❗️«Доследственная проверка рабочего места»: мы обнаружили новую схему атак на крупные организации в России 🔻Как это работает • Злоумышленники действую…

❗️«Доследственная проверка рабочего места»: мы обнаружили новую схему атак на крупные организации в России

🔻Как это работает
• Злоумышленники действуют по методу телефонных мошенников под видом «правоохранительных органов».

Сотрудник получает письмо на рабочую почту с одним или несколькими PDF-документами. В них может быть «уведомление об инциденте информационной безопасности» или «постановление о проведении доследственной проверки по факту незаконной передачи данных». Жертву, конечно же, просят не допускать разглашения информации о проверке иным лицам.

• В одном из сценариев пользователю предлагается заполнить анкету с большим количеством вопросов — в том числе о рабочем устройстве, действиях в определённые даты, возможных сбоях в работе компьютера, использовании программ удалённого управления или средств обхода блокировок, а также о личных данных.

В письме может содержаться ещё один PDF-файл — заявление, подписав которое, человек якобы добровольно соглашается на «техническое исследование».

Документы содержат профессиональную терминологию и много деталей, характерных для официального документооборота: ссылки на законы, регистрационные номера, даты, подписи, гербы и т.д., поэтому могут выглядеть убедительно для сотрудника, никогда с таким не сталкивавшимся.

• После заполнения документов сотруднику направляют ещё одно письмо — с программой, которую нужно запустить «для проведения технического исследования». На самом деле это троянец.

После попадания в корпоративную сеть злоумышленник производит разведку устройств. Цель — шифрование инфраструктуры компании и требование выкупа.

Сергей Голованов, главный эксперт «Лаборатории Касперского»:
Раньше сценарии, в которых злоумышленники действуют под видом представителей правоохранительных органов, были характерны больше для телефонного мошенничества и нацелены в основном на частных пользователей. Теперь мы видим, что подобные методы начинают использовать и в атаках на организации. Новые вредоносные рассылки мимикрируют под процедуру реагирования на инциденты информационной безопасности с исследованием рабочего устройства сотрудника. В результате человек может проигнорировать внутренние правила безопасности и не сообщить о происходящем в свой отдел по информационной безопасности, поскольку уже воспринимает происходящее как официальные действия со стороны правоохранительных органов
✅ Как защититься

• не открывать вложения и не запускать программы из писем, связанных с «проверками», «расследованиями» или другими срочными запросами от неизвестных отправителей;

• обязательно перепроверять подобные обращения через внутренние службы безопасности компании;

• ставить надёжные корпоративные защитные решения, которые автоматически будут отправлять подобные письма в спам;

• проводить тренинги по кибербезопасности для сотрудников, учить их распознавать техники социальной инженерии.