Социальная инженерия: методы, примеры и защита компании

Что такое социальная инженерия

Социальная инженерия — это обман, при котором злоумышленник добирается до денег и систем компании через людей. Он изображает того, кому сотрудник привык подчиняться или помогать: руководителя, банк, ИТ-поддержку, аудитора, курьера. Фишинговое письмо — один из её видов, а тот же приём работает и по телефону, и у двери офиса.

Масштаб виден по статистике Банка России. Во II квартале 2026 года регулятор выявил 28 678 атак, построенных на социальной инженерии, на 49,75% больше, чем в I квартале. Фишинговых атак за тот же квартал насчитали 426, атак с вредоносными программами 85. В 2025 году Банк России передал операторам связи 69 091 телефонный номер, с которых мошенники похищали деньги, и отметил, что самые крупные хищения у граждан приходились на схемы, где социальную инженерию сочетали с поддельными сайтами компаний, госорганов и госсервисов.

Методы социальной инженерии и примеры атак на компанию

Виды социальной инженерии обычно делят по каналу: телефон, переписка, личный контакт и сбор сведений заранее. Примеры социальной инженерии ниже условные и привязаны к работе обычных отделов.

Претекстинг: «аудитор» и «новый сотрудник ИТ»

Претекстинг — атака с заранее придуманной легендой. «Аудитор из головной компании» просит выгрузку по контрагентам до конца дня, «новый сотрудник ИТ» звонит менеджеру, чтобы «перенести почту на новый сервер», и просит продиктовать код из SMS. Легенда держится на деталях: злоумышленник знает имя руководителя, название проекта, внутренний жаргон. Так начался взлом Twitter в июле 2020 года. По расследованию Департамента финансовых услуг штата Нью-Йорк, злоумышленники звонили сотрудникам от имени ИТ-поддержки компании и говорили, что отвечают на жалобу о проблемах с VPN.

Звонок «из банка» или «службы безопасности»

Бухгалтеру звонят из «службы безопасности банка»: по счёту компании прошла подозрительная операция, и чтобы её отменить, нужно назвать код из SMS, подтвердить платёж или поставить «защитное» приложение. Приложение оказывается программой удалённого доступа, код подтверждает платёж самого мошенника. С 1 сентября 2025 года по закону № 41-ФЗ оператор связи обязан передавать на телефон абонента сведения об организации, которая ему звонит, так что «банк» с обычного мобильного номера без названия должен насторожить. Правило для бухгалтерии проще любой проверки: положить трубку и самому набрать номер банка из договора.

«Руководитель» в мессенджере

Сотруднику пишет «директор» с настоящим фото и именем, взятыми с сайта компании. Просьба срочная и секретная: «сейчас позвонит куратор из ФСБ, отвечай на все вопросы» или «нужно срочно оплатить счёт, никому не говори, это сделка». Телеграм-канал «Вестник киберполиции России» в разборе этой схемы называет её признаки: срочность, требование тайны и перевод на «сотрудника ФСБ, полиции или налоговой». Тех, у кого есть доступ к деньгам компании, просят провести «секретный платёж», остальных просят назвать пароли от внутренних систем или перевести собственные деньги на «безопасный счёт».

Иногда к переписке добавляют голосовое сообщение или звонок голосом руководителя: нейросети научились подделывать и голос, и видео. Знакомый голос в трубке сам по себе ничего не подтверждает, и такую просьбу проверяют так же, как текстовую.

Услуга за услугу

Злоумышленник предлагает помощь или небольшую выгоду и просит что-то взамен. «ИТ-поддержка» обзванивает сотрудников с предложением «ускорить почту» и просит поставить программу для удалённого подключения. Другой вариант: «опрос для партнёров» с сертификатом на 3 000 рублей за ответы о том, каким банком и какой учётной системой пользуется компания. Человеку, которому помогли или что-то подарили, неловко отказать в ответной просьбе.

Подброшенная флешка

Флешку с надписью «Зарплаты 2026» или «Сокращения, конфиденциально» оставляют на парковке, в переговорной или у лифта. Сотрудник вставляет её в рабочий компьютер, чтобы найти владельца или из любопытства, и файл на ней запускает вредоносную программу. Исследователи Иллинойсского университета в 2016 году разбросали по кампусу 297 флешек: по их оценке, атака сработала в 45–98% случаев, первую флешку подключили меньше чем через шесть минут. Опрос показал, что флешки подключали, чтобы найти и вернуть владельца.

Проход в офис за сотрудником

Человек с коробками в руках или в форме курьера идёт к турникету следом за сотрудником, и тот придерживает дверь. Фраза «забыл пропуск, я из отдела продаж, третий этаж» срабатывает в офисе, где работают сотни людей и никто не знает всех в лицо. Внутри злоумышленнику хватает нескольких минут, чтобы сфотографировать пароли на стикерах, подключить устройство к сетевой розетке или забрать документы из лотка принтера.

Сбор сведений из открытых источников

Перед целевой атакой злоумышленник собирает то, что компания рассказала о себе сама. Сайт даёт структуру и имена руководителей, вакансии раскрывают учётные системы и банк, фотографии с конференций показывают бейджи и интерьер офиса, личные страницы бухгалтеров и помощников руководителя подсказывают, кто сейчас в отпуске. Из этих кусков складывается легенда, в которую сотрудник верит, потому что всё в ней совпадает с реальностью.

Обратная социальная инженерия

В этой схеме сотрудник сам обращается к злоумышленнику. Сначала ему подсовывают контакт для помощи: в офисе появляется объявление «новый номер ИТ-поддержки», в почту приходит «уведомление о сбое» с телефоном для связи. Когда у человека что-то действительно ломается, он звонит по этому номеру и диктует пароль, потому что уверен, что попал в поддержку. Подозрения не возникает, ведь инициатива исходит от самой жертвы.

На каких рычагах держится социальная инженерия

Каждый метод давит на одну-две человеческие реакции, которые в обычной работе полезны. Психолог Роберт Чалдини в книге «Психология влияния» (1984) описал шесть принципов, по которым люди соглашаются на просьбы, среди них авторитет, взаимный обмен и дефицит. В корпоративных атаках рычаги выглядят так:

Рычаги почти всегда идут парами. «Директор» добавляет к авторитету срочность и секретность, «банк» добавляет к страху срочность. Время на размышление злоумышленник отнимает сознательно: пока человек торопится, он действует по привычке и выполняет просьбу как рабочую задачу.

Почему на уловки попадаются опытные сотрудники

Опыт помогает распознать неумелую попытку, а подготовленная легенда опирается как раз на знания опытного сотрудника. Бухгалтер с десятилетним стажем знает, как выглядит настоящий платёж, и легенда, собранная из открытых источников, совпадает с этим знанием: та же фамилия директора, тот же банк, тот же поставщик. Чем лучше человек знает процесс, тем быстрее он его выполняет и тем реже останавливается.

Исследование с флешками показало то же самое: их подключали обычные люди, вполне технически грамотные, которые в повседневной жизни охотнее окружающих идут на риск. Британский Национальный центр кибербезопасности (NCSC) в руководстве по фишингу пишет, что люди ошибаются по разным причинам, в том числе ситуативным: человек занят или в стрессе. Угроза наказания эти причины не убирает.

Поэтому компания не может полагаться только на внимательность сотрудника в конце рабочего дня. Защита должна срабатывать и тогда, когда он поверил легенде.

Защита от социальной инженерии: правила, которые работают

Проверка по второму каналу

Любую просьбу о деньгах, доступах или сведениях проверяют через канал, который выбрал сам сотрудник. Если в мессенджере пишет «директор», звонят ему или помощнику по номеру из внутреннего справочника. Если позвонил «банк», кладут трубку и набирают номер из договора. Номер, ссылку или контакт из самого сообщения для проверки не используют, их подготовил тот же человек, который пишет.

Платёж только по заявке в системе

Правило звучит жёстко: ни один платёж не уходит без заявки в учётной или платёжной системе, согласованной по обычному маршруту. Просьба директора в мессенджере, по телефону или голосом в коридоре заявкой не считается. Если правило подписал генеральный директор и объявил его всем, бухгалтеру не приходится решать, можно ли отказать «руководителю»: отказ уже прописан.

Кодовые фразы для срочных просьб

Для случаев, когда руководителю правда нужно срочно и вне процесса, договариваются о кодовой фразе или контрольном вопросе. Фразу знают руководитель, финансовый директор и бухгалтерия, её не пишут в мессенджерах и почте и меняют, например, раз в квартал и после ухода любого из посвящённых. Злоумышленник, который изучил компанию по открытым источникам, этой фразы не знает.

Минимальные права и разделение обязанностей

Чем меньше у сотрудника доступа, тем меньше может выманить злоумышленник. Бухгалтер создаёт платёжное поручение, подписывает его другой человек. ИТ-поддержка сбрасывает пароль только по заявке и после проверки личности. Новому сотруднику открывают доступы по списку для его должности, без копирования прав предшественника.

Что публиковать о сотрудниках

Сайт и соцсети компании дают злоумышленнику материал для легенды. Стоит проверить, что на них видно:

• полная структура с прямыми телефонами и почтой бухгалтерии и помощников руководителя;
• вакансии с названиями банков, учётных систем и внутренних сервисов;
• фото из офиса и с мероприятий, где читаются бейджи, экраны и доски;
• новости о сделках и смене поставщиков до их завершения.

Вместо личных адресов на сайте можно указать общий адрес отдела, а в вакансиях написать «опыт работы с учётными системами» без версий и названий банков.

Обучение, учебные атаки и отчётность

Правила работают, когда их отрабатывают на практике. Учебная атака показывает, кто поверил легенде, сколько человек сообщили о ней и как быстро. Для этого нужен один канал для сигналов (адрес, кнопка в почте, номер дежурного ИБ) и договорённость, что за сообщение об ошибке не наказывают. Сотрудник, который через пять минут позвонил в ИБ со словами «кажется, я продиктовал код», даёт службе безопасности время заблокировать доступ.

Как обучение готовит сотрудников к социальной инженерии

Наш курс начинается с блока про современные атаки и социальную инженерию. Примеры для разбора мы готовим на материалах компании, а в программе отдельно разбираем срочные запросы «от руководства» в мессенджерах, подделку писем от госорганов, банков и маркетплейсов, признаки поддельных сообщений и голосовых звонков. Тренинги идут онлайн, по 1,5–2 часа, с ответами на вопросы. Между ними проводим учебную фишинговую рассылку, и второе занятие строим по её результатам.

Курс по обучению защите от социальной инженерии можно дополнить симуляцией атаки. Это отдельная услуга. Мы собираем то, что компания открыто показывает о себе, и отдаём отчёт «Публичный цифровой профиль компании», готовим разные легенды для финансов, ИТ, кадров и руководства и атакуем по нескольким каналам: почта, SMS, мессенджеры, голосовой звонок с клонированным голосом. По итогам компания видит долю уязвимых сотрудников, переходы по ссылкам, ввод логинов и паролей, долю сообщивших в службу безопасности и время до сигнала.