Пятница, начало рабочего дня. Бухгалтер небольшой фирмы Ирина открывает почту и видит письмо от директора: поставщик упаковки сменил банк, счёт во вложении, оплатить нужно сегодня, иначе машина не уедет со склада. В письме две строки, подпись и приписка «я на совещании, звонить не надо, просто проведи платёж».

Ирина открывает вложение. Обычный счёт: логотип поставщика, знакомые позиции, сумма примерно та, которую и ждали. Новое только внизу, в банковских реквизитах. Она вспоминает, что регламент требует сверять реквизиты с договором, но договор лежит в папке, поставщик настоящий, а директор просит не тянуть. Через полчаса платёж уходит, и Ирина отвечает на письмо коротким «оплатила».

Через неделю поставщик звонит и спрашивает, когда будет оплата. Деньги ушли в другой банк, на счёт другой организации, и к этому моменту их уже несколько раз перевели дальше. История собирательная: фирма, имена и суммы вымышлены, но порядок шагов типичен — такие письма приходят каждый день и находят одну и ту же щель.

Разбирать этот случай интересно не тем, что бухгалтер не заметила подделку. Заметить её было почти невозможно: письмо аккуратное, повод настоящий, срок короткий. Интересно другое — решение об оплате было принято раньше, чем Ирина начала проверять. И это уже не про внимательность одного человека, а про то, как устроена процедура принятия решений и почему фишинг ломает именно её.

Письмо, к которому не было вопросов

Начнём с самого письма, потому что в разборах его обычно изображают грубым: кривые ошибки, странный адрес, требование прислать пароль. Настоящие письма, которые доходят до платежа, выглядят иначе. Они короткие, вежливые и написаны так, как пишет занятой руководитель: без приветствия, с одним распоряжением и ссылкой на обстоятельства.

Адрес отправителя отличался от настоящего одной буквой. В домене стоял похожий символ, и в спешке глаз не сравнивает буквы, а узнаёт общий вид: имя директора, знакомая контора, правильная подпись с рабочим телефоном. Внизу письма была цитата из прошлой переписки — с настоящими датами и настоящими темами. Такое письмо не читают, его просматривают, а просмотр не выявляет подмены.

Счёт был сделан ещё аккуратнее. В нём стояли те позиции, которые фирма действительно заказывала, и сумма, не вызывающая удивления. Единственная странность — новые реквизиты — выглядела частью нормальной деловой жизни: поставщики правда меняют банки, присылают новые карточки, просят обновить данные. Именно поэтому смена реквизитов — любимый приём тех, кто охотится за платежами: это событие, которое должно настораживать и при этом легко объясняется.

Был и второй сигнал, который Ирина почувствовала, но не успела сформулировать. В фирме существовал регламент: платежи выше определённой суммы проводит второй человек, а смену реквизитов подтверждают звонком. Правило занимало одну страницу, было подписано директором и лежало в общей папке. Проблема была не в его отсутствии, а в том, что у правила имелись исключения, и почти все они начинались со слов «директор просит».

Дальше произошло то, что происходит в большинстве таких историй. Ирина открыла клиент-банк, перенесла данные из счёта, проверила сумму и отправила платёж. Пришло подтверждение, через десять минут — короткое «спасибо» от директора. Для неё история закончилась, хотя на самом деле только началась. И чтобы понять, почему платёж оказался возможен в фирме с регламентом, нужно смотреть не на письмо, а на условия, в которых человек принимает решение.

Почему авторитет и срочность работают вместе

Про авторитет принято говорить уклончиво: мол, люди боятся начальства. Дело не в страхе, а в экономии усилий. Когда распоряжение приходит сверху, решение как будто уже принято за нас: остаётся исполнение, а не оценка. Проверять просьбу руководителя неловко, потому что проверка означает недоверие, а недоверие в коллективе стоит дорого. Проще поверить, чем объяснять, почему ты сомневаешься.

Срочность делает то же самое, только быстрее. Срок сужает поле зрения: человек перестаёт спрашивать «правда ли это» и начинает спрашивать «как успеть». Пока срок давит, проверка кажется роскошью, а любая задержка — реальным убытком, который можно потрогать. Риск ошибки при этом не исчезает, он просто становится невидимым, потому что проявится позже и не обязательно сегодня.

Порознь эти две силы не так опасны. Авторитет без срока оставляет время на звонок, срочность без авторитета заставляет насторожиться. Опасность в том, что они складываются: авторитет говорит «это законно», срочность говорит «проверять некогда», и вместе они закрывают тот самый вопрос, который должен был возникнуть первым.

Третья часть механизма — привычка. Регламент в фирме был, но жил он странно: обычные платежи шли через вторую подпись, а срочные, по просьбе директора, проводили без неё. Исключение было удобным, экономило время и никого не подводило. Проблема в том, что сотрудники осваивают исключение быстрее правила: правило применяется редко и требует усилия, исключение — часто и не требует ничего. Постепенно исключение становится нормой, а норма — формальностью для аудита.

Самое простое объяснение звучит так: бухгалтер была невнимательна. Оно удобно, потому что указывает на человека, а не на порядок работы, и не требует ничего менять. Но оно ничего не объясняет: та же Ирина пересчитывает копейки в мелких платежах и замечает ошибку в чужом акте. Внимательность не выключается по команде, она зависит от условий, и процедуры придуманы именно потому, что внимание — ресурс, а не свойство характера.

Отсюда неприятный вывод. Система, которая держится на бдительности, ломается при первом же сочетании авторитета и срока. А чтобы понять, как именно её сломали в этот раз, нужно посмотреть на письмо с другой стороны — со стороны того, кто его отправлял.

Где пряталась подмена

Письмо не было подделкой в привычном смысле. Оно действительно пришло с того домена, который стоял в адресе, и это важно: технические проверки подлинности отправителя, которые настраивают в почтовых системах, такое письмо пропускают. Их задача — убедиться, что письмо отправлено с домена, указанного в адресе, а не с чужого сервера. Здесь домен был настоящим, только принадлежал он не фирме, а тому, кто писал: его зарегистрировали за несколько дней до отправки, специально под эту атаку.

Домен-двойник — дешёвая и точная вещь. Достаточно купить имя, отличающееся одной буквой, настроить его как положено, и письмо пройдёт все проверки: оно настоящее, оно отправлено с собственного сервера, у него правильные подписи. Обманутым оказывается не почтовый протокол, а человек, который узнаёт знакомый адрес по общему виду. Технические средства тут бессильны: они отвечают на вопрос «тот ли это домен», а не «та ли это просьба».

Счёт тоже был собран из настоящих деталей. Позиции, количество, порядок строк, оформление — всё соответствовало тому, что фирма получала раньше. Скорее всего, исходный документ взяли из переписки, которую успели прочитать, и заменили в нём только банковские данные. Поэтому при беглом взгляде счёт не отличался от прежних: отличие было ровно там, куда в спешке не смотрят.

Обнаружилось всё случайно и поздно. Поставщик позвонил сам, потому что оплата не пришла, и Ирина отправила ему платёжку. Дальше разговор пошёл по неприятному сценарию: в фирме-получателе никогда не слышали о поставщике, у настоящего поставщика банк другой, и смены реквизитов не было. Банк подтвердил, что платёж исполнен по указанным реквизитам, деньги ушли на счёт в другом банке и дальше по цепочке. Заявление в полицию написали в тот же день, но вернуть перевод удаётся редко: к моменту обнаружения деньги обычно уже двигаются дальше.

На внутреннем разборе выяснилось то, что и должно было выясниться. Платёж прошёл без второй подписи, потому что попал в категорию срочных. Никто не позвонил директору, потому что в письме была приписка «не звонить». И никто не позвонил поставщику, потому что его реквизиты «подтвердил» директор. Каждый шаг по отдельности выглядел разумным, а вместе они образовали коридор, в котором не осталось ни одной точки, где решение можно было бы остановить.

Что могло остановить перевод

Самая дешёвая проверка выглядит почти неприлично просто: позвонить. Не ответить на письмо, не написать в чат, а набрать номер из справочника — директора, поставщика, любого человека, чьё имя стоит в письме. Звонок занимает пару минут и разрушает всю конструкцию, потому что она держится на одном допущении: проверять будет некогда и неловко. Настоящий директор в трубке быстро расставляет всё по местам, и просьба, которая минуту назад казалась срочной, теряет силу.

Работает это только при одном условии: номер берут из проверенного источника, а не из письма. В подписи был указан настоящий телефон директора, но мошенники умеют ставить и свои номера. Поэтому в фирме нужен отдельный список контактов и правило: смену реквизитов подтверждают звонком по номеру из него, а не из счёта.

Вторая мера — лимит и вторая подпись. Не «крупные платежи согласовываем», а конкретный порог, выше которого платёж физически не уходит без второго человека. Смысл не в том, чтобы поймать мошенника, а в том, чтобы ему пришлось обмануть двоих, и чтобы цена ошибки ограничивалась суммой ниже порога. Лимит работает ровно до тех пор, пока его нельзя обойти одним сообщением от руководителя: если можно, это не лимит, а пожелание.

Третья мера — сверка реквизитов как отдельная процедура. Смена банка — событие, а не строчка в счёте: его подтверждают по договору, по карточке контрагента, по звонку, и только потом обновляют в справочнике. Полезно смотреть на имя получателя: если в счёте другой банк и другая организация, а платёж по новому адресу — первый, это не мелочь, которую можно пропустить, а сигнал остановиться.

Три проверки — звонок, лимит и сверка — закрывают сам платёж. Но они работают только тогда, когда человек знает, зачем это нужно, и не боится остановиться. Поэтому к ним добавляются две вещи, которые проверками не являются, хотя без них первые три быстро превращаются в формальность.

Первая — обучение, но не в виде лекции раз в год. Работает короткий и регулярный разбор на своих примерах: какие письма приходили, что в них было странного, что сделали правильно. Люди узнают шаблон — смена реквизитов, срочность, просьба не звонить, — и, что важнее, получают разрешение остановиться. Без этого разрешения знание остаётся теорией: сотрудник видит признак, но не рискует задержать платёж.

Вторая — тестовые рассылки. Они тренируют привычку смотреть на отправителя и проверять необычные просьбы, но у них есть побочный эффект. Если за клик по тестовому письму следует наказание, люди начинают скрывать клики, а вместе с ними — и настоящие подозрительные письма. Поэтому в тестовой рассылке измеряют не число кликнувших, а число тех, кто сообщил о письме: тренировка должна заканчиваться разбором, а не разборкой.

По отдельности каждая мера обходится. Звонок можно пропустить, если очень спешишь, лимит — продавить, если очень просят, обучение — забыть через месяц, тест — провалить молча. Вместе они образуют то, чего не хватало в этой истории: несколько независимых точек, где решение можно остановить. И одна из них сработала бы обязательно, потому что у мошенника не было времени на все сразу.

Почему одного разбора мало

После инцидента в фирме провели собрание, написали памятку и попросили всех быть внимательнее. Через месяц никто уже не помнил, о чём была памятка, а сотрудник, принятый уже после, о ней вообще не слышал. Так происходит почти всегда: событие помнят, вывод из него — нет, потому что вывод живёт в документе, а не в порядке работы.

Порядок меняется только тогда, когда у процедуры появляется владелец и у неё не остаётся исключений. Владелец — конкретный человек, который отвечает за то, чтобы смена реквизитов всегда подтверждалась звонком, а лимит не обходился «по-дружески». Исключения — главное, что нужно убрать: правило «подтверждаем всё, кроме случаев, когда директор просит» не работает, потому что мошенник как раз и приходит в облике директора.

Возражение звучит предсказуемо: это замедлит работу, у нас каждый день срочные платежи. Но сравнение нечестное. Звонок занимает минуты, а разбирательство после перевода длится недели, и деньги за это время обычно не возвращаются. Платёж, который задержался на час, стоит одного разговора с поставщиком, а платёж, ушедший не туда, стоит всей суммы и доверия внутри фирмы.

Второе возражение ещё коварнее: у нас маленький коллектив, все друг друга знают, у нас так не бывает. Именно в маленьком коллективе авторитет действует сильнее всего, а процедуры заменяются доверием. Когда все знают друг друга, письмо от «директора» не вызывает подозрений по определению, и исключения появляются сами собой, без злого умысла.

Проверить, изменилось ли что-то, можно простым вопросом: если завтра придёт похожее письмо, сможет ли бухгалтер остановить платёж, не спрашивая разрешения, и получит ли она за это благодарность, а не выговор. Пока ответ отрицательный, фирма защищена не процедурой, а везением. И ещё один признак: сообщают ли сотрудники о странных письмах добровольно. Если первая реакция руководителя — «как ты могла это открыть», следующее письмо никто не покажет.

Главная мысль

Фишинг не взламывает банк и не ломает программу. Он находит место, где решение принимается быстро, единолично и без свидетелей, и подставляет туда готовый ответ. В этой истории таким местом оказался платёж по просьбе руководителя: авторитет снял вопрос о законности, срочность — вопрос о проверке, привычка обходить регламент убрала последнюю преграду.

Поэтому защита от подобных писем — это не бдительность и не «усиление контроля», а короткая процедура с понятными исключениями, которых нет. Подтверждение по другому каналу, лимит со второй подписью, сверка реквизитов и разрешение остановиться — скучные вещи, которые работают именно потому, что не зависят от того, насколько внимателен человек в конкретное утро. Их ценность не в хитрости, а в том, что они срабатывают, когда человек устал, торопится и не хочет выглядеть подозрительным.

Настоящая проверка зрелости звучит не «сколько подозрительных писем мы поймали», а «можем ли мы остановить платёж одним звонком и не нужно ли для этого чьего-то разрешения». Пока ответ утвердительный, у мошенника остаётся только один путь — обмануть сразу всех, а это заметно труднее, чем обмануть одного уставшего человека. Если же ответ отрицательный, памятка уже не поможет: она описывает правильные действия, которые в нужный момент некому выполнить.

Что делать дальше

  • Разберитесь, как устроен фишинг и что делать при подозрительном письме, в статье «Пароли и фишинг».
  • Посмотрите, как выстроить порядок действий с нуля, в разделе «С чего начать».
  • Уточните незнакомые слова — например, домен-двойник и подделка отправителя — в словаре.