Звичайний фішинг розсилають мільйонам наосліп. Spear phishing (цільовий фішинг) — це прицільний удар по конкретній людині чи компанії, підготовлений саме під неї. Повідомлення виглядає переконливо й регулярно проходить і повз технічні фільтри, і повз здоровий глузд. Розберемо чому — і за якими прикметами прицільний лист упізнають.
Spear phishing: що це і чим відрізняється від масової розсилки
Масову розсилку роблять за принципом «хоч хтось та клюне»: мільйон адрес, один шаблон, орфографічні помилки. Spear phishing — це передусім розвідка, і вже потім лист.
Зловмисник заздалегідь збирає: імена й посади керівників, назви поточних проєктів, контрагентів, формат корпоративних адрес (ім'я.прізвище@компанія), стиль підпису, навіть автовідповідач «у відрядженні до 20-го». Джерела відкриті: сайт компанії, соцмережі, тендерні майданчики, старі витоки баз, публічні реєстри. Далі надсилається звернення, наче від колеги, начальника або партнера, з правдоподібним проханням: оплатити рахунок, відкрити «акт звірки», підтвердити доступ.
Як виглядає підготовка зсередини
Типовий ланцюжок триває тижнями. Спершу зламують скриньку невеликого підрядника — там рідко стоїть другий фактор. Далі мовчки читають чуже листування: хто підписує рахунки, у які дні платять, якими зворотами користуються. І лише потім, дочекавшись великого платежу, вступають у розмову — зі справжньої адреси, з правильною темою й посиланням на реальний договір. На цьому етапі фільтрам уже нема до чого причепитися.
Чому воно обходить фільтри
- немає масовості — повідомлення не потрапляє до чорних списків, бо надіслане в одному екземплярі;
- персоналізація — правильні імена, суми й дати знімають підозру;
- правдоподібний контекст — оплата за реальним договором виглядає буденно;
- соціальна інженерія — тиск часу й авторитету («терміново», «від директора») штовхає діяти швидко, без перевірки;
- справжня адреса — іноді звернення приходить зі скриньки колеги чи контрагента, яку вже зламали. Тоді підозрювати технічно нічого.
Саме тому прицільна атака лишається головним інструментом державних угруповань проти України — детально розібрано у статті APT-групи проти України.
Компрометація ділового листування: найдорожчий різновид
У англомовних звітах саме цю схему звуть BEC — компрометація ділового листування. Нападник нічого не шифрує й не викрадає: усе зводиться до одного платежу, відправленого не туди.
Класичний фінал — повідомлення про зміну банківських реквізитів напередодні великого платежу. Іноді нападник підключається до вже наявного ланцюжка листів: та сама тема, ті самі цитати, той самий стиль. Гроші йдуть на чужий рахунок, а виявляється підміна за тиждень — коли постачальник нагадує про несплату.
Різновид, спрямований на керівника, звуть whaling — «полюванням на кита». Ставка на те, що директор має право підпису й зазвичай нервує, коли його перепитують.
Цільовий фішинг: що це змінює для компанії
Прицільна атака робить безглуздою ставку виключно на технології. Поштові фільтри лишаються потрібними, але останнім рубежем стає людина, яка читає звернення.
Технічний захист усе ж працює. Записи SPF, DKIM і DMARC у налаштуваннях домену дозволяють поштовим серверам відкидати повідомлення, надіслані від вашого імені сторонніми. Але важливо розуміти межі:
- вони не рятують від схожого домену — адреса на кшталт
cornpany.uaзамістьcompany.uaформально бездоганна й проходить усі перевірки; - вони безсилі проти справжньої скриньки — якщо акаунт контрагента зламано, лист надійшов законно, з усіма підписами.
Ще одна деталь: у DMARC є політика — від «нічого не роби, лише звітуй» до «відкидай». Багато компаній зупиняються на першій сходинці, і запис формально існує, а листи від їхнього імені далі спокійно доходять до адресатів.
Тому технічні налаштування закривають одну ділянку, а решту закриває процедура.
Чому порада «перевір адресу відправника» майже не працює
Відображуване ім'я підставляється довільно: у списку кореспонденції видно «Директор Іваненко», а справжня адреса захована за ним. Мобільні поштові застосунки часто ховають її аж до розгортання деталей. У найгіршому ж випадку адреса цілком справжня — просто скриньку зламали.
Звідси головний висновок для навчання: людей марно вчити «шукати підозріле», бо підозрілого там немає. Учити треба іншого — на будь-яке прохання про гроші, реквізити чи доступ спрацьовує процедура, незалежно від того, наскільки переконливо виглядає звернення.
Прикмети, за якими впізнають прицільну атаку
- несподіване прохання про гроші, дані або доступ — навіть «від керівника»;
- тиск і терміновість — «зроби зараз», «нікому не кажи, поки не оголосили»;
- зміна звичного каналу чи реквізитів — новий рахунок, інший банк, прохання перейти в месенджер;
- дрібні невідповідності — трохи інша адреса відправника, незвичний зворот, чужий формат підпису;
- вкладення чи посилання, на яке ви не чекали;
- прохання обійти процедуру — «давай без узгодження, потім оформимо».
Головне правило: будь-яке несподіване фінансове або «доступове» прохання підтверджуйте іншим каналом. І передзвонюйте за номером із договору, а не за тим, що вказаний у самому листі, — інакше ви зателефонуєте тому ж зловмисникові.
Що робити компанії
Проти цільового фішингу працює поєднання процедур і технологій:
- навчати людей регулярно, а не одноразово: разовий інструктаж вивітрюється за місяць;
- запровадити подвійне підтвердження для платежів і будь-якої зміни реквізитів — двома підписами, а не одним;
- захищати пошту технічно — SPF, DKIM, DMARC і перевірка вкладень;
- увімкнути двофакторну автентифікацію, щоб украдений пароль не давав доступу до скриньки;
- мати план реагування — успішна атака рано чи пізно станеться;
- знати, чим усе закінчується: із одного такого звернення нерідко починається ransomware або шпигунське ПЗ.
Хтось уже клікнув: перші пів години
Швидкість тут важить більше, ніж пошук винного. Компанія, яка карає за зізнання, купує собі мовчання — а мовчання перетворює дрібницю на катастрофу.
Порядок дій простий:
- Повідомити ІТ негайно — навіть якщо здається, що нічого страшного не сталося.
- Змінити пароль до скриньки та до всіх сервісів, де він повторювався.
- Перевірити правила пересилання у поштовій скриньці. Зловмисники першим ділом додають приховане правило, яке копіює всю кореспонденцію назовні; людина далі спокійно працює, а листування читають.
- Переглянути активні сесії й завершити чужі.
- Попередити колег і контрагентів — з тієї самої скриньки могли вже писати від вашого імені.
- Підняти команду реагування (див. CSIRT), якщо йдеться про фінанси або доступ до систем.