказали изданию в крупнейших российских кредитных организациях. Банковские служащие привыкли к такого рода рассылкам. Также банки разграничивают доступ к информации так, чтобы один сотрудник не мог обладать всеми данными о клиенте, а также ведут учет работников, ознакомившихся с конфиденциальными сведениями.
По мнению экспертов, слабое звено при фишинговых атаках — это сам сотрудник, который получает письма и выполняет инструкции в них. Для повышения осведомленности работников финансовые организации часто проводят тренинги и знакомят сотрудников с реальными фишинг-кейсами. Эксперты отмечают, что в финансовой сфере «аттестационный» фишинг может быть более эффективным, чем в компаниях из других отраслей: общение сотрудников разного ранга, как правило, происходит только посредством рабочей почты, также продуктовая линейка часто меняется, что требует регулярного контроля знаний работников. Количество взломанных корпоративных почтовых аккаунтов уже может составить несколько тысяч, сообщил главный аналитик Центра аналитики и финансовых технологий (ЦАФТ) Антон Быков.
Иллюстрация к статье: