Когда оружием становится переписка
Компрометация деловой переписки: письмо настоящее, учётная запись чужая, разбирает Илья Николаевич Завьялов
Самое дорогое мошенничество в годовой статистике выглядит скучнее всех остальных. Ни вредоносной программы, ни сломанной системы, ни тревоги. Кто-то несколько недель читает почтовый ящик, разбирается, как в компании пишут письма, дожидается настоящего платежа и отправляет одно сообщение, меняющее, куда уйдут деньги. ФБР провело 3,05 миллиарда долларов потерь по компрометации деловой переписки в отчёте за 2025 год, это второе место после инвестиционного мошенничества. Работает это потому, что всё, что получатель может проверить, оказывается верным.
Версия на русском языке для России.
Что именно скомпрометировано
Название сбивает с толку: оно намекает на технический взлом. В большинстве случаев техническая часть закончилась неделями раньше и была мелкой. Пароль, повторно использованный из старой утечки, сессионный токен, забранный похитителем, подтверждение, о котором никто не подумал дважды.
Дальше идёт терпеливое чтение. Проникший сидит в ящике и изучает форму бизнеса: кто что согласовывает, как выглядят счета, какому поставщику подходит срок, какими словами финансовый менеджер формулирует просьбу, когда люди в отпуске.
Потом мошенническое письмо пишется в фирменном стиле и уходит с настоящего адреса, иногда ответом в переписке, которая тянется месяцами. Подделывать отправителя незачем, похожий домен не нужен, поэтому и обнаруживать нечего.
Часть групп вообще ничего не отправляет со скомпрометированной стороны. Они просто наблюдают, вынимают счёт в нужный момент и пользуются им с похожего домена. Ценность в чтении, а отправка это деталь.
Почему цифры именно такие
Общие заявленные потери по всем видам интернет-преступлений в отчёте за 2025 год составили 20,877 миллиарда долларов по 1 008 597 обращениям, это на 26 процентов больше прошлогоднего. На компрометацию деловой переписки пришлось 3,05 миллиарда.
Эти цифры занижают частоту и завышают изощрённость. Типовой случай это одно письмо, один изменённый номер счёта и один перевод, выполненный людьми без особых технических навыков и с арендованным ящиком.
Средняя потеря велика по структурной причине. Мошенничество целится в платежи, которые и так собирались делать, поэтому сумма равна тому, что бизнес обычно двигает, и размер ожидаемой цифры никто не оспаривает.
Отсюда же и то, почему малые фирмы теряют пропорционально больше. В компании, где платежами занимается один человек, второй пары глаз нет по устройству, и мошенничество нацелено ровно в её отсутствие.
Ещё одно следствие цифр редко проговаривают вслух. Раз сумма равна обычному обороту, то и восстановление после такого случая упирается не в страховку, а в оборотные средства: деньги ушли те, которыми компания собиралась рассчитаться по своим обязательствам на этой же неделе.
Четыре формы, в которых это приходит
Изменённые реквизиты на настоящем счёте. Самая частая и самая дорогая форма: счёт подлинный, сумма верная, а изменено единственное поле, которое никто не перечитывает.
Срочная просьба от руководителя. Короткая, с извинением, из поездки, с просьбой провести перевод тихо и до дедлайна. Работает на иерархии, а техника здесь ни при чём.
Поставщик, сменивший банк. Вежливое уведомление на бланке, часто приходящее за недели до следующего счёта, чтобы к моменту оплаты изменение казалось рутинным. Работает тут именно терпение.
Перенаправление зарплаты. Небольшая сумма, почти незаметная, и часто первый признак, что ящик скомпрометирован: это проба, которую проводят перед чем-то крупным.
Где на самом деле ломается контроль
Ломается там, где реквизит приходит сообщением и вносится тем же человеком, который это сообщение получил. Все остальные звенья цепи могут быть исправны, и провал всё равно случится здесь.
Ломается, когда проверка идёт по контактам из самого письма. Телефон в подписи это не второй канал, это тот же канал в другой шляпе.
Ломается под давлением срока, который создал отправитель. Дедлайны, штрафы и закрывающиеся окна стоят в письме затем, чтобы убрать паузу, в течение которой кто-нибудь проверил бы.
Ломается тихо, когда правило в ящике раскладывает ответы. Поставщик пишет три всё более тревожных письма про неоплаченный счёт, и ни одно не доходит до того, кто платил. Поэтому такие случаи всплывают месяцем позже.
Правило обратного звонка, которое работает
Любое изменение платёжных реквизитов подтверждается голосом, по номеру, который был у вас до запроса на изменение, с человеком, знакомым звонящему. Эта фраза и есть весь контроль, и она снимает подавляющее большинство таких случаев.
Номер берётся из договора, из закупочной записи или из предыдущего проверенного звонка. Никогда из письма с просьбой об изменении, никогда из подписи и никогда из результатов поиска: и домены, и справочные объявления покупаются.
Разговор должен закончиться деталью, которой в письме не было. Спросите что-нибудь обыденное и конкретное: номер прошлого счёта, сумму предыдущего платежа. Читающий ящик знает переписку и не всегда знает бухгалтерию.
Запишите правило и дайте ему силу. Контроль, который держится на том, хватит ли человеку смелости задержать платёж финансовому директору, это не контроль, а надежда, и рушится он ровно в тех ситуациях, ради которых написан.
Что настроить в почте
Оповещения на новые правила пересылки и на правила, перекладывающие письма в необычные папки. Это самое ценное доступное обнаружение, и в большинстве организаций оно до сих пор не включено.
Устойчивый к фишингу вход для всех, кто касается платежей, и убрать слабый запасной способ, а не оставлять его доступным. Нападающий читает список доступных способов входа прежде, чем выбрать один.
Сделать отзыв сессий частью любого сброса пароля. Токен, выданный до сброса, продолжает работать после него, и именно так ящики остаются скомпрометированными через реакцию, которая должна была это починить.
Держать заметную метку на внешней почте. Письмо с по-настоящему захваченного внутреннего адреса она не остановит, и при этом она поднимает цену дешёвых вариантов, которые приходят с похожего домена.
Если платёж уже ушёл
Позвоните в банк в течение часа и попросите именно отзыв платежа. Скорость тут важнее полноты, а окно, в течение которого средства ещё можно придержать, измеряется часами.
Сообщите в полицию и в национальный канал по киберпреступлениям в тот же день. Возврат через границу зависит от того, существует ли формальный запрос с самого начала, а заявление через неделю это обычно заявление, поданное поздно.
Сохраните ящик до того, как кто-нибудь начнёт в нём прибирать. Заголовки писем, история правил и журналы входов это то, что спросит любое расследование, а естественное желание удалить мошенническое письмо уничтожает запись.
Потом проверьте, что ещё видел проникший. Ящик, который читали неделями, раскрыл договоры, других поставщиков и другие графики платежей, и вторая попытка часто уходит уже в другую компанию из той же переписки.
Четыре варианта, что просят в каждом и чем это закрывается
| Вариант | О чём просит письмо | Чем закрывается |
|---|---|---|
| Изменённые реквизиты на настоящем счёте | Оплатить ту же сумму на новый счёт | Голосовое подтверждение по номеру, бывшему у вас раньше |
| Срочная просьба руководителя | Перевести тихо, подтвердить потом | Любой второй человек в цепочке согласования |
| Поставщик сменил банк | Обновить реквизиты сейчас, счёт будет позже | Звонок знакомому контакту по номеру из договора |
| Перенаправление зарплаты | Сменить счёт на этот месяц | Подтверждение через внутреннюю систему, не письмом |
| Только наблюдение | Ничего, ящик просто читают | Оповещения на новые правила и необычные входы |
Вопросы и ответы
- Как отличить захваченный ящик от похожего домена?
- Сверьте домен отправителя посимвольно со своими записями. Похожий домен где-то отличается, часто одной буквой или добавленным словом. Если домен совпадает точно, считайте учётную запись захваченной и звоните контрагенту.
- Достаточно ли проверочного письма?
- Нет. Ответ идёт через тот же ящик, который читает нападающий, и отвечает на него он же. Проверка обязана идти другим каналом, и голос по ранее известному номеру это практичный вариант.
- Двухфакторная проверка это предотвращает?
- Она поднимает цену и не закрывает вопрос. Украденный сессионный токен и подтверждённый запрос устройства оба дают вошедшего нападающего без взлома пароля, поэтому рядом с ней нужны отзыв сессий и оповещения на правила.
- Почему такие случаи всплывают так поздно?
- Потому что правило в ящике прячет ответы. Поставщик требует оплату, письма молча раскладываются по папкам, и разрыв становится виден только когда кто-то берёт телефон.
- Чего стоит первый час?
- Очень многого. Отзыв, запрошенный в течение часов, иногда догоняет средства до того, как их увели дальше, а тот же запрос через сутки почти никогда.
- Нужно ли сообщать контрагенту?
- Да, немедленно и голосом. Захваченным может оказаться именно его ящик, и другие его клиенты, скорее всего, получают такое же письмо прямо во время разговора.