За пределами периметра: как SOC и антифрод защищают клиента от внешнего цифрового мошенничества

В первой части мы говорили о том, как SOC крупного ритейла может связывать кибербезопасность и антифрод внутри компании: обогащать технические алерты бизнес-контекстом, учитывать платежи, заказы, бонусы, личные кабинеты и приоритизировать инциденты не только по технической критичности, но и по влиянию на клиента и бизнес-процессы.

Но у ритейла есть еще одна важная зона риска — внешнее цифровое пространство.

Клиента могут атаковать не на сайте компании и не в мобильном приложении. Мошенническая страница может быть размещена на стороннем домене. Ссылка может прийти в мессенджере. Поддельная акция может распространяться в социальных сетях. Учетные данные клиента могут оказаться в логах стилеров после заражения его личного устройства. Фейковая страница оплаты может имитировать бренд, интерфейс или привычный клиентский сценарий.

Формально инфраструктура компании в таких случаях может быть не скомпрометирована. Но для клиента разницы почти нет. Если мошенники используют бренд, визуальный стиль, название компании, личный кабинет, бонусы, доставку или оплату, клиент воспринимает это как проблему доверия к компании.

Поэтому современный SOC в ритейле должен видеть не только то, что происходит внутри корпоративной инфраструктуры, но и то, что происходит вокруг бренда, клиентских сценариев и цифровых каналов.

Почему внешний периметр стал частью защиты клиента

Раньше корпоративный периметр было проще описать: офисы, дата-центры, серверы, рабочие станции, сетевое оборудование, VPN, почта, домены компании. Всё, что находится внутри, защищаем. Всё, что снаружи, наблюдаем по возможности.

В цифровом ритейле такая граница размыта.

Клиент взаимодействует с компанией через множество каналов: сайт, мобильное приложение, личный кабинет, доставку, оплату, рассылки, push-уведомления, контакт-центр, социальные сети, маркетплейсы, партнерские сервисы. При этом злоумышленник может встроиться почти в любой из этих сценариев, не получая доступа к инфраструктуре компании.

Например, он может:

• создать домен, похожий на официальный;

• сделать фейковую страницу акции;

• отправить клиенту короткую ссылку на поддельную оплату;

• собрать логины и пароли через фишинговую форму;

• использовать слитые учетные данные для входа в личный кабинет;

• продавать аккаунты, бонусы или промокоды на теневых площадках;

• имитировать поддержку компании в мессенджерах;

• использовать бренд в мошеннической рекламе.

Для SOC это означает, что внешний цифровой периметр должен стать частью мониторинга и реагирования — не вместо классической инфраструктурной безопасности, а вместе с ней.

Что относится к внешнему цифровому периметру ритейла

Внешний цифровой периметр — это не только официальные домены компании. Это всё, что может быть использовано для атаки на клиента, бренд или бизнес-процесс.

К нему можно отнести:

• домены, похожие на бренд или официальные сервисы;

• фишинговые сайты;

• поддельные страницы оплаты;

• фейковые акции, розыгрыши и промокампании;

• мошеннические лендинги;

• короткие ссылки;

• поддельные аккаунты в социальных сетях;

• Telegram-каналы и чаты, где используются бренд или клиентские сценарии;

• объявления о продаже аккаунтов, бонусов, промокодов;

• публикации с утекшими учетными данными;

• упоминания компании на теневых форумах;

• фейковые мобильные приложения;

• забытые тестовые домены и лендинги;

• внешние ресурсы подрядчиков и партнеров, связанные с клиентскими сценариями.

Главная сложность в том, что всё это находится вне прямого контроля компании. Нельзя просто зайти на сервер и удалить фишинговую страницу. Нельзя быстро отключить чужой домен. Нельзя напрямую управлять Telegram-каналом мошенников или страницей в социальной сети.

Поэтому здесь важна не только технология обнаружения, но и выстроенный процесс: кто подтверждает угрозу, кто оценивает риск, кто инициирует блокировку, кто информирует бизнес, кто проверяет внутренние признаки атаки и кто контролирует повторное появление.

Почему Brand Protection должен быть связан с SOC

Многие компании рассматривают Brand Protection или Digital Risk Protection как отдельный процесс: нашли фишинг, отправили на блокировку, закрыли задачу.

Для ритейла этого недостаточно.

Фишинговый сайт или фейковая акция — это не просто внешний артефакт. Это возможное начало цепочки атаки на клиента. Если мошенники собирают логины, пароли, номера телефонов, коды подтверждения или платежные данные, следующая стадия может проявиться уже внутри компании: во входах в личные кабинеты, попытках списания бонусов, изменениях профиля, подозрительных заказах, обращениях в контакт-центр.

Поэтому внешний сигнал должен связываться с внутренними событиями.

Например, SOC получает информацию о фишинговой странице под бренд компании. Дальше важно ответить на вопросы:

• собирает ли страница логины и пароли;

• имитирует ли она оплату;

• просит ли ввести код из SMS;

• использует ли официальные элементы бренда;

• есть ли массовое распространение ссылки;

• поступают ли обращения клиентов;

• есть ли всплеск неуспешных входов;

• появились ли входы с подозрительных устройств;

• фиксируются ли попытки изменения контактных данных;

• есть ли операции с бонусами, заказами или платежами после возможной компрометации.

Только после такой связки внешний инцидент становится полноценным кейсом для SOC и антифрода, а не просто задачей на блокировку домена.

Клиент как источник сигнала для SOC

Когда мы говорим про внешний цифровой периметр, обычно первыми вспоминаются технические источники: мониторинг доменов, Brand Protection, threat intelligence, поисковая выдача, социальные сети, мессенджеры, теневые площадки.

Но в ритейле есть еще один важный источник — сами клиенты.

Клиент может первым увидеть фейковую акцию, получить подозрительную ссылку в мессенджере, столкнуться с поддельной страницей оплаты, заметить мошеннический аккаунт в социальной сети или получить сообщение от имени компании. Часто такие сигналы появляются раньше, чем автоматический мониторинг успевает классифицировать новую кампанию.

Поэтому мы рассматриваем клиентские обращения как часть процесса обнаружения внешних угроз.

Для этого на сайте есть раздел «Безопасность в Интернете» с формой обратной связи: https://www.mvideo.ru/info/bezopasnost?from=footer. Через нее клиент может сообщить о подозрительной активности, связанной с брендом: фишинговом сайте, мошеннической ссылке, поддельной акции, попытке выманить данные, подозрительном сообщении или другом сценарии, который может быть связан с цифровым мошенничеством.

Для SOC такие обращения важны по нескольким причинам.

Во-первых, это ранний сигнал. Если несколько клиентов сообщают о похожей ссылке или одинаковом сценарии, можно быстро понять, что речь идет не об одиночном случае, а о мошеннической кампании.

Во-вторых, клиентское обращение часто содержит контекст, которого нет в технических источниках: где человек увидел ссылку, какое сообщение получил, что от него просили сделать, какие данные пытались получить мошенники.

В-третьих, такие обращения помогают связать внешнюю угрозу с внутренними событиями. Например, если клиент сообщил о фейковой странице входа, SOC может проверить, нет ли после этого всплеска попыток авторизации, изменений профиля, операций с бонусами или подозрительных заказов.

Таким образом, форма обратной связи — это не просто канал клиентской поддержки. Это еще один сенсор во внешнем цифровом периметре, который помогает быстрее обнаруживать мошеннические сценарии и запускать реагирование.

Кейс 1. Фейковая акция под бренд

Один из типовых сценариев для ритейла — поддельная акция. Мошенники создают лендинг, визуально похожий на страницу компании, используют логотип, фирменные цвета, изображения товаров, обещают крупную скидку, подарок, бонусы или участие в розыгрыше.

Цель может быть разной:

• собрать номера телефонов;

• получить логины и пароли;

• заставить клиента ввести код подтверждения;

• перенаправить на поддельную оплату;

• получить данные банковской карты;

• установить вредоносное приложение;

• подписать клиента на платную услугу.

На первый взгляд такой кейс может показаться задачей PR или Brand Protection: нашли фейковую акцию — отправили на блокировку.

Но для SOC важно смотреть шире.

Если на фейковой странице собираются учетные данные, нужно проверить, не появились ли после этого попытки входа в реальные личные кабинеты. Если страница обещает бонусы, нужно отслеживать аномалии по бонусной программе. Если используется поддельная оплата, нужно проверить обращения клиентов и платежные события. Если ссылка распространяется массово, нужно подготовить контакт-центр к возможному росту обращений.

В таком сценарии SOC связывает внешний ресурс с внутренними признаками:

• жалобы клиентов;

• всплеск авторизаций;

• изменение телефонов или email;

• операции с бонусами;

• подозрительные заказы;

• платежные аномалии.

Главная задача — не только заблокировать фейковую страницу, но и понять, успели ли мошенники получить данные клиентов и началась ли следующая стадия атаки.

Кейс 2. Мошенническая ссылка на оплату

Еще один распространенный сценарий — мошенническая ссылка на оплату. Клиента убеждают перейти по ссылке, чтобы оплатить заказ, подтвердить доставку, вернуть деньги, привязать счет, получить скидку или завершить участие в акции.

В ритейле этот сценарий особенно опасен, потому что платеж и доставка для клиента — привычные процессы. Если мошенники используют похожие формулировки, бренд, номер заказа или визуальный стиль, клиент может не сразу заметить подмену.

Такая ссылка может вести на:

• фейковую страницу оплаты картой;

• поддельный сценарий СБП;

• страницу сбора логина и пароля;

• форму ввода SMS-кода;

• загрузку вредоносного приложения;

• мошеннический чат с «поддержкой».

Здесь SOC должен работать совместно с антифродом, платежной командой, контакт-центром и PR.

Процесс может выглядеть так:

1. Обнаружена ссылка или поступила жалоба клиента.

2. Проверяется, имитирует ли ресурс бренд компании.

3. Определяется, какие данные собираются.

4. Оценивается, есть ли риск платёжного ущерба.

5. Ссылка передаётся на блокировку или ограничение доступа.

6. Внутри компании проверяются связанные события: обращения, платежные попытки, входы в ЛК, изменения профиля.

7. При необходимости готовятся рекомендации для контакт-центра и публичные предупреждения.

Важно, что в таком кейсе реагирование не заканчивается на удалении страницы. Если клиенты уже ввели данные, нужно понимать, какие дополнительные меры потребуются: сброс сессии, усиленная проверка операций, мониторинг бонусов, временное ограничение рискованных действий, информирование поддержки.

Кейс 3. Учётные данные в логах стилеров

Не все компрометации учетных данных начинаются с фишинга под бренд компании. Часто логины и пароли попадают к злоумышленникам после заражения личного устройства клиента или сотрудника стилером.

Стилер собирает сохранённые пароли, cookies, данные браузера, токены, иногда информацию о посещаемых сайтах. После этого учётные данные могут попасть в продажу или использоваться в автоматизированных атаках.

Для компании это сложный сценарий. Инфраструктура не взломана, но реальные учётные данные могут быть использованы для входа в сервисы. С точки зрения логов это может выглядеть как обычная успешная авторизация: правильный логин, правильный пароль.

Поэтому важно учитывать дополнительные признаки:

• новое устройство;

• нетипичная география или сеть;

• подозрительный ASN;

• отсутствие привычных клиентских признаков;

• массовое использование разных аккаунтов с похожей инфраструктуры;

• попытки быстро изменить контактные данные;

• операции с бонусами, заказами или платежами после входа;

• повторение сценария на нескольких аккаунтах.

Здесь связь SOC и антифрода особенно важна. SOC может увидеть технические признаки компрометации, а антифрод — бизнес-действия после входа. Вместе они позволяют отличить легитимного клиента от злоумышленника, использующего украденные данные.

Важно не допустить двух крайностей. Первая — ничего не делать только потому, что пароль был введен правильно. Вторая — блокировать всех подряд при каждом новом устройстве. Рабочая модель должна быть риск-ориентированной: где-то достаточно дополнительной проверки, где-то нужен сброс сессии, где-то — ограничение отдельных операций, а где-то — полноценный инцидент.

Кейс 4. Продажа аккаунтов, бонусов и промокодов

Для ритейла учетная запись клиента — это не просто логин и пароль. В ней могут быть бонусы, персональные предложения, история заказов, адреса доставки, привязанные способы оплаты, промокоды и другие ценности.

Поэтому аккаунты, бонусы и промокоды могут становиться товаром на теневых площадках.

SOC и антифрод должны отслеживать не только попытки входа, но и внешние признаки монетизации:

• объявления о продаже аккаунтов;

• предложения купить бонусы или промокоды;

• публикации с инструкциями по злоупотреблению акциями;

• массовые списки учетных данных;

• Telegram-каналы с «схемами»;

• обсуждения обхода ограничений;

• предложения автоматизации регистраций или заказов.

Такие находки важны не сами по себе, а как индикатор наличия работающей схемы. Если во внешнем канале появляется предложение по продаже бонусов, внутри нужно проверить, нет ли роста списаний, массовых входов, аномальных заказов, повторяющихся устройств или схожих клиентских паттернов.

Именно так внешний мониторинг превращается из «наблюдения за интернетом» в инструмент выявления реальных фродовых сценариев.

Кейс 5. Подрядчики и партнерские сервисы как часть внешней поверхности

В ритейле много внешних связей: маркетинговые подрядчики, агентства, сервисы рассылок, логистика, платежные партнеры, интеграторы, временные лендинги, промо-сайты, аналитические платформы, подрядчики по разработке.

Каждая такая связь может расширять поверхность атаки.

Риски могут быть разными:

• забытый промо-домен;

• тестовый лендинг без защиты;

• утекшие доступы подрядчика;

• некорректно настроенный внешний сервис;

• использование бренда без контроля;

• слабая защита админки;

• доступ подрядчика к данным или внутренним инструментам;

• отсутствие мониторинга после завершения проекта.

В таких случаях SOC не всегда является владельцем риска, но должен участвовать в его выявлении и эскалации. Если внешний ресурс связан с брендом, клиентским сценарием или данными, он должен попадать в карту внешней поверхности и процесс реагирования.

Кейс 6. Клиент сообщил о подозрительной ссылке

Один из практических сценариев начинается не с автоматического алерта, а с обращения клиента.

Например, клиент получает ссылку в мессенджере: ему предлагают подтвердить заказ, получить бонусы, вернуть деньги, оплатить доставку или участвовать в акции. Визуально сообщение может быть похоже на коммуникацию от бренда, но ссылка ведет на сторонний ресурс.

Клиент переходит в раздел «Безопасность в Интернете» на сайте и отправляет обращение через форму обратной связи: прикладывает ссылку, описание ситуации, скриншот или текст сообщения.

Дальше обращение может быть обработано как security-сигнал:

8. SOC проверяет ссылку и определяет, какой сценарий используется: фишинг, поддельная оплата, сбор SMS-кодов, вредоносная загрузка или фейковая акция.

9. Проверяется, используется ли бренд, логотип, визуальный стиль, название компании или элементы клиентского сценария.

10. Если угроза подтверждается, информация передаётся на блокировку или ограничение доступа к ресурсу.

11. Параллельно SOC проверяет внутренние события: авторизации, изменения профиля, операции с бонусами, платежные аномалии, обращения в контакт-центр.

12. При необходимости подключаются антифрод, Brand Protection, PR, юридическая функция и владельцы клиентских сервисов.

Ценность такого канала в том, что клиент может принести сигнал раньше, чем кампания станет массовой. Один корректно обработанный URL иногда помогает обнаружить целую цепочку: домен, редиректы, шаблон страницы, похожие ссылки, связанные аккаунты и внутренние признаки атаки.

Как должен выглядеть процесс реагирования

Для внешних угроз важен понятный и повторяемый процесс. Иначе каждый фишинговый сайт или мошенническая ссылка будут обрабатываться вручную, по-разному и с потерей времени.

Базовый процесс можно описать так:

Обнаружение → проверка → классификация → связь с внутренними событиями → блокировка → информирование → контроль повторного появления

1. Обнаружение

Источниками могут быть:

• системы Brand Protection или Digital Risk Protection;

• threat intelligence;

• обращения клиентов через форму обратной связи в разделе «Безопасность в Интернете»;

• обращения контакт-центра;

• сообщения сотрудников;

• мониторинг доменов;

• мониторинг социальных сетей и мессенджеров;

• внешние уведомления;

• результаты расследований SOC.

2. Проверка

На этом этапе нужно понять, действительно ли ресурс является угрозой:

• используется ли бренд;

• есть ли имитация официального сайта;

• собираются ли персональные или платежные данные;

• есть ли форма входа;

• запрашивается ли SMS-код;

• ведет ли ссылка на оплату;

• есть ли вредоносная загрузка;

• насколько массово распространяется ресурс.

3. Классификация

Угрозы можно разделить по типам:

• фишинг учетных данных;

• фейковая оплата;

• поддельная акция;

• мошенническая поддержка;

• продажа аккаунтов или бонусов;

• утечка данных;

• злоупотребление брендом;

• вредоносное приложение;

• риск подрядчика или внешнего сервиса.

Классификация нужна не для отчётности, а для выбора правильного действия.

4. Связь с внутренними событиями

Это ключевой этап, который отличает зрелый процесс от простой блокировки домена.

SOC проверяет:

• есть ли жалобы клиентов;

• были ли всплески авторизаций;

• есть ли попытки изменения профилей;

• фиксируются ли операции с бонусами;

• есть ли платежные аномалии;

• есть ли активность с IP, доменов или устройств, связанных с атакой;

• есть ли повторение сценария на нескольких аккаунтах.

5. Блокировка и ограничение распространения

В зависимости от ситуации действия могут включать:

• передачу домена на блокировку;

• обращение к хостинг-провайдеру;

• жалобу в регистратор;

• блокировку ссылок на уровне почтовых и веб-средств защиты;

• добавление индикаторов в средства мониторинга;

• блокировку фейковых аккаунтов в социальных сетях;

• передачу информации в юридическую функцию;

• взаимодействие с платежными и антифрод-командами.

6. Информирование

Если угроза затрагивает клиентов, важно заранее подготовить связанные команды:

• контакт-центр;

• PR;

• клиентский сервис;

• e-commerce;

• владельцев личного кабинета;

• платежную команду;

• юридическую функцию;

• антифрод.

Это снижает риск хаотичной реакции, когда клиенты уже обращаются, а внутренние команды еще не понимают, что происходит.

7. Контроль повторного появления

Мошеннические ресурсы часто появляются повторно: на новых доменах, с другими ссылками, похожими шаблонами и теми же текстами. Поэтому после блокировки важно продолжать мониторинг:

• похожих доменов;

• повторяющихся шаблонов страниц;

• одинаковых текстов и изображений;

• связанных IP и хостингов;

• новых коротких ссылок;

• повторных публикаций в мессенджерах и соцсетях.

Как приоритизировать внешние угрозы

Не каждый найденный домен или упоминание бренда требует одинаковой срочности. Как и в классическом SOC, без приоритизации команда быстро утонет в потоке событий.

Приоритет внешней угрозы можно оценивать по нескольким параметрам:

• используется ли бренд компании;

• есть ли сбор учетных данных;

• есть ли сбор платежных данных;

• запрашивается ли SMS-код;

• есть ли признаки массового распространения;

• поступают ли жалобы клиентов;

• связана ли угроза с активной промоакцией;

• есть ли внутренние признаки последующей атаки;

• затрагиваются ли платежи, бонусы или персональные данные;

• насколько быстро можно ограничить распространение.

Например, домен, который просто похож на бренд, может быть низким или средним приоритетом. Но если на нем размещена форма входа, имитирующая личный кабинет, приоритет должен быть выше. Если дополнительно есть жалобы клиентов и попытки входа в реальные аккаунты после фишинга — это уже полноценный инцидент, требующий координации SOC, антифрода, контакт-центра и PR.

Какие метрики стоит использовать

Для внешнего цифрового периметра полезно отслеживать не только количество найденных ресурсов. Само по себе большое число находок не говорит о зрелости процесса.

Более полезны метрики, связанные со скоростью и качеством реагирования:

• время от обнаружения до подтверждения угрозы;

• время от подтверждения до передачи на блокировку;

• время до фактической блокировки или удаления ресурса;

• количество подтвержденных фишинговых ресурсов;

• количество обращений клиентов через форму обратной связи по безопасности;

• доля клиентских обращений, подтвердившихся как реальные security-сценарии;

• количество внешних угроз, связанных с клиентскими обращениями;

• количество внешних угроз, по которым найдены внутренние признаки активности;

• доля повторных кампаний;

• количество кейсов, переданных в антифрод;

• количество кейсов, потребовавших информирования контакт-центра или PR;

• количество сценариев, по которым появились новые правила мониторинга.

Главная метрика здесь — не «сколько доменов нашли», а насколько быстро компания смогла снизить риск для клиента.

Где проходит граница ответственности SOC

Важно не превращать SOC в единственного владельца всех внешних цифровых рисков.

SOC не должен единолично отвечать за весь Brand Protection, PR-коммуникации, юридические жалобы, клиентские выплаты или бизнес-решения по ограничению операций. Но SOC должен быть участником процесса, потому что именно он умеет связывать внешние индикаторы с внутренними событиями безопасности.

Границы можно определить так:

• SOC обнаруживает, подтверждает, обогащает и связывает угрозу с внутренними событиями;

• Brand Protection или ответственная команда ведет блокировку внешних ресурсов;

• PR отвечает за публичные коммуникации;

• контакт-центр работает с обращениями клиентов;

• антифрод оценивает риск фродовых операций;

• владельцы бизнес-систем принимают решения по ограничениям клиентских сценариев;

• юридическая функция сопровождает официальные обращения и претензии.

Такой подход позволяет избежать хаоса и не перекладывать все задачи на одну команду.

Типовые ошибки

При построении процесса защиты внешнего цифрового периметра часто встречаются несколько ошибок.

Первая ошибка — считать, что если ресурс находится вне инфраструктуры компании, то это не зона ИБ. Для клиента это всё равно часть взаимодействия с брендом, даже если технически ресурс чужой.

Вторая ошибка — ограничиваться блокировкой домена. Блокировка важна, но нужно проверить, успели ли мошенники собрать данные и появились ли внутренние признаки атаки.

Третья ошибка — не подключать контакт-центр. Часто именно обращения клиентов первыми показывают, что мошенническая кампания стала массовой.

Четвертая ошибка — не сохранять доказательства. Для блокировок, юридических обращений и последующего анализа важно фиксировать скриншоты, URL, время обнаружения, цепочки редиректов и поведение страницы.

Пятая ошибка — не контролировать повторы. Мошенники могут быстро поднять новый домен или изменить ссылку. Если процесс заканчивается на одной блокировке, кампания может продолжиться почти без потерь для атакующих.

Практические выводы

Внешний цифровой периметр невозможно контролировать только техническими средствами. Автоматический мониторинг, Brand Protection и threat intelligence важны, но не менее важен канал, через который сами клиенты могут сообщить о подозрительной активности.

Форма обратной связи в разделе «Безопасность в Интернете» помогает превратить клиентское наблюдение в сигнал для SOC. Если клиент сообщает о фейковой акции, подозрительной ссылке или поддельной странице оплаты, это может стать началом полноценного расследования: от проверки внешнего ресурса до поиска внутренних признаков атаки и подключения антифрода, контакт-центра, PR или владельцев клиентских сервисов.

В этом и заключается зрелый подход: защищать клиента не только тогда, когда атака уже проявилась внутри инфраструктуры, но и тогда, когда первый сигнал появился снаружи — в мессенджере, поисковой выдаче, социальной сети или обращении самого клиента.