«Утечка корпоративной почты, это не просто спам в ваш личный ящик. Это сигнал о том, что ваша компания попала в прицел. Злоумышленники используют слитые адреса не для массовых рассылок, а для точечных атак, построенных на знании внутренней кухни. Они атакуют не инфраструктуру, а социальные связи внутри организации, и это работает там, где традиционные средства защиты бессильны.»
От утечки к доверенному домену: как выглядит атака
Сценарий начинается с банального слива данных. Списки почтовых адресов и паролей от старых или слабо защищённых сервисов оказываются в открытом доступе. Автоматизированные системы сортируют эти данные, но цель — не массовый фишинг.
Ценность представляют именно корпоративные адреса. Адрес в домене компании, это не просто контакт, это идентификатор, встроенный во внутренние процессы доверия. Его наличие в утечке переводит атаку из категории «шумовой» в категорию «целевой».
Механика выглядит так:
- Сбор и фильтрация: Из слитой базы извлекаются адреса с целевыми доменами. Процесс автоматизирован: скрипты ищут шаблоны вроде *@company.ru.
- Верификация и обогащение: Старые данные сверяются с открытыми источниками: профилями в профессиональных сетях, упоминаниями в корпоративных новостях, списками участников конференций. Цель — подтвердить, что человек всё ещё работает в компании и понять его роль.
- Разработка легенды: Формируется правдоподобный сценарий, использующий внутренний контекст. Типичные варианты:
- «Я новый сотрудник в отделе аналитики. Не могу найти шаблон отчёта в Confluence, скиньте, пожалуйста, ссылку.»
- «У меня не открывается файл по проекту «Север-2» с общего диска. Можете переслать его на мой личный ящик, корпоративная почта глючит?»
- «Для согласования договора с юристами нужна последняя версия презентации. Срочно, к совещанию.»
- Исполнение: Письмо отправляется с адреса, имитирующего корпоративный (spoofing), или с левого ящика, но с идеально подобранным текстом. Ключ — использование реальных имён, номеров проектов, имён руководителей и внутреннего сленга.
Главное — злоумышленнику не нужен доступ к сети компании. Ему достаточно информации, которая уже есть снаружи: структура, имена, жаргон. Эта «открытая разведка» делает атаку невидимой для систем защиты, сфокусированных на вредоносном коде или аномальном трафике.
Почему это работает: психология и процессы
Эффективность метода основана на эксплуатации устоявшихся корпоративных норм и когнитивных искажений.
Автоматизм доверия к внутреннему контексту
В крупной организации сотрудник физически не знает всех коллег. Верификация происходит по косвенным признакам: упоминание общего проекта, правильное название отдела, имя непосредственного руководителя. Мозг воспринимает эти детали как маркеры «своего», отключая критическую оценку. Запрос на простое действие (переслать файл, дать ссылку) в этом контексте выглядит как часть рабочего потока, а не как угроза.
Провал в регламентах безопасности
Политики информационной безопасности обычно чётко прописывают, как передавать пароли или конфиденциальные документы. Но они молчат о передаче «обычного» рабочего файла или ссылки на внутренний ресурс коллеге. Эта процедурная брешь — основной вектор. Злоумышленник намеренно действует в этой серой зоне, где нет правил, а есть только человеческая договорённость.
Социальное давление и норма вежливости
Корпоративная культура часто поощряет отзывчивость. Игнорирование просьбы коллеги, особенно под предлогом срочности, может восприниматься как саботаж или неуважение. Это создаёт микростресс, который человек стремится снять самым быстрым способом — выполнить просьбу, не вдаваясь в проверки. Упоминание дедлайна или руководства многократно усиливает этот эффект.
Цели атаки: что стоит за простой просьбой
Запрос переслать документ — редко конечная цель. Это первый шаг в цепочке, ведущей к серьёзному инциденту.
- Картографирование инфраструктуры: Полученный файл содержит метаданные: имена авторов, пути к сетевым папкам, версии ПО. Ссылка на внутренний портал раскрывает используемые системы (например, Bitrix24 или «МойСклад»). Это позволяет построить точную карту для следующей, более глубокой атаки.
- Кража учётных данных: «Ссылка на портал» ведёт на фишинговую страницу, клонирующую корпоративный логин. Доверие к отправителю резко повышает вероятность ввода логина и пароля.
- Запуск цепочки компрометации: Получив доступ к почте одного сотрудника, злоумышленник рассылает письма от его имени. Доверие к таким сообщениям внутри компании на порядок выше. Так можно распространить вредоносное вложение или запросить доступы у системных администраторов.
- Прямой слив данных: Целенаправленный запрос конкретного документа, это часто прямая кража интеллектуальной собственности: чертежей, финансовых моделей, планов разработки.
Как защититься: от личных действий до корпоративных политик
Защита требует системного подхода, так как проблема лежит на стыке человеческого фактора и процессов.
Личная осознанность сотрудника
- Верификация вне канала запроса: Получив нестандартную просьбу, особенно с внешней почты или с просьбой отправить данные наружу, нужно подтвердить её через доверенный канал: корпоративный мессенджер, телефон, личный контакт. Фраза «Привет, перезвоню по твоему письму» должна стать рефлексом.
- Анализ адреса отправителя, а не имени: Почтовые клиенты показывают только «имя». Необходимо всегда раскрывать полный адрес и проверять домен на подмену символов (yandеx.ru вместо yandex.ru, где «е» — кириллическая).
- Контрольный вопрос: На странный, но не явно подозрительный запрос стоит задать встречный вопрос, требующий знания непубличных деталей: «Какой инвентарный номер у твоего ноутбука в системе?» или «В каком чате канала #project мы это обсуждали вчера?».
Организационные меры
- Формирование новой нормы: Нужно легитимизировать практику повторной проверки. Не «мы друг другу не доверяем», а «у нас принято перезванивать для подтверждения важных действий». Внедрять это через регулярные короткие тренировки с реалистичными симуляциями.
- Технический контроль коммуникаций:
- Настроить DMARC, DKIM и SPF для своего домена, чтобы затруднить спуфинг.
- Внедрить почтовые шлюзы с анализом контекста: письмо с внешнего адреса, но содержащее внутренние имена сотрудников и термины, должно маркироваться как подозрительное.
- Использовать решения для контроля утечек данных (DLP), которые могут блокировать отправку файлов с определёнными метаданными или ключевыми словами на внешние адреса.
- Чёткие правила для «серой зоны»: Разработать и довести простой регламент: «Любой запрос на передачу рабочей информации (файл, ссылка, данные) на адрес вне домена @company.ru требует обязательного устного подтверждения». Создать безопасные альтернативы для обмена с внешними контрагентами (специальные порталы, защищённые облака).
- Проактивный мониторинг угроз: Подписаться на сервисы, отслеживающие появление корпоративных email и доменов в публичных утечках. Это позволяет не реагировать на инцидент, а предупреждать его, массово оповещая потенциально скомпрометированных сотрудников и временно повышая уровень бдительности.
Утечка корпоративной почты, это сигнал к действию, а не к смене пароля на стороннем сервисе. Это указание на то, что ваша организация стала мишенью для атаки, которая обходит технические периметры и бьёт в самую уязвимую точку — человеческие отношения внутри коллектива. Защита от неё требует не новых файрволов, а изменения корпоративной культуры, где разумная проверка становится не признаком недоверия, а стандартом профессионального взаимодействия.