Дослідження: чому класичний фішинг поступився місцем витонченим психологічним сценаріям

Ще кілька років тому фішинговий лист можна було впізнати за кострубатою мовою, підозрілим відправником і банальним закликом «терміново оновіть пароль». Сьогодні це явище суттєво видозмінилося. Захисні системи навчилися відбивати автоматизовані атаки настільки ефективно, що зловмисникам стало вигідніше й дешевше не зламувати код, а зламувати людину – її довіру, втому, страх або бажання допомогти. Кіберзлочинність стала точнішою: атаки вже не масові: вони персональні.

Згідно з результатами галузевих досліджень, елементи соціальної інженерії наявні у переважній більшості кібератак у світі, а людський фактор так чи інакше фігурує в основі більшості витоків даних. Це не статистична цікавинка – це діагноз галузі. Держспецзв’язку пояснює, чому класичний фішинг поступився місцем витонченим психологічним сценаріям, як сьогодні працюють зловмисники і що можна протиставити маніпуляції на рівні звичайної щоденної обачності.

Чому ми віримо обманщикам

В основі будь-якої соціоінженерної атаки лежить не технологія, а психологія. Зловмисник не намагається обійти файрвол – він намагається обійти критичне мислення конкретної людини, і робить це через кілька перевірених важелів.

Перший – авторитет. Повідомлення нібито надходить від керівника, банку, податкової служби чи служби безпеки, і сам статус відправника присипляє пильність. Другий – штучно створений дефіцит часу: жертву ставлять в умови, коли рішення треба ухвалити негайно, «інакше рахунок заблокують» або «доступ буде втрачено». Третій – звичайна людська готовність допомогти або скористатися вигодою: пропозиція гарної роботи, несподіваної премії чи прохання «підказати» щось колезі.

Спільний знаменник у всіх трьох випадках – стан жертви в момент атаки. Коли людина втомлена, поспішає або перебуває у стресі, її здатність до критичної оцінки різко падає. Саме в цю мить, а не в момент технічного зламу, і вирішується доля атаки.

Нове покоління сценаріїв

«Співбесіда мрії» як вектор компрометації

Один із найпоказовіших прикладів останнього часу – активність російського кластера кіберзагроз UAC-0145, пов’язаного з відомим угрупованням Sandworm (APT44). Зловмисники цілеспрямовано вивчають резюме українських системних адміністраторів та ІТ-фахівців на сайтах пошуку роботи, а потім вибудовують багатоетапну легенду.

Кандидату пропонують участь у міжнародному проєкті, спілкування переноситься в чат і Telegram, а згодом проводиться цілком реальна відеоспівбесіда в Zoom англійською мовою – з живим інтерв’юером на іншому кінці. Довіра сформована, і саме тоді надходить «тестове завдання»: для його виконання нібито потрібно підключитися до корпоративної мережі через VPN. Коли стандартне підключення закономірно видає помилку, кандидату люб’язно пропонують встановити модифікований клієнт – наприклад, під назвою «SopraVPN», усередині якого захований шкідливий код. Результат: зловмисники отримують контроль над робочою станцією фахівця, а через неї – доступ до систем компаній, де він працює чи планує працювати.

Голос і обличчя, яким більше не можна довіряти

Поява генеративного штучного інтелекту прибрала останній надійний маркер підробки – мовні помилки. Тексти шахраїв тепер бездоганні стилістично і граматично. Але більш тривожить інше: технологія синтезу голосу й відео вже дає змогу відтворювати конкретних людей у реальному часі.

Показовий приклад – інцидент у міжнародній компанії Arup, де співробітник фінансового відділу перевів шахраям понад 25 мільйонів доларів після групового відеодзвінка. Усі «керівники» і «колеги» на екрані виявилися дипфейками, згенерованими штучним інтелектом. Історія важлива не як курйоз, а як демонстрація того, що навіть побачити й почути співрозмовника на власні очі більше не є достатнім доказом його справжності.

Нестандартні канали атаки

Зловмисники дедалі активніше виходять за межі електронної пошти. Quishing – фішинг через QR-коди – змушує жертву сканувати шкідливе посилання власним смартфоном, де зазвичай немає корпоративних засобів захисту. Vishing, тобто голосовий фішинг, імітує дзвінок від служби підтримки чи банку і статистично дає зловмисникам вищий відсоток успіху, ніж класичний лист.

Окремо згадаємо виснаження багатофакторної автентифікації (MFA fatigue): якщо пароль користувача вже скомпрометований, зловмисник засипає його телефон push-запитами на підтвердження входу, часто вночі. Після кількох десятків сповіщень поспіль людина натискає «Схвалити» не тому, що повірила, а тому, що хоче, щоб сповіщення нарешті припинилися, – і цим відкриває двері в систему.

Українська специфіка: війна змінює мішені

В умовах повномасштабної війни соціальна інженерія набула для України особливої ваги. За останній рік команда CERT-UA зафіксувала подвоєння кількості фішингових інцидентів. Логіка ворожих груп змінилася: пряме «лобове» проникнення на сервери стає дедалі рідшим сценарієм, натомість пріоритетом стає здобуття довіри конкретних людей для прихованого кібершпигунства. Основними цілями залишаються органи державної влади, сили оборони, підприємства критичної інфраструктури та ІТ-сектор.

Що можна протиставити маніпуляції

Технічний захист залишається необхідною, але вже недостатньою умовою безпеки. Головний рубіж оборони сьогодні – усвідомлена поведінка кожної людини.

Особиста цифрова гігієна:

• Правило паузи. Якщо повідомлення чи дзвінок тисне на терміновість, лякає або обіцяє несподівану вигоду – це сигнал зупинитися. Поспіх завжди грає на боці зловмисника.
• Перевірка іншим каналом. Якщо «керівник» або «колега» у месенджері раптово просить переказати кошти, передати пароль чи змінити реквізити – зателефонуйте цій людині за відомим вам номером або зв’яжіться особисто, а не через той канал, звідки надійшло прохання.
• Обережність із тестовими завданнями та сторонніми утилітами. Не встановлюйте незнайомі VPN-клієнти, скрипти чи програми від малознайомих контактів, навіть якщо вони представляються потенційним роботодавцем.
• Пильність до QR-кодів із ненадійних джерел – листів, оголошень, флаєрів.

Для організацій та ІТ-підрозділів:

• Доступ до корпоративних ресурсів – лише з керованих пристроїв (managed devices) із налаштованими політиками безпеки і системами моніторингу кінцевих точок (EDR).
• Перехід на автентифікацію, стійку до фішингу: апаратні FIDO2-ключі або режим зіставлення чисел (number matching) замість простих push-підтверджень чи SMS-кодів.
• Культура без покарань за помилку. Співробітник, який перейшов за підозрілим посиланням чи ввів пароль на фальшивій сторінці, має повідомити про це негайно і без страху осуду. Саме швидкість реагування дає фахівцям безпеки шанс нейтралізувати загрозу до того, як зловмисники закріпляться в системі.

Кібербезпека перестала бути виключно питанням міжмережевих екранів і криптографічних алгоритмів. Її нова вимога – уважність, критичне мислення і звичка ставити під сумнів навіть те, що виглядає, звучить і поводиться цілком переконливо. Ці прості звички спроможні знешкодити навіть найбільш витончені сценарії ворожих маніпуляцій.

Нагадаємо, що в березні цього року ФБР вперше прямо звинуватила російські спецслужби у фішингових атаках через Signal.