07.05.2026 09:40
❗️«Доследственная проверка рабочего места»: мы обнаружили новую схему атак на крупные организации в России 🔻Как это раб
❗️«Доследственная проверка рабочего места»: мы обнаружили новую схему атак на крупные организации в России
🔻Как это работает
• Злоумышленники действуют по методу телефонных мошенников под видом «правоохранительных органов».
Сотрудник получает письмо на рабочую почту с одним или несколькими PDF-документами. В них может быть «уведомление об инциденте информационной безопасности» или «постановление о проведении доследственной проверки по факту незаконной передачи данных». Жертву, конечно же, просят не допускать разглашения информации о проверке иным лицам.
• В одном из сценариев пользователю предлагается заполнить анкету с большим количеством вопросов — в том числе о рабочем устройстве, действиях в определённые даты, возможных сбоях в работе компьютера, использовании программ удалённого управления или средств обхода блокировок, а также о личных данных.
В письме может содержаться ещё один PDF-файл — заявление, подписав которое, человек якобы добровольно соглашается на «техническое исследование».
Документы содержат профессиональную терминологию и много деталей, характерных для официального документооборота: ссылки на законы, регистрационные номера, даты, подписи, гербы и т.д., поэтому могут выглядеть убедительно для сотрудника, никогда с таким не сталкивавшимся.
• После заполнения документов сотруднику направляют ещё одно письмо — с программой, которую нужно запустить «для проведения технического исследования». На самом деле это троянец.
После попадания в корпоративную сеть злоумышленник производит разведку устройств. Цель — шифрование инфраструктуры компании и требование выкупа.
Сергей Голованов, главный эксперт «Лаборатории Касперского»:
Раньше сценарии, в которых злоумышленники действуют под видом представителей правоохранительных органов, были характерны больше для телефонного мошенничества и нацелены в основном на частных пользователей. Теперь мы видим, что подобные методы начинают использовать и в атаках на организации. Новые вредоносные рассылки мимикрируют под процедуру реагирования на инциденты информационной безопасности с исследованием рабочего устройства сотрудника. В результате человек может проигнорировать внутренние правила безопасности и не сообщить о происходящем в свой отдел по информационной безопасности, поскольку уже воспринимает происходящее как официальные действия со стороны правоохранительных органов
✅ Как защититься
• не открывать вложения и не запускать программы из писем, связанных с «проверками», «расследованиями» или другими срочными запросами от неизвестных отправителей;
• обязательно перепроверять подобные обращения через внутренние службы безопасности компании;
• ставить надёжные корпоративные защитные решения, которые автоматически будут отправлять подобные письма в спам;
• проводить тренинги по кибербезопасности для сотрудников, учить их распознавать техники социальной инженерии.
🔻Как это работает
• Злоумышленники действуют по методу телефонных мошенников под видом «правоохранительных органов».
Сотрудник получает письмо на рабочую почту с одним или несколькими PDF-документами. В них может быть «уведомление об инциденте информационной безопасности» или «постановление о проведении доследственной проверки по факту незаконной передачи данных». Жертву, конечно же, просят не допускать разглашения информации о проверке иным лицам.
• В одном из сценариев пользователю предлагается заполнить анкету с большим количеством вопросов — в том числе о рабочем устройстве, действиях в определённые даты, возможных сбоях в работе компьютера, использовании программ удалённого управления или средств обхода блокировок, а также о личных данных.
В письме может содержаться ещё один PDF-файл — заявление, подписав которое, человек якобы добровольно соглашается на «техническое исследование».
Документы содержат профессиональную терминологию и много деталей, характерных для официального документооборота: ссылки на законы, регистрационные номера, даты, подписи, гербы и т.д., поэтому могут выглядеть убедительно для сотрудника, никогда с таким не сталкивавшимся.
• После заполнения документов сотруднику направляют ещё одно письмо — с программой, которую нужно запустить «для проведения технического исследования». На самом деле это троянец.
После попадания в корпоративную сеть злоумышленник производит разведку устройств. Цель — шифрование инфраструктуры компании и требование выкупа.
Сергей Голованов, главный эксперт «Лаборатории Касперского»:
Раньше сценарии, в которых злоумышленники действуют под видом представителей правоохранительных органов, были характерны больше для телефонного мошенничества и нацелены в основном на частных пользователей. Теперь мы видим, что подобные методы начинают использовать и в атаках на организации. Новые вредоносные рассылки мимикрируют под процедуру реагирования на инциденты информационной безопасности с исследованием рабочего устройства сотрудника. В результате человек может проигнорировать внутренние правила безопасности и не сообщить о происходящем в свой отдел по информационной безопасности, поскольку уже воспринимает происходящее как официальные действия со стороны правоохранительных органов
✅ Как защититься
• не открывать вложения и не запускать программы из писем, связанных с «проверками», «расследованиями» или другими срочными запросами от неизвестных отправителей;
• обязательно перепроверять подобные обращения через внутренние службы безопасности компании;
• ставить надёжные корпоративные защитные решения, которые автоматически будут отправлять подобные письма в спам;
• проводить тренинги по кибербезопасности для сотрудников, учить их распознавать техники социальной инженерии.