Здесь полезнее работать адресно. После ошибки сотруднику можно автоматически назначить обучение или короткий разбор конкретной ошибки. Например, в квантовом курсе сразу показывается, какой признак он пропустил: подмена email или другой маркер фишинга. Такой разбор занимает около 30 секунд.

После этого сотрудника можно снова проверить учебной атакой и посмотреть, изменилось ли его поведение. То есть работать уже с конкретным риском, а не повторно обучать всю компанию одинаково.

Календарный фишинг показывает, что контроль почтового трафика не всегда охватывает весь путь доставки атаки. Если почтовый шлюз проверяет письмо, но связанное событие обрабатывается календарным сервисом отдельно, между этими компонентами может возникнуть слепая зона.

Отдельного внимания заслуживает использование легитимного ПО удалённого управления. ScreenConnect сам по себе не является вредоносной программой, однако его установка по ссылке из неожиданного приглашения может привести к компрометации конечной точки. Поэтому при расследовании подобных инцидентов важно анализировать не только вредоносные файлы и домены, но и контекст установки RMM-инструментов, источник приглашения и последующие действия на устройстве.

Для обнаружения таких атак стоит проверять календарные события вместе с почтовыми сообщениями, сопоставлять отправителей и ссылки, а также отслеживать запуск инструментов удалённого управления, особенно если их установка не связана с согласованной работой ИТ-службы.

Топ-менеджеры находятся в группе риска не случайно. У них широкий круг контактов, доступ к важной информации и возможность принимать решения, от которых зависят деньги и процессы компании. Злоумышленники это знают и могут использовать срочные запросы, поддельные письма от партнёров или сообщения якобы от коллег, чтобы сыграть на занятости руководителя и его доверии к отправителю.

Но проверять руководителей нужно аккуратно. Симуляция фишинга не должна превращаться в публичную порку или попытку поймать человека на ошибке. Цель другая – понять, где остаются риски, и помочь их снизить.

На практике мы видим, что лучше работает подход, при котором правила едины для всех, а результаты тестирования не становятся поводом для насмешек или давления. Сценарии должны быть реалистичными, но корректными, а после проверки важно дать участнику понятную обратную связь: что могло насторожить, как проверить сообщение и куда сообщить о подозрительной активности.

Для руководителей особенно полезны короткие, прикладные форматы. В курсах StopPhish есть урок «ИБ для влиятельных людей» – они помогают разобрать угрозы и ситуации, с которыми топ-менеджеры могут сталкиваться в своей работе.

И ещё один момент, который часто недооценивают: когда сотрудники видят, что даже самый занятый человек в компании нашёл время на обучение, они воспринимают его иначе. Это понятный сигнал всей команде: кибербезопасность действительно важна, и правила действуют не только для рядовых сотрудников.

Поэтому тестирование топ-менеджеров должно быть не исключением и не демонстрацией власти ИБ, а частью общей культуры безопасности. Проверяем корректно, объясняем спокойно, помогаем закрепить правильные действия – и показываем личным примером, что защита компании касается каждого.