🎒 1 сентября близко. Мошенники уже подготовились к учебному году

Конец августа – сезон школьных покупок, родительских чатов, сборов денег и восстановления доступов к электронным дневникам. Мошенники используют эти привычные ситуации как готовые легенды для социальной инженерии.

Разбираем пять актуальных схем.

1️⃣«Срочно сдаём деньги на класс»
Мошенники взламывают аккаунты участников родительских чатов или создают их копии, а затем просят перевести деньги на ремонт, учебники или другие нужды класса. Главные инструменты давления – доверие к знакомому отправителю и срочность: «все уже сдали», «нужно до вечера». Времени на проверку намеренно не оставляют.

2️⃣«Нужно обновить электронный дневник»
«Сотрудник школы» или «техподдержка» сообщает о блокировке аккаунта и просит подтвердить данные. Для этого предлагает перейти на сайт-двойник или назвать код из СМС. Так злоумышленники могут получить учётные данные и доступ к «Госуслугам» и другим сервисам.

3️⃣«Вам положена выплата к 1 сентября»
Компенсация за форму, сертификат на школьные товары, субсидия или бесплатный набор первоклассника. Чтобы получить «выплату», нужно заполнить анкету и указать персональные или банковские данные. За обещанной помощью может скрываться обычная фишинговая страница.

4️⃣«Школьные товары со скидкой 70%»
Фейковые магазины предлагают форму, канцелярию и гаджеты по ценам значительно ниже рынка. Чтобы подтолкнуть к покупке, добавляют таймеры и сообщения вроде «осталось три комплекта». Задача та же: заставить человека действовать быстро, прежде чем он успеет проверить магазин и адрес сайта.

5️⃣«Ваш букет уже в пути»
«Курьер» сообщает о доставке цветов учителю и просит назвать код из СМС для подтверждения получения. Неожиданная доставка создаёт правдоподобный повод начать разговор, а код нужен уже для совсем других действий.

❕ Почему это важно для корпоративной безопасности?

Граница между личной и рабочей цифровой средой размыта. Сотрудник может открыть ссылку из родительского чата на рабочем ноутбуке, использовать корпоративную почту на стороннем сервисе или повторять рабочие пароли в личных аккаунтах.

Кроме того, взлом личного аккаунта даёт злоумышленникам контакты, переписки и контекст для более точной социальной инженерии уже против сотрудника или компании.

Поэтому сезонные схемы стоит включать в Security Awareness-коммуникации. Сейчас хороший момент напомнить сотрудникам: не сообщать коды из СМС, перепроверять неожиданные просьбы другим каналом, проверять адрес сайта перед вводом данных и не использовать рабочие пароли в личных сервисах.

Общий признак этих схем – сочетание доверия, срочности и запроса на действие. Если вас торопят перевести деньги, назвать код или ввести данные, сначала проверьте, кто и зачем этого просит.

#StopPhish #SecurityAwareness #Кибербезопасность #ИнформационнаяБезопасность

Нужна ли ИБ отдельная платформа Security Awareness – или достаточно ежегодного обучения, технических средств защиты и собственных фишинговых тестов?

В карточках разбираем частые вопросы ИБ: зачем еще одна система, сколько времени займет ее администрирование, можно ли проводить учебный фишинг своими силами и как избежать негатива сотрудников.

В полной версии вместе с Ильей Виноградовым, экспертом StopPhish, идем глубже: анализируем метрики эффективности, автоматизацию, ресурсы команды, варианты работы с платформой и критерии выбора решения.

🤩 Читайте статью «Security Awareness без мифов: отвечаем на главные вопросы перед внедрением платформы»

#StopPhish #SecurityAwareness #ИнформационнаяБезопасность #Кибербезопасность