Сергій Пономарьов
Українські компанії зіткнулися з новою схемою кібератак, у якій мішенню стають не лише працівники, а й їхні діти. Про зростання такого ризику розповів директор із кібербезпеки групи компаній NOVA. За його словами, зловмисники дедалі частіше використовують особисте життя співробітників, щоб отримати доступ до корпоративних систем, облікових записів і внутрішніх даних.
Традиційні фішингові атаки зазвичай будуються навколо робочої електронної пошти, підроблених повідомлень від керівництва або фальшивих рахунків. Нова схема має інший підхід: хакери намагаються встановити контакт із дитиною працівника, запропонувати їй безкоштовну гру, цифровий подарунок, участь у конкурсі або допомогу з навчанням. Після цього зловмисники можуть отримати доступ до пристрою, викрасти дані або використати дитину як непрямий шлях до інформації про батьків.
Як працює атака через дітей працівників
Першим етапом може стати збір відкритої інформації про співробітника. Зловмисники аналізують соціальні мережі, публічні профілі, фотографії, дописи та згадки про родину. Навіть невелика деталь — назва школи, улюблена гра, спортивна секція чи модель смартфона — здатна допомогти сформувати переконливу легенду для спілкування.
Далі дитині можуть надіслати повідомлення у популярному месенджері або ігровій платформі. Їй пропонують активувати бонус, отримати віртуальний предмет, проголосувати за учасника конкурсу або перейти за посиланням для завантаження нібито корисної програми. Насправді файл може містити шкідливе програмне забезпечення, а сторінка — бути копією відомого сервісу, створеною для викрадення паролів.
Особливо небезпечними є ситуації, коли дитина використовує домашній комп’ютер, планшет або смартфон, підключений до тієї самої мережі, що й робочі пристрої батьків. Якщо на гаджеті зберігаються паролі, відкриті поштові скриньки, документи чи доступ до хмарних сервісів, атака може вийти за межі особистого пристрою. У результаті кіберзлочинці отримують можливість атакувати вже корпоративну інфраструктуру.
Ще один варіант — маніпуляція через термінову ситуацію. Дитині можуть повідомити, що її акаунт заблокують, якщо вона негайно не підтвердить особу або не передасть код із повідомлення. У стресовій ситуації користувачі часто діють автоматично, не перевіряючи, хто саме звертається. Саме на поспіху, страху та цікавості найчастіше й базуються соціальні атаки.
Чому корпоративні дані опиняються під загрозою
Працівник може не помітити моменту, коли особистий інцидент перетворюється на корпоративний. Наприклад, шкідлива програма, встановлена на домашньому пристрої, здатна викрасти збережені облікові дані, токени авторизації або інформацію про підключення до робочих сервісів. Якщо для службових і приватних акаунтів використовуються однакові паролі, зловмисники отримують додаткові можливості для подальшого проникнення.
Ризик посилюється, коли працівники працюють дистанційно або використовують власні пристрої для виконання службових завдань. У такому випадку межа між домашнім і корпоративним цифровим середовищем стає менш чіткою. Один заражений гаджет може стати точкою входу для викрадення листування, внутрішніх документів, клієнтської інформації та даних про бізнес-процеси.
Для компанії наслідки можуть бути значно серйознішими за втрату одного облікового запису. Кіберзлочинці можуть використати викрадені дані для підготовки нових фішингових кампаній, підроблення службових листів, шантажу або вимагання коштів. Крім прямих фінансових збитків, підприємство ризикує зіткнутися з простоєм, репутаційними втратами та необхідністю відновлювати роботу інформаційних систем.
Найбільша небезпека полягає в тому, що атака через дитину здається працівникові особистою проблемою, а не кіберінцидентом. Людина може не повідомити службу безпеки про підозріле повідомлення, встановлену гру чи втрату доступу до акаунта. Через це компанія втрачає дорогоцінний час, протягом якого зловмисники можуть закріпитися в системі.
Як захистити родину та бізнес
Захист від подібних атак починається з відкритої розмови в родині. Дітям важливо пояснювати, що незнайомці в мережі можуть використовувати привабливі пропозиції для викрадення інформації. Не можна передавати стороннім паролі, коди підтвердження, фотографії документів або дані банківських карток. Також не варто встановлювати програми з неперевірених джерел і переходити за підозрілими посиланнями.
Батьки мають налаштувати на дитячих пристроях оновлення операційної системи, антивірусний захист, блокування небезпечних сайтів і двофакторну автентифікацію. Для кожного сервісу бажано використовувати окремий складний пароль, а зберігати їх — у надійному менеджері паролів. Доступ до робочих облікових записів не повинен зберігатися на пристроях, якими регулярно користуються діти.
Компаніям варто розглядати кібербезпеку як частину загальної цифрової гігієни всієї родини працівника. Навчання персоналу має охоплювати не лише фішинг у корпоративній пошті, а й ризики в соціальних мережах, онлайн-іграх, месенджерах та освітніх платформах. Працівники повинні знати, куди звертатися у разі підозрілої активності, навіть якщо інцидент стався на домашньому пристрої.
Важливими заходами є багатофакторна автентифікація, регулярна зміна доступів, розмежування прав користувачів, резервне копіювання та контроль підключень до корпоративних систем. Окрему увагу слід приділити політиці використання особистих пристроїв для роботи. Якщо компанія дозволяє віддалений доступ, він має бути захищений додатковими перевірками та обмеженнями.
Фахівці з кібербезпеки наголошують: не кожне підозріле повідомлення означає масштабну атаку, але кожен такий випадок потребує перевірки. Краще тимчасово заблокувати акаунт, змінити пароль і повідомити відповідальний підрозділ, ніж проігнорувати сигнал. Швидка реакція часто дозволяє зупинити атаку ще до того, як вона торкнеться корпоративних даних.
Нова схема атак показує, що кібербезпека більше не обмежується офісом і робочим ноутбуком. Хакери шукають найменш захищену ланку та намагаються використати довіру, звички й емоції людей. Саме тому захист українських компаній має включати не тільки технологічні рішення, а й постійне навчання працівників та їхніх родин правилам безпечної поведінки в інтернеті.