«Частота фишинга — не просто статистика, которую можно загуглить. Это показатель того, насколько изменилась сама модель атаки: от редких, примитивных рассылок до постоянного, высокотехнологичного фона, адаптирующегося под каждую уязвимость — техническую или человеческую.»
Фишинг сегодня: не «сколько раз», а «какой поток»
Разговор о частоте фишинговых атак бессмыслен без понимания их эволюции. Счет давно идет не на единичные случаи в день или неделю. Современный фишинг, это непрерывный, автоматизированный поток. Глобальные системы почтовых фильтров ежедневно блокируют десятки миллиардов попыток. В российской ИТ-среде, ориентированной на внутренние сервисы и импортонезависимость, картина не менее напряженная. Атаки на корпоративную почту, корпоративные мессенджеры и служебные порталы стали рутинным явлением.
Ключевой сдвиг — в целях. Раньше фишинг был массовым и безадресным, словно сеть, заброшенная в надежде поймать кого угодно. Сегодняшние атаки тоньше. Они используют данные из утечек, информацию из соцсетей, детали рабочих процессов конкретной организации. Частота здесь означает не количество одинаковых писем, а плотность адаптированных под разные цели атак в рамках одной кампании.
Как меняется «пульс» атаки в зависимости от триггера
Частота непостоянна. Она резко возрастает в связи с внешними событиями, создавая так называемые «фишинговые волны».
Сезонные и событийные пики
Очевидные триггеры — отчетные периоды (конец квартала, сдача деклараций), когда сотрудники финансовых отделов ожидают документооборота и менее критично проверяют вложения. Другой классический пример — массовый переход на удаленную работу, когда резко возрастает спрос на якобы «корпоративные VPN-клиенты» или «обновления для системы безопасности».
Использование информационного фона
Более изощренный подход — привязка к новостной повестке. Внедрение нового регуляторного требования (например, обновление методик ФСТЭК) может спровоцировать волну писем от имени «подрядчика по аттестации» с вредоносными «методическими рекомендациями». Обновление популярного корпоративного ПО или объявление о смене сервис-провайдера — идеальный повод для фишингового письма с ссылкой на «установку критического обновления» или «подтверждение учетных данных».
В российском контексте это особенно актуально в свете импортозамещения. Атаки могут маскироваться под письма от вендоров-заменителей, предложения о «миграции данных» или уведомления о «блокировке иностранного ПО».
Метрики: что считать и как интерпретировать
Говоря о частоте, важно определиться с метрикой. Разные подходы дают разную картину.
- Количество заблокированных писем. Цифра гигантская, но малоинформативная. Она говорит об объеме спама, но не о качестве атак. Большинство из них отсекаются базовыми фильтрами.
- Количество писем, дошедших до почтовых ящиков. Более важный показатель. Он отражает эффективность первичной защиты и сложность атак, сумевших обойти стандартные фильтры.
- Количество кликов по фишинговым ссылкам. Ключевая метрика для оценки риска. Показывает, насколько уязвим персонал. Даже одна успешная атака в квартал может привести к катастрофическим последствиям, сводя на нет статистику в миллионы заблокированных писем.
- Время отклика (Time-to-Click). Продвинутая метрика. Измеряет, как быстро после получения письма сотрудник совершает опасное действие. Короткое время говорит о высоком уровне доверия и эффективности социальной инженерии в атаке.
Влияние регуляторики 152-ФЗ и ФСТЭК
Требования российского законодательства в области защиты информации напрямую влияют на логику и частоту атак, а также на подходы к их измерению.
152-ФЗ обязывает операторов персональных данных обеспечивать их безопасность. Для злоумышленника это делает сотрудников, работающих с персональными данными, приоритетной мишенью. Фишинг, направленный на получение доступа к базам персональных данных, становится высокоценной атакой, которую готовят тщательнее, а значит, ее «частота» в классическом массовом понимании может быть низкой, но вероятность успеха — выше.
Требования ФСТЭК, особенно в рамках аттестации объектов информационной инфра-nструктуры (ОИИ), задают рамки для защиты. Злоумышленник может использовать это знание. Например, атака может имитировать письмо от «аккредитованного центра аттестации» с запросом на уточнение конфигурации или с предложением «обязательного предварительного аудита». Частота таких целевых атак возрастает в периоды, когда организации активно проходят процедуры соответствия.
Косвенно регуляторика увеличивает частоту внутреннего мониторинга и тестирования. Многие компании под влияствием требований ФСТЭК внедряют регулярные кампании по проверке осведомленности сотрудников, включая внутренний фишинг. Таким образом, «частота» фишинговых событий для сотрудника складывается из внешних атак и внутренних учебных симуляций.
Технологии как множитель частоты
Автоматизация и доступность инструментов превратили создание фишинговых кампаний из удела экспертов в услугу (Phishing-as-a-Service). Это радикально увеличило частоту.
- Генераторы фишинговых страниц и писем позволяют создавать тысячи уникальных вариантов за минуты, обходя простые сигнатурные фильтры.
- Сервисы для обхода двухфакторной аутентификации (2FA), например, через MitM-прокси, делают атаки эффективнее, что стимулирует злоумышленников проводить их чаще.
- Использование легитимных облачных сервисов для хранения вредоносных нагрузок или как точки редиреккта усложняет блокировку и позволяет дольше поддерживать активность одной кампании.
В ответ технологии защиты тоже эволюционируют: почтовые шлюзы используют машинное обучение для анализа поведения и контекста, а не только сигнатур; системы мониторинга трафика и конечных точек (EDR) ищут аномалии уже после потенциального успеха фишинга.
Что делать с этой частотой: практические шаги
Понимание, что фишинг, это постоянный фон, а не редкие инциденты, меняет подход к защите.
- Сместить фокус с абсолютной блокировки на сокращение времени реагирования. Признать, что часть атак будет достигать inbox. Ключевым становится быстрое выявление скомпрометированных учетных записей и блокировка фишинговых кампаний по первым признакам успеха.
- Внедрить регулярное, вариативное обучение. Разовые лекции не работают. Нужны симуляции, максимально приближенные к реальным целевым атакам, с учетом специфики бизнеса и должности сотрудника. Анализировать не только факт клика, но и время отклика.
- Технически затруднить успех атаки. Обязательное использование многофакторной аутентификации (МФА) везде, где это возможно, особенно для доступа к критичным системам. Применение решений класса CASB для контроля за действиями в облачных сервисах, куда могут быть перенаправлены данные.
- Настроить мониторинг по метрикам, а не по инцидентам. Отслеживать не просто «был фишинг», а процент писем, дошедших до ящиков, процент кликов, среднее время отклика. Эти тренды дадут больше информации, чем единичные факты.
- Учитывать регуляторный контекст. При построении модели угроз в рамках выполнения требований ФСТЭК выделить фишинг не как отдельную угрозу, а как основной вектор реализации многих других угроз (утечка, несанкционированный доступ). План реагирования на инциденты ИБ должен включать четкий сценарий на случай успешной фишинговой атаки.
Частота фишинговых атак, это не абстрактное число для отчета. Это показатель давления, которое испытывает периметр безопасности, все больше состоящий из людей. Эффективная защита строится не на иллюзии полной блокировки, а на управлении рисками в условиях этого постоянного потока, где ключевую роль играют скорость обнаружения, обученная настороженность и технические меры, усложняющие жизнь злоумышленнику даже после того, как первая линия защиты пала.