Що таке Фішинг

Фішинг — це шахрайське повідомлення, яке видає себе за довірений бренд, колегу або систему, щоб змусити жертву перейти за посиланням, відкрити вкладення, передати облікові дані або схвалити транзакцію. Це парасольковий термін для поштового фішингу, цільового фішингу, вішингу, смішингу, квішингу (QR-фішингу), клон-фішингу, вейлінгу та компрометації корпоративної електронної пошти (BEC).

Механіка залежить від каналу, але мета одна. Підштовхнути жертву до дії, якої вона не зробила б, якби зупинилася й перевірила.

Ця атака залишається головною вже два десятиліття, бо оминає будь-які засоби захисту кінцевих точок: вона б’є по людському судженню під тиском.

Звіт Verizon 2024 Data Breach Investigations Report пов’язує 68% зламів із людським чинником без злого умислу, а Anti-Phishing Working Group зафіксувала 4,7 мільйона фішингових атак за 2023 рік, з них 1,077 мільйона лише в четвертому кварталі. FBI Internet Crime Complaint Center зареєстрував 21 489 скарг на компрометацію корпоративної електронної пошти в 2023 році із заявленими збитками 2,9 мільярда доларів. Microsoft Threat Intelligence відстежила фішингові кампанії за схемою «зловмисник посередині» (AiTM), які лише за один прогін 2023 року вразили понад 10 000 організацій. Обсяги промислові, націлювання промислове, а собівартість лише падає в міру того, як прийоми масштабуються.

У 2024 році прийоми зловмисників стрибнули на два покоління вперед. Великі мовні моделі стискають дні роботи носія мови над текстом до секунд і прибирають ознаку «ламаної англійської», на яку покладалися захисники. AiTM-набори на кшталт Evilginx, Modlishka та EvilProxy у реальному часі проксують справжній процес входу й перехоплюють сесійний файл cookie вже після MFA, що робить одноразові коди марними. API клонування голосу будують переконливі легенди з 30-секундного зразка, а інструменти діпфейк-відео вже підставляють обличчя у дзвінки Zoom і Teams наживо. Випадок Arup 2024 року, коли фінансовий працівник погодив переказ на 25 мільйонів доларів після відеодзвінка з діпфейками керівників компанії, став новою нормою, а не винятком.

Якщо ви читаєте цю сторінку як покупець, у вас майже напевно вже є захищений поштовий шлюз, DMARC і щорічний модуль про фішинг. Цей набір ловить дешеві атаки. Дорогі атаки (ті, що ламають квартальні результати й репутацію) проходять крізь нього. Далі на сторінці: сучасний ланцюг атаки, три задокументовані інциденти, вісім рівнів захисту, які справді працюють, і рольовий підхід до вправ, що формує рефлекс перевірки на людському рівні.

RansomLeak проводить імерсивні сценарні вправи замість записаних відео та статичних тестів. Кожна вправа занурює слухача в симульовану поштову скриньку, телефонний дзвінок, SMS-листування чи відеоконференцію та змушує ухвалити справжнє рішення під реалістичним тиском. Каталог охоплює всю поверхню фішингу: базова вправа з фішингу відпрацьовує навичку «перевірити й підтвердити» на згенерованих ШІ поштових приманках, вправа з цільового фішингу формує той самий рефлекс проти персоналізованих легенд, вправи зі смішингу й вішингу переносять навичку на мобільний і голосовий канали, а вправа з квішингу (QR-фішингу) покриває обхід через зображення. Кожен сценарій завершується миттєвим зворотним зв’язком, який називає пропущені ознаки та крок перевірки, що зупинив би справжню атаку.

Охоплення сягає ланцюга атак 2024 року. Вправа з двоетапного фішингу відпрацьовує двокрокову схему, якою зловмисники обходять сканування на шлюзі, вправа з фішингу зі зворотним дзвінком покриває варіант зворотного вішингу, вправа з компрометації корпоративної електронної пошти проводить фінансові команди через ту саму схему зміни платіжних реквізитів, що принесла 2,9 мільярда доларів збитків за даними IC3 за 2023 рік, а вправа «Вейлінг із діпфейком» занурює слухачів у випадок Arup з підробленим листом, голосовим повідомленням клонованим голосом і діпфейк-відеодзвінком. Кожна вправа постачається як пакет SCORM 1.2 і SCORM 2004, тож її можна завантажити в Cornerstone, Workday Learning, Docebo, SAP SuccessFactors чи будь-яку LMS, що відповідає стандартам, без інтеграційних робіт.

Програми будуються за ролями, а не розсилаються всім працівникам однаково. Фінанси та відділ розрахунків з постачальниками отримують сценарії BEC, підроблених рахунків і переказів через діпфейк. Служба IT-підтримки отримує вішинг і легенди зі скиданням MFA. Інженери отримують згоду OAuth і ризики безпеки ШІ-асистентів для написання коду. Керівники та їхні помічники отримують вейлінг, діпфейк-відео й захист особистих пристроїв. Результат — рефлекс перевірки, який переноситься на електронну пошту, SMS, дзвінки, QR-коди й відео, вимірюється часткою повідомлень і часом до повідомлення, а не лише часткою кліків, і оновлюється щомісяця слідом за зміною прийомів зловмисників.

Вправи формують рефлекс, а <a href="/uk/phishing-simulations/" class="text-sage-400 hover:underline">фішингові симуляції</a> вимірюють його на ваших власних працівниках. Кампанії йдуть через електронну пошту та SMS із прямою доставкою в поштову скриньку, бібліотеками шаблонів за зразком живих приманок, фільтрацією кліків ботів і автоматичним коригувальним навчанням, тож провалений тест того самого дня перетворюється на адресне навчання, а не на рядок у звіті.