«Будьте бдительны» — это не защита. Разбор того, что происходит с человеком в момент атаки

За годы в SOC и на пентестах я привык к неприятному распределению: самый дорогой периметр обходится не через уязвимость в коде, а через того, кто за этим периметром сидит. Файрвол не устаёт, не хочет помочь и не боится начальства. Человек устаёт, хочет и боится.

Эта статья не про конкретные схемы «как разводят» — их пересказывают в каждой новости. Она про механику: что именно происходит с человеком в момент атаки, почему инструктаж почти не помогает и что работает вместо него.

Почему бдительность не выдерживает нагрузки

Стандартный ответ на социальную инженерию — собрать сотрудников, показать презентацию, повесить плакат «будь бдителен». Через месяц люди попадаются ровно так же, и вывод обычно делают неверный: «плохо учили, надо повторить».

Учили нормально. Просто бдительность — это осознанная работа: сомневаться, сверять, перепроверять. А вся социальная инженерия построена на том, чтобы человек в нужный момент действовал не осознанно, а на автомате. Инструктаж живёт в осознанном слое. Атака работает в обход него.

Здесь стоит быть аккуратным с формулировками, потому что в этом месте обычно начинают рассказывать про физиологию мозга. Я не нейробиолог и утверждать про сужение доступа к чему-либо не берусь. Скажу то, что видно снаружи и воспроизводится на любой проверке: человек под давлением времени и авторитета перестаёт задавать уточняющие вопросы. Не «не может» — просто перестаёт. Тот же сотрудник, которому дать ту же историю в письменном виде и без спешки, разбирает её за минуту и находит нестыковки сам.

Отсюда практический вывод: защита не должна опираться на силу воли человека в худшую его минуту. Она должна опираться на процедуру, которая срабатывает вместо воли.

Рычаги, на которых играют

Механизмы влияния описаны в социальной психологии задолго до фишинга. Атакующие ничего не изобрели — они просто применяют их быстрее, чем собеседник успевает распознать.

Авторитет. Достаточно уверенного тона, правильной лексики и намёка на должность — легитимность собеседник достроит сам. В компаниях с жёсткой иерархией это работает лучше всего: переспросить руководителя неловко. Отсюда вечная маскировка под «службу безопасности», «руководство», «проверяющих».

Срочность. «Нужно немедленно», «через час заблокируют», «я на совещании, решай сам». Дефицит времени — главный инструмент, потому что он бьёт прямо по возможности проверить. Торопиться и тщательно сверять одновременно не выходит.

Взаимность. Человек, получивший даже мелкую услугу, чувствует себя обязанным. Классический ход — «решить» проблему, которую атакующий сам и создал: сначала звонок «у вас там сбой, сейчас помогу», потом просьба подтвердить.

Социальное доказательство. «Все коллеги уже согласовали», «это стандартная процедура». Ссылка на большинство снимает с человека ответственность за решение.

Симпатия и страх. Две крайности одного приёма — перевести собеседника из режима размышления в режим эмоции. Либо приятный человек, которому неловко отказать, либо угроза последствиями. Цель одна.

Читать этот список полезно не для того, чтобы «распознавать манипуляции» — в моменте вы их не распознаете. Полезно другое: заметить, что все пять рычагов давят на одно и то же место — на готовность взять паузу. Значит, и защищать надо именно паузу.

Попадаются не глупые

Это я проговариваю после каждого пентеста, где была социальная инженерия, и повторю здесь.

Люди, которых удалось обмануть, почти никогда не были невнимательными. Чаще наоборот: отзывчивые, исполнительные, те, кто хотел помочь и не подвести команду. Социальная инженерия эксплуатирует не пороки, а достоинства — вежливость, готовность помочь, уважение к старшим. Попросить сотрудников перестать быть отзывчивыми нельзя, и в этом сложность.

Поэтому разбор инцидента в жанре «ну как ты мог купиться» не просто неприятен — он прямо вредит. Он учит ровно одному: в следующий раз молчать. А сотрудник, который боится сказать «кажется, я нажал не туда», — это разница между инцидентом на десять минут и инцидентом на две недели. В моей практике самые дешёвые по последствиям случаи — те, где человек пришёл сам и сразу, причём почти всегда это были люди, которых до того ни разу публично не отчитывали.

Что реально защищает

Раз воля в стрессе ненадёжна, решение надо вынести за пределы стрессового момента.

Процедура вместо интуиции. Правило формулируется механически, без оценочных суждений: любой срочный запрос, касающийся денег, доступов или данных, подтверждается по независимому каналу. Не «догадайся, что это мошенник», а «перезвони по номеру из внутреннего справочника — не по тому, что назвали в разговоре или указали в письме». Ключевое слово — независимый: обратный звонок по номеру из подписи в том же письме ничего не проверяет.

Право на паузу, закреплённое явно. Сотрудник должен твёрдо знать, что за «я перепроверю и перезвоню» его не накажут — даже если на том конце действительно директор. Атака живёт за счёт неловкости тормозить. Уберите неловкость — рычаг исчезнет. Это, кстати, единственный пункт списка, который ничего не стоит и который почти никто не оформляет письменно.

Культура, в которой признаются. Среда, где «я, кажется, ввёл пароль не туда» — повод среагировать, а не повод для позора, ловит инциденты в разы раньше. Технически бесплатно, по эффекту сопоставимо с половиной купленных средств защиты.

Техника, подпирающая психологию. Там, где можно, стоит убрать зависимость от одного уставшего человека. Подтверждение входа с вводом числа с экрана вместо кнопки «да» — сотрудник не может подтвердить чужой вход, не видя чужого экрана. Пометка о внешнем отправителе в почте — она не спасает от целевой атаки, но убирает целый класс писем «от гендиректора» с внешнего адреса. Ограничение частоты повторных запросов подтверждения — против того, чтобы человека просто задавили количеством. Ничего из этого не заменяет культуру, но каждое сокращает число моментов, когда всё держится на одном решении одного человека.

Что посмотреть у себя

Три вопроса, ответы на которые обычно неприятны.

Записано ли где-нибудь право на паузу — не в презентации, а в регламенте, на который сотрудник может сослаться. Если нет, то в конфликте с настойчивым «директором» ему нечем прикрыться.

Есть ли независимый канал подтверждения и знают ли о нём. Не «есть ли справочник», а знает ли рядовой сотрудник, куда звонить в 19:40, когда обычные согласующие уже недоступны — потому что именно на это время такие звонки и приходятся.

Что происходит с человеком, который сообщил о своей ошибке. Если хоть раз в компании это закончилось публичным разбором с фамилией, следующий сообщать не придёт, и никакие инструктажи этого не перевесят.

Коротко

Безопасность не заканчивается на портах и обновлениях. Можно закрыть всё, что закрывается технически, и получить проход там, где сидит человек, — потому что рычаг влияния оказался сильнее процедуры.

Защищаться при этом можно, просто не там, где обычно ищут: не в силе воли сотрудника в его худшую минуту, а в процедурах, которые думают за него, когда думать уже некогда.