«Угрозы прячутся там, где их не ждут — в безобидном файле от коллеги. Техническая подоплёка «случайно» выданного доступа, это не про вредоносный код, а про уязвимые протоколы и доверенное окружение, которое умеют обманывать.»
Механизм атаки: не файл, а ссылка
Обычно такие инциденты возникают, когда «файл», это на самом деле ссылка. Типичный сценарий: в мессенджере или почтовом клиенте появляется сообщение от знакомого контакта со вложением. Оно выглядит как документ — договор, справка, презентация. Пользователь кликает, и вместо ожидаемого PDF или DOCX открывается веб-страница браузера, часто замаскированная под интерфейс облачного сервиса.
Жертве предлагают «войти в аккаунт» или «подтвердить права доступа» для просмотра содержимого. Мотив кажется логичным: документ якобы хранится на защищённом корпоративном SharePoint или в Яндекс Диске. Пользователь, спеша открыть «важный файл», вводит свои корпоративные учётные данные (логин и пароль) на фишинговой странице. Злоумышленник моментально их перехватывает.
Что происходит после компрометации аккаунта
Получив учётные данные, злоумышленник получает ключ от корпоративной переписки. Но доступ к почте или мессенджеру — лишь первый шаг. Второй, более опасный, — получение токенов доступа (OAuth, OpenID Connect), которые многие приложения используют для авторизации.
Когда вы входите в почту через браузер, сервис часто создаёт долгоживущий токен сессии. Завладев им, атакующий может подделывать запросы к API почтового сервиса, не зная пароля. Он получает функционал, аналогичный работе через официальный почтовый клиент: чтение, пересылка, удаление писем, доступ к списку контактов.
Эскалация через доступ к чатам
Корпоративные мессенджеры часто интегрированы с другими системами. Например, правами на управление общими чатами или каналами. Если компрометированный аккаунт обладает правами администратора в групповом чате, злоумышленник может:
- Добавить в чат своих ботов или сторонних участников, получив доступ ко всей истории сообщений.
- Экспортировать или переслать историю переписки.
- Изменить настройки чата, отключив уведомления для остальных участников о новых членах.
Технические предпосылки: почему это работает
Успех атаки строится на нескольких уязвимостях, большая часть которых — человеческие и организационные.
1. Отсутствие двухфакторной аутентификации (2FA) или её слабая реализация. Фишинг часто проходит там, где для доступа к почте достаточно одного пароля. Даже если 2FA есть, существуют методы её обхода — от фишинговых прокси до атак типа «человек посередине» (AiTM), которые перехватывают коды подтверждения в реальном времени.
2. Доверие к внутренним коммуникациям. Пользователи менее подозрительны к сообщениям от коллег. Злоумышленник может предварительно взломать аккаунт одного сотрудника и рассылать фишинг от его имени, многократно повышая доверие.
3. Сложные разрешения в совместных документах. В облачных офисных пакетах (российские аналоги MS Office 365) легко запутаться в настройках доступа к файлу. Можно отправить не сам файл, а ссылку с правами «редактирования», что открывает не только просмотр документа, но и, в некоторых случаях, доступ к метаданным, истории изменений и комментариям, где могут быть чувствительные данные.
4. Безопасность почтовых и мессенджер-клиентов. Некоторые почтовые клиенты автоматически загружают и даже предпросматривают содержимое ссылок в письмах, что может привести к автоматическому выполнению скрипта. Устаревшие версии клиентов могут иметь уязвимости в обработчиках URI-схем, позволяющие запускать сторонние приложения.
Как обнаружить и предотвратить инцидент
После компрометации важно действовать быстро. Сигналы утечки: необычная активность в аккаунте (входы с новых IP-адресов или устройств, массовая рассылка писем, подозрительные изменения в настройках чатов).
Немедленные действия
- Смена пароля и отзыв всех активных сессий и токенов доступа (OAuth) в настройках безопасности почтового сервиса или мессенджера.
- Проверка правил фильтрации входящих и исходящих писем, которые злоумышленник мог установить для пересылки корреспонденции.
- Аудит списка участников в общих чатах и каналах, удаление подозрительных аккаунтов или ботов.
- Опрос коллег на предмет получения подозрительных сообщений от взломанного аккаунта.
Профилактические меры
- Обязательная 2FA для всех корпоративных аккаунтов, используя аппаратные ключи или проверенные приложения-аутентификаторы. СМС-коды — менее безопасный вариант.
- Сервисы для безопасной передачи файлов. Использование выделенных решений со строгой аутентификацией и журналированием скачиваний вместо пересылки файлов напрямую через мессенджер.
- Политики DLP. Внедрение систем предотвращения утечек данных, способных заблокировать отправку в сообщениях определенных типов данных (например, баз данных клиентов) или массовую пересылку вложений.
- Регулярный тренинг пользователей. Обучение сотрудников распознаванию фишинговых атак, правилам работы с вложениями и ссылками. Важно объяснять разницу между настоящим файлом и ссылкой на него.
- Принцип наименьших привилегий. Административные права в чатах и группах только у необходимого минимума сотрудников.
Этот сценарий показывает, как техническая хитрость использует привычные рабочие процессы против защищённости. Безопасность переписки начинается не с антивируса, а с понимания, что файл от коллеги может быть не тем, чем кажется, а каждая ссылка требует осмысленного действия, а бездумного клика.