101 роза, флешка и взлом: как киберпреступники используют человеческие слабости

Можно установить самые современные системы защиты, ограничить доступ к корпоративным данным и потратить значительные средства на информационную безопасность. Но что произойдёт, если сотрудник сам подключит к рабочему компьютеру неизвестное устройство? Или бухгалтер переведёт миллионы после видеоконференции с руководителями, которых в действительности не существует? Киберпреступность всё чаще использует не столько технические уязвимости, сколько особенности человеческого поведения. И развитие искусственного интеллекта делает эту проблему ещё сложнее. Более подробно – в материале Exclusive.kz.

История началась с букета из 101 розы. Молодая сотрудница государственного учреждения получила звонок от курьера, который сообщил, что ей доставили цветы от неизвестного поклонника. Девушка спустилась за подарком, забрала букет и вернулась на рабочее место. Среди цветов обнаружилась записка с интригующим обещанием и небольшое устройство, напоминающее обычную флешку. Любопытство оказалось сильнее осторожности. Сотрудница подключила находку к рабочему компьютеру.

По словам Гүлданы Жұматай, руководителя проекта Citizensec.kz компании MSSP.GLOBAL, уже через десять минут специалисты по кибербезопасности получили доступ к внутренней системе государственного органа. Однако это была не преступная атака, а санкционированная проверка защищённости учреждения. Этот случай эксперт привела на встрече «Кибергигиена: защита в цифровом мире», состоявшейся в Almaty Hub.

Первоначально проверяющие пытались обнаружить технические уязвимости системы, но безрезультатно. Тогда они переключились на сотрудников. Изучив информацию в социальных сетях, выбрали потенциальную участницу эксперимента и придумали способ заинтересовать её необычным подарком. В результате путь к информационной системе был найден не через программную ошибку, а через человеческое поведение.

Этот эпизод показывает: даже если техническая защита работает, организация остаётся уязвимой из-за того, как сотрудники обращаются с информацией, реагируют на неожиданные ситуации и оценивают риски.

Хакеру больше не нужен пароль

Привычный образ киберпреступника – хакер, который преодолевает сложные системы защиты, подбирает пароли и использует программные уязвимости. Однако многие современные схемы строятся иначе: злоумышленник добивается того, чтобы человек самостоятельно совершил необходимое ему действие.

Такой подход называется социальной инженерией. Его основа – психологическое воздействие. Мошенник может представиться сотрудником банка, руководителем организации, представителем госоргана или знакомым человеком. Он способен вызвать страх, заинтересовать выгодным предложением, создать ощущение срочности или воспользоваться доверием к авторитету. Главное – убедить потенциальную жертву перейти по ссылке, раскрыть конфиденциальную информацию, сообщить код подтверждения или перевести деньги.

Гүлдана Жұматай охарактеризовала социальную инженерию как взлом человека с помощью психологических уловок. Если программную уязвимость можно обнаружить и устранить обновлением, то человеческое поведение гораздо сложнее подчинить универсальному алгоритму.

Люди доверяют знакомым голосам, реагируют на распоряжения руководителей и не всегда сохраняют критическую дистанцию в эмоционально напряжённых обстоятельствах. Киберпреступники создают ситуации, в которых опасное действие кажется вполне естественным.

135 флешек и 88 ошибок: сколько сотрудников впустили угрозу

История с букетом роз оказалась не единственным примером. По словам эксперта, специалисты провели ещё один эксперимент, распространив среди клиентов 135 USB-устройств под различными предлогами. Одни представлялись подарками, другие – знаками благодарности или поздравлениями. Результат оказался показательным: 88 из 135 устройств были подключены к рабочим компьютерам. Это около 65%.

Результаты одного эксперимента нельзя автоматически распространять на всех работников Казахстана. Неизвестны состав участников, условия проверки и репрезентативность выборки. Тем не менее они показывают, насколько легко незнакомое устройство может оказаться внутри корпоративной информационной среды, если сотрудники не воспринимают его как потенциальную угрозу.

Внешне такое устройство может выглядеть совершенно безобидно. Эксперт рассказала об оборудовании, которое имитировало обычную флешку, но при подключении представлялось компьютеру как другое устройство, в частности клавиатура, и могло выполнять заранее предусмотренные действия. Для человека, не знакомого с подобными технологиями, разница практически незаметна. Последствия же могут быть серьёзными, особенно если компьютер подключён к внутренней сети организации.

Возникает вопрос: насколько эффективна корпоративная система безопасности, если её устойчивость зависит от того, заинтересуется ли сотрудник неожиданным подарком? При этом ответственность нельзя возлагать исключительно на работников. Работодателям необходимо оценивать, насколько регулярно персонал проходит обучение, какие технические ограничения действуют в организации и предусмотрены ли механизмы предотвращения последствий ошибочных действий.

Лица знакомые, люди ненастоящие

Ещё недавно видеосвязь казалась относительно надёжным способом убедиться, что человек действительно является тем, за кого себя выдаёт. Можно было увидеть его лицо, услышать голос, оценить мимику и реакцию на вопросы. Развитие искусственного интеллекта меняет эту привычную логику.

Одним из наиболее тревожных примеров, приведённых на встрече, стала история мошенничества в Гонконге, где с использованием дипфейков злоумышленники добились перевода около 25 миллионов долларов.

Согласно изложению лектора, сотрудник финансового подразделения участвовал в видеоконференции, на которой присутствовали люди, выглядевшие как его коллеги и руководители. Они подтвердили необходимость проведения финансовых операций. Позднее выяснилось, что остальные участники видеозвонка были цифровыми подделками. По словам эксперта, деньги были распределены по нескольким счетам в результате более чем 20 транзакций.

Этот случай демонстрирует новую угрозу: злоумышленники могут подделывать не только документы и электронные сообщения, но и само присутствие человека в цифровом пространстве. Рекомендация убедиться в личности собеседника, просто посмотрев на него по видеосвязи, уже не всегда достаточна.

Особенно опасны такие технологии в корпоративной среде, где распоряжения руководства могут запускать финансовые операции или открывать доступ к конфиденциальным сведениям. Если мошенник способен имитировать внешность и голос начальника, организациям приходится пересматривать сами процедуры подтверждения полномочий и согласования операций.

Голос начальника

На встрече прозвучала ещё одна история, связанная с подделкой голоса руководителя. Сотруднику позвонил человек, голос которого был похож на голос его начальника, и потребовал срочно согласовать документы. Требование вызвало сомнения: работа, по словам сотрудника, ещё не была завершена. Однако собеседник настаивал на немедленном выполнении распоряжения.

Тогда сотрудник задал личный вопрос: какую книгу руководитель рекомендовал ему на прошлой неделе? После этого разговор прервался. Позднее выяснилось, что настоящий руководитель подобных распоряжений не давал. Эта история важна не столько способом разоблачения обмана, сколько принципом: при сомнениях необходимо независимо подтвердить личность и полномочия собеседника.

Гүлдана Жұматай рекомендовала заранее договариваться с близкими о кодовых словах, известных только участникам общения. Особенно полезным такой подход может быть для семей с детьми, когда неизвестный пытается выдать себя за знакомого или передать якобы срочное сообщение от родителей.

Однако личные вопросы и кодовые слова не гарантируют полной безопасности: информация может оказаться в открытом доступе. Поэтому при подозрительном звонке важно самостоятельно связаться с человеком по ранее известному номеру, а в организациях – использовать установленные процедуры независимого подтверждения важных распоряжений.

В миллиарды обходится Казахстану цифровое мошенничество

Масштабы онлайн-мошенничества в Казахстане вызывают тревогу. В частности, лектор сообщила о более чем 20 тысячах зарегистрированных уголовных дел, связанных с онлайн-мошенничеством, начиная с 2025 года, а также об ущербе в размере 16,5 млрд тенге за упомянутый в выступлении отчётный период.

При этом зарегистрированные преступления и фактическая распространённость мошенничества могут существенно различаться: далеко не все пострадавшие обращаются в правоохранительные органы.

Цифровое мошенничество затрагивает не только личные сбережения граждан, но и доверие к финансовым операциям, электронным сервисам и дистанционным коммуникациям.

Для Казахстана, где цифровые услуги активно используются в повседневной жизни, вопрос кибергигиены особенно актуален. Человек пользуется банковскими приложениями, государственными электронными услугами, мессенджерами и рабочими системами, не всегда осознавая, сколько чувствительной информации сосредоточено в одном устройстве. Потеря доступа к аккаунту может повлечь последствия, выходящие далеко за пределы одного приложения.

Мелкие привычки создают большие угрозы

Оставленный на рабочем столе пароль или незаблокированный компьютер могут показаться незначительными нарушениями. Однако именно из подобных мелочей складывается уязвимость организации.

Эксперт обратила внимание на привычку сотрудников использовать одинаковые пароли и хранить их в доступных местах. Если учётные данные раскрыты в одном сервисе, злоумышленники могут попытаться использовать их для входа в другие аккаунты. В качестве альтернативы она предложила применять менеджеры паролей, позволяющие безопаснее управлять различными учётными данными.

Другой важный элемент – разделение личной и корпоративной цифровой среды. Использование рабочей почты для посторонних сервисов, хранение личных данных на корпоративных устройствах и неосторожное обращение с документами создают дополнительные риски. Но проблема глубже отдельных привычек. Если организация ограничивается формальным ознакомлением сотрудников с правилами информационной безопасности, можно ли считать, что она сформировала культуру безопасного поведения?

Сотрудник может знать, что нельзя открывать подозрительные вложения, но всё равно сделать это, если письмо выглядит как срочное поручение руководителя. Поэтому обучение должно не просто знакомить персонал с правилами, а формировать практические навыки распознавания угроз.

Мошенникам достаточно одной буквы

На встрече в Almaty Hub эксперты обсуждали повседневные правила цифровой безопасности: использование надёжных уникальных паролей, двухфакторную аутентификацию, своевременное обновление программного обеспечения, осторожность при подключении к общественным сетям Wi-Fi и проверку интернет-адресов.

Особенно показателен пример поддельных сайтов, адреса которых отличаются от настоящих всего одной буквой или символом. Пользователь, привлечённый необычно низкой ценой, может не заметить подмены и самостоятельно передать мошенникам платёжные или учётные данные. Здесь техническая угроза соединяется с психологической: желание сэкономить снижает внимательность.

Гүлдана Жұматай рассказала, что сама едва не совершила покупку через подозрительный сайт, предложивший товар значительно дешевле обычной цены. Остановиться помогли сомнение и последующая проверка адреса ресурса.

Этот пример показывает, что кибергигиена не требует от каждого пользователя глубоких знаний программирования. Гораздо важнее выработать привычку останавливаться перед потенциально опасным действием и проверять обстоятельства, вызывающие сомнения.

Прежде чем открывать неожиданное письмо или сообщение, стоит спросить себя, действительно ли вы ожидали его получить. Такая осторожность не заменяет технические средства защиты, но становится дополнительным барьером на пути мошенничества.

Почему самая дорогая защита бессильна

Цифровую безопасность часто считают сферой ответственности IT-специалистов. Они разрабатывают защитные механизмы, устраняют уязвимости и контролируют доступ к системам. Однако полностью исключить человеческие ошибки невозможно.

В то же время несправедливо представлять человека единственным слабым звеном. Ошибки пользователей становятся особенно опасными, когда организационные процессы допускают серьёзные последствия одного неверного решения.

Если подключение неизвестного устройства позволяет получить доступ к внутренней системе, вопросы следует адресовать не только сотруднику, но и тем, кто проектировал защиту. Если крупный денежный перевод можно согласовать на основании видеозвонка, необходимо пересматривать процедуру подтверждения финансовых операций. А если работники регулярно становятся жертвами фишинговых атак, недостаточно просто напоминать им о внимательности.

Развитие искусственного интеллекта делает эти проблемы ещё острее. Мошенники получают возможность убедительнее имитировать голоса, лица и поведение людей, которым мы привыкли доверять. Поэтому информационная безопасность должна опираться не только на технологии и инструкции, но и на продуманные процедуры, способные остановить опасное действие даже тогда, когда человек ошибся.

Главный вызов цифровой эпохи заключается не в том, чтобы перестать доверять людям, а в том, чтобы научиться проверять информацию и полномочия там, где цена ошибки может исчисляться миллионами.

Иллюстрация на обложке сгенерирована с помощью ИИ