88% кібершахрайств спричиняються людськими помилками, і лише 12% — технічними збоями. Поспішаючи, можна повестися на діпфейк і перерахувати шахраям купу грошей. Або завантажити шкідливий софт із листа, який нібито від вашого CEO. Особливо якщо це кінець дня і ви вже втомлені.
Отже, чому ми такі вразливі до маніпуляцій шахраїв, які упередження нами керують? І що компаніям та кожному з нас варто зробити, щоби бути трохи впевненішими в безпеці своїх даних та грошей.
Зазвичай все починається з фішингового листа
Найпоширеніший вид шахрайства — фішинг (становить 90% усіх кібератак). Це коли злочинці намагаються втертися в довіру до потенційної жертви, аби потім вивідати конфіденційну інформацію.
Усе починається з фішингового електронного листа. Виглядає так, ніби він надійшов від постачальника/банку/клієнта/колеги, але насправді — від злочинців. У листі може міститися прохання виконати «термінову дію»: наприклад, підтвердити пароль або оновити дані облікового запису. Посилання зазвичай ведуть на підробний сайт, де жертва вводить свої дані, які потрапляють до зловмисників. Цікаво, що в 43% від усіх зареєстрованих випадків у 2023 році шахраї імітували Microsoft.
Крім цього, фішингове посилання може бути замасковане під вкладення: робочі документи, малюнки чи онлайн-публікації.
З ними ви можете завантажити:
- Шкідливе ПЗ (Malware). Це програми, які заражають комп’ютери через підозрілі файли або посилання в імейлах. Вони можуть пошкоджувати доки, збирати дані або навіть надавати зловмисникам віддалений доступ. Щодня Інститут AV-TEST реєструє потенційно шкідливі програми — у 2024 році вони вже знайшли понад 60 млн нових штамів. Щосекунди відбувається близько 190 тис. атак Malware.
- Програми-вимагачі (Ransomware). Хакери блокують доступ до файлів у системах компаній, а потім вимагають викуп за відновлення та шантажують витоком даних. У 2023 році кількість атак Ransomware зросла на 67%, найбільше постраждав сектор виробництва.
Ще один популярний інструмент — діпфейк — технологія, яка дозволяє створювати підробні відео, аудіо та зображення, що виглядають як справжні, завдяки AI. Людина може отримати голосове чи навіть дзвінок від «колеги», який просить надати важливі паролі або позичити кошти. З 2022 по 2023 обсяг шахрайства з діпфейками в усьому світі зріс більш ніж у 10 разів.
Наші когнітивні упередження дають шахраям «зелене світло»
У період з 2013 по 2015 громадянин Литви Евалдас Рімасаускас і його команда створили фальшиву компанію. Вона була замаскована під азійського постачальника комп’ютерів Quanta (Тайвань), з яким співпрацювали Google та Facebook, регулярно проводячи багатомільйонні операції. Зловмисники також відкрили банківські рахунки на ім'я підставної компанії.
Потім шахраї надсилали фішингові електронні листи певним співробітникам Google і Facebook, виставляючи їм рахунки за товари та послуги нібито від Quanta, але з власними реквізитами.
Сума збитків склала понад $100 млн. Шахраї відкрили рахунки в різних банках Латвії та Кіпру, на які потім переказували кошти з фейкової компанії. Уникнути підозр з боку банків злочинцям вдалося створюючи «підтверджувальні документи для транзакцій», на яких навіть були фальшиві корпоративні печатки.
Ще приклад:
У березні 2019 року гендиректору британського постачальника електроенергії (UK Energy Company) зателефонував хтось, схожий на його керівника, і попросив протягом години надіслати кошти «угорському постачальнику». Дзвінок був настільки переконливим, що гендир переказав $243 тис. на банківський рахунок, який насправді належав шахраям.
Чому подібні схеми вводять в оману всіх — від топменеджменту до джунів? Психолог Роберт Чалдіні пояснює, що шахраї часто використовують принципи переконання, як-от авторитет, соціальний доказ і терміновість, щоби впливати на людей. Це спонукає навіть найобережніших із нас приймати рішення «на автоматі», особливо не замислюючись.
Уявіть акулу і комара. Хто з них, на ваш погляд, представляє найбільшу загрозу? Певно, акула, адже вона більша і має близько 30 тис. зубів. Проте статистика каже, що комарі вбивають більше людей за день, ніж акули за 100 років, адже переносять збудники багатьох небезпечних хвороб.
Шахраї знаходять сліпі зони, які виникають у результаті швидких, керованих емоціями рішень. Розберемо найпопулярніші когнітивні упередження, якими користуються зловмисники:
— Когнітивне тунелювання. Людина може бути настільки зосереджена на терміновому запиті (наприклад, «треба швидко оплатити рахунок»), що просто не помічатиме ознак шахрайства — помилку в URL або фейкові реквізити. А якщо фішингове повідомлення імітує керівника, клієнта чи постачальника, працівник може не перевірити деталі, бо очікує отримати такий лист.
- Афективна евристика. Це коли емоції переважають над судженнями. Емоційні благання про допомогу нібито від колег, друзів або рідних спонукають нас перераховувати гроші шахраям. Іноді люди надають секретну інформацію злочинцям, навіть якщо відчувають сумнів, просто тому, що прагнуть уникати конфліктних ситуацій та не хочуть виглядати неввічливо.
- Упередженість авторитету. Люди підсвідомо більше довіряють тим, хто перебуває на авторитетних позиціях. Співробітники фінансового відділу можуть отримати фейковий лист від «гендира» з інструкціями про переказ великої суми — і задовольнити запит без перевірки.
- Ефект ореолу. Це схильність мати позитивне враження про людину, компанію, бренд. Кіберзлочинці часто видають себе за надійні організації, як-от банки, змушуючи людей відкривати шкідливі посилання або відвідувати підробні сайти.
- Гіперболічне дисконтування. Це мислення в дусі «краще менша нагорода зараз, аніж більша невідомо коли». Сюди ж відносимо «безплатні пробні періоди» та «купони на знижки», які змушують нас надавати персональні дані, секретні коди кредиток, не замислюючись про наслідки.
- Ефект цікавості. Це як свербіж, який людина хоче заспокоїти. Ми природно схильні до ризикової поведінки, аби задовольнити свою цікавість. Кіберзлочинці маніпулюють цим, створюючи заголовки, рекламу або інший клікбейт у листах та в соцмережах.
- Ефект свіжості. Наша схильність краще запам'ятовувати останні події може призвести до неправильних рішень. Якщо ви перед цим разів 20 перераховували кошти партнеру і все було ок, то навряд чи запідозрите підставу, якщо 21-й імейл з рахунком виявиться фішинговим.
- Упередженість підтвердження. Люди шукають інформацію, яка підтверджує їхні наявні переконання. Якщо ви чесні, у вас є оптимістичне упередження, що інші також будуть чесними.
«Зети» й міленіали частіше визнають помилки, а «ікси» мовчать, тому що бояться критики
Компанія Tessian, британський постачальник безпекових рішень для електронної пошти, у співпраці з Джеффом Хенкоком, професором з комунікації Стенфордського університету, провела опитування 2 тис. співробітників з Великобританії та США в період з 2021 по 2022 рік. Мета — допомогти компаніям краще зрозуміти психологію людських помилок.
36% опитаних сказали, що вони повністю або майже впевнені, що зробили помилку на роботі, яка поставила під загрозу безпеку компанії, протягом останніх 12 місяців. Що це були за помилки?
- Надсилання електронного листа не тому колезі (17%) або не тому клієнту/партнеру (18%). 29% респондентів заявили, що це коштувало компанії клієнта або замовника. Кожен четвертий опитаний втратив роботу, також кожен четвертий не розповів відділу безпеки про помилку.
- Фішинг та смішинг (шахрайство через SMS). 26% сказали, що вони натискали на шкідливе посилання в імейлі, а 32% — в SMS.
Професор Хенкок коментує:
«До недавнього часу лише люди з вашого близького кола могли зв'язатися з вами через SMS, і ми вважали цей канал досить безпечним. Але тепер це не так. Коли ми здійснюємо покупки онлайн і залишаємо свій номер телефону, нам починають надходити повідомлення від незнайомих контактів. Деякі з них справжні, а інші — ні. Оскільки багато хто не очікує шахрайства через SMS, цей канал став дуже ефективним інструментом для атак».
До речі, молодші співробітники частіше натискають на фішингові посилання, ніж старші:
При цьому молодші в 5 разів частіше беруть на себе відповідальність: 50% людей у віці від 18 до 30 років зізнались керівництву, що робили помилки. Серед працівників, старших за 51 рік, таких було лише 10%.
Професор Хенкок пояснює, що для старших співробітників важливо зберігати повагу та репутацію на роботі, тому вони більш схильні приховувати свої помилки.
А ще цікаво, що фахівці з відділів маркетингу вдвічі частіше попадались на фішингову аферу, ніж фінансисти, і майже в 4 рази частіше, ніж працівники операційних підрозділів:
- Серед основних причин помилок респонденти назвали втому, відволікання, поспіх та стрес. І кіберзлочинці це знають, адже більшість фішингових атак здійснюється між 14:00 та 18:00, коли люди, швидше за все, втомлені або розсіяні.
- Основними причинами того, що фішингові електронні листи спрацьовують, є їхній легітимний вигляд (43%) і той факт, що вони надходять або від керівника (41%), або від відомого бренду (40%).
Як запобігти помилкам, перш ніж вони стануть порушеннями
Нагороди замість покарань
В опитуванні Intermedia, постачальника хмарних послуг для бізнесу, 59% співробітників, які постраждали від програм-вимагачів, зізнались, що заплатили викуп із власної кишені. Через сором і страх вони намагалися впоратися з ситуацією самостійно, поки про це не дізнався хтось інший.
Але просто сплата викупу не означає, що зловмисники повністю зникли з вашої мережі. Якщо ІТ-команда не знатиме про витік даних або вразливість, вона не зможе запобігти новим порушенням.
«Нагороди набагато ефективніші, ніж покарання, — пояснює Джош Явор, головний офіцер з інформаційної безпеки в Tessian. — Тому замість лаяти співробітника, який прийшов із зізнаннями, запропонуйте йому певне заохочення — наприклад, +1 день до відпустки за виявлений фішинговий лист. Або ж просто подякуйте за чесність. Така підтримка буде важливою навіть тоді, коли працівник не лише розпізнав кібератаку, але й став її жертвою».
Навчання для всіх, а не лише для винних
«Дивись, ти припустився помилки, перейшов за шкідливим посиланням, маєш пройти додаткові модулі з кібербезпеки, щоб у майбутньому такого не повторилося».
У цьому випадку навчання асоціюється з покаранням. Людина буде почуватися ізольованою, особливо якщо вона єдина, хто проходить подібні модулі. Такий підхід надсилає в мозок жертви та її колег сигнал «краще мовчати про порушення».
Замість цього краще взагалі не прив’язуватись до помилки, а регулярно підвищувати обізнаність команди про безпеку, приділяючи увагу новим прийомам шахраїв. І тоді навчання буде сприйматися позитивно, як інвестиція в розвиток.
Простих презентацій про кібербезпеку буде замало. Команда має брати безпосередню участь у навчанні, включно з тими, хто працює віддалено.
Що можна зробити?
1. Проводити регулярні тренінги та виділяти найактивніших учасників.
Це може бути просто імейл з привітанням, особливий статус на вашому внутрішньому порталі або просто наклейка на ноутбук.
2. Використовувати симулятори.
Наприклад, у PhishProof користувачі отримують реальні імейли, на які потрібно відповідно реагувати. Якщо працівник попадається на фішинг, він одразу отримує зворотний зв’язок із поясненням помилки та порадами щодо уникнення загроз. А гра Cybersecurity Lab симулює кіберзахист мережі. Користувачі виконують роль спеціалістів з кібербезпеки, які захищають компанію. Мета — навчити людей приймати швидкі та правильні рішення під час виявлення атаки.
Як самостійно тренувати пильність
Зупиніть себе хоча б на кілька секунд
Дослідження показують, що навіть 10-секундна пауза та навмисне зміщення уваги допомагає відновити фокус і контроль над ситуацією.
Наприклад, керівник надіслав вам голосове у WhatsApp, в якому просить терміново перерахувати гроші на рахунок постачальника. Замість того щоб сфокусуватися на «терміново», зверніть увагу на інші деталі та подумайте, що не так.
— Чи став би ваш керівник обговорювати конфіденційну інформацію в месенджері?
— Можливо, попередньо краще зателефонувати йому або уточнити інформацію в колег чи в того ж постачальника.
— У повідомленні зазначені реквізити рахунку — того, на який ви зазвичай переказуєте кошти, чи вони відрізняються?
— Звертання і тон повідомлення такі, як зазвичай, чи інші?
Назвіть свої емоції
Атаки насамперед спрямовані на наші емоції. Практика їхнього «маркування», тобто усвідомлене називання своїх почуттів, допомагає сприймати їх як тимчасові реакції та з’ясувати, що поставлено на карту. А далі — перейти від автоматичних відповідей до більш обдуманих та уважних.
Наприклад, вам надійшов лист: невідомий відправник стверджує, що ви завантажили шкідливе ПЗ, яке призвело до блокування важливих даних вашої організації, і вимагає викуп в обмін на швидке відновлення та конфіденційність.
У паніці можна швидко перерахувати кошти зловмисникам. Але тактика маркування емоцій передбачає інші дії. Подумайте, що ви відчуваєте. Страх, хвилювання? Як ці емоції можуть допомогти розв’язати проблему? Певно, що ніяк. То, може, краще звернутися по допомогу до IT-відділу та все з’ясувати? А чи завантажували ви взагалі якісь вкладення?
Влаштуйте невеличку перевірку
Шахраї швидко «зливаються», коли потенційні жертви починають ставити їм незручні запитання.
У липні 2024 року керівник компанії Ferrari NV несподівано отримав серію повідомлень у WhatsApp, нібито від CEO Ferrari Бенедетто Віньї. Топменеджер запитував, чи чув співробітник про нове велике придбання компанії. Фото профілю відрізнялось від звичайного, але на ньому все ж був Бенедетто в діловому костюмі на тлі лого Ferrari.
«Будь готовий підписати угоду про нерозголошення, яку адвокат надішле найближчим часом, — йшлося в одному з повідомлень. — Італійський регулятор ринку та міланська біржа вже повідомлені».
Незабаром керівник Ferrari отримав дзвінок від «Віньї» з проханням обговорити «конфіденційне» питання, пов'язане з угодою. Голос був настільки схожий, що навіть мав характерний італійський акцент топменеджера. Проте співробітник почав помічати в голосі неприродні інтонації, що викликало підозру.
Щоби перевірити співрозмовника, він попросив так званого СEO нагадати назву книги, яку той нещодавно рекомендував (це була Decalogue of Complexity Альберто Феліче Де Тоні). Дзвінок миттєво обірвався. А Ferrari негайно розпочала внутрішнє розслідування.
Бажаєте отримувати дайджест статей?
