Цель модуля
Научить работника распознавать признаки обманного письма, не поддаваться давлению срочности и правильно проверять подозрительные сообщения перед любыми действиями.
Как устроено обманное письмо
Обманное письмо всегда опирается на доверие: оно приходит от имени руководителя, коллеги, заказчика или известной службы. Отправитель рассчитывает, что получатель узнает имя, увидит привычный логотип и выполнит просьбу, не проверяя её.
Современные письма не содержат ошибок, которые легко заметить, и часто точно повторяют оформление настоящих уведомлений. Поэтому проверять нужно не оформление, а адрес отправителя, ссылку и смысл просьбы.
Признаки, требующие внимания
- адрес отправителя не совпадает с официальным доменом компании или отличается на одну-две буквы;
- просьба срочная и требует обойти обычный порядок: «сегодня», «прямо сейчас», «только между нами»;
- просят открыть вложение, перейти по ссылке, ввести пароль или сообщить код;
- ссылка ведёт на адрес, не связанный с указанным в письме именем отправителя;
- письмо приходит в необычное время или в ответ на обсуждение, которого вы не начинали;
- просят сохранить сведения, которых у отправителя быть не должно.
Приёмы давления на получателя
| Приём | Как выглядит | Что делать |
|---|---|---|
| Срочность | «Ответьте в течение часа, иначе договор будет расторгнут» | Не спешить: настоящая задача не решается за счёт обхода правил |
| Страх | «Ваша учётная запись будет заблокирована» | Проверить через официальный канал, а не по ссылке из письма |
| Уважение к старшему | «Пишу с личной почты, поручение руководителя» | Подтвердить поручение у руководителя по известному вам каналу |
| Выгода | «Ваша премия задерживается, уточните реквизиты» | Не сообщать платёжные сведения в ответ на письмо |
| Проверка данных | «Обновление системы учёта, подтвердите пароль» | Не вводить пароль по ссылке; службы так не поступают |
Порядок проверки
- Проверьте адрес отправителя полностью, а не только отображаемое имя.
- Не переходите по ссылке: откройте нужный сервис из закладки или наберите адрес вручную.
- Наведите указатель на ссылку и сравните фактический адрес с ожидаемым.
- Уточните просьбу у отправителя через известный вам канал связи, не отвечая на письмо.
- Сообщите о подозрительном письме в службу информационной безопасности.
Если ссылка уже открыта
- Немедленно закройте страницу и не вводите никаких данных.
- Если ввод данных уже произошёл, сообщите в службу информационной безопасности немедленно.
- Замените пароль от сервиса, к которому относилась страница, и включите дополнительный фактор.
- Не пытайтесь «отменить» ввод самостоятельно, удаляя историю браузера: это уничтожает следы.
- Не пересылайте подозрительное письмо коллегам для обсуждения: так увеличивается круг риска.
Проверочный список перед выходом на работу
- Адрес отправителя проверяется полностью, а не по отображаемому имени.
- Ссылки открываются вручную через закладку или набор адреса.
- Срочные просьбы подтверждаются по известному каналу связи.
- Пароли и одноразовые коды не вводятся по ссылкам из письма.
- О подозрительном письме сообщается в службу информационной безопасности.
- Загруженные из письма вложения не открываются.
Вопросы для самопроверки
- Что проверять в обманном письме в первую очередь? Полный адрес отправителя, фактический адрес ссылки и смысл просьбы — оформление копируется безупречно.
- Коллега просит срочно перевести средства по ссылке из письма. Ваши действия? Подтвердить просьбу по известному каналу связи: такие просьбы часто рассылаются от имени коллег.
- Почему нельзя пересылать подозрительное письмо коллегам для обсуждения? Это расширяет круг риска: письмо попадает к тем, кто может по невнимательности перейти по ссылке.
Основание и что делать при сомнении
Модуль опирается на: Приказ ФСТЭК России от 11.02.2013 № 17, ГОСТ Р 56939-2016.
Если ситуация не описана в модуле и вы не уверены в правильном действии, не принимайте решение самостоятельно: обратитесь к руководителю и в службу информационной безопасности до того, как выполнить операцию с данными или доступами.