Що таке Фішинг

Фішинг — це шахрайське повідомлення, яке видає себе за відомий бренд, колегу або системне сповіщення, щоб змусити жертву натиснути на посилання, відкрити вкладення, поділитися обліковими даними або підтвердити транзакцію. Це загальний термін для email-фішингу, цільового фішингу (spear phishing), вішингу, смішингу, QR-фішингу (quishing), клон-фішингу, вейлінгу та компрометації ділового листування (BEC). Механіка відрізняється за каналом, але мета одна. Підштовхнути жертву до дії, яку вона не зробила б, якби зупинилась і перевірила. Атака залишається домінантною двадцять років, бо обходить будь-які endpoint-контролі, цілячись у людське рішення під тиском.

Звіт Verizon 2024 Data Breach Investigations Report пояснює 68% інцидентів незловмисним людським фактором, а Anti-Phishing Working Group зафіксувала 4,7 мільйона фішингових атак за 2023 рік, з них 1,077 мільйона лише у четвертому кварталі. FBI Internet Crime Complaint Center зареєстрував 21 489 скарг на компрометацію ділового листування у 2023 році з заявленими втратами 2,9 мільярда доларів. Microsoft Threat Intelligence відстежив кампанії adversary-in-the-middle фішингу, які за один захід 2023 року вразили понад 10 000 організацій. Обʼєм промисловий, націлювання промислове, а собівартість лише знижується разом із масштабуванням техніки.

У 2024 році техніка зловмисників піднялася на два покоління. Великі мовні моделі стискають дні роботи копірайтера до секунд, прибираючи сигнал «зламаної англійської», на який покладалися захисники. Adversary-in-the-middle комплекти на кшталт Evilginx, Modlishka й EvilProxy у реальному часі проксують справжній потік входу і збирають сесійний cookie вже після MFA, що робить одноразові коди марними. API клонування голосу будують переконливі приводи із 30-секундного зразка, а інструменти deepfake-відео тепер у прямому ефірі підставляють обличчя у Zoom і Teams. Випадок Arup 2024 року, коли фінансовий працівник підтвердив переказ 25 мільйонів доларів після відеодзвінка з deepfake-керівниками компанії, став новою нормою, а не винятком.

Якщо ви читач цієї сторінки на боці покупця, ви майже напевно вже маєте secure email gateway, DMARC і щорічний фішинговий модуль навчання. Цей стек ловить дешеві атаки. Дорогі атаки — ті, що стають квартальним інцидентом і репутаційним ударом — проходять крізь нього. Далі на сторінці: сучасний ланцюг атаки, три задокументовані випадки, вісім захисних шарів, які реально працюють, і рольовий підхід до тренувань, що формує рефлекс перевірки на людському рівні.

RansomLeak використовує імерсивні, сценарні вправи замість записаних відео і статичних тестів. Кожна вправа поміщає того, хто навчається, у симульовану поштову скриньку, телефонний дзвінок, SMS-нитку чи відеоконференцію та змушує приймати реальне рішення під реалістичним тиском. Каталог покриває всю поверхню фішингу: основна вправа з фішингу тренує перевірку проти AI-генерованих листів, вправа зі spear-фішингу формує той самий рефлекс проти націлених приводів, вправи зі смішингу й вішингу переносять навичку на мобільний і голосовий канали, а вправа з QR-фішингу покриває image-based обхід. Кожен сценарій закінчується миттєвим зворотним звʼязком, що називає пропущені сигнали і крок перевірки, який зупинив би справжню атаку.

Покриття поширюється на ланцюг атак 2024 року. Вправа з double-barrel фішингу тренує дводільну схему обходу шлюзу, вправа з callback-фішингу покриває reverse-vishing варіант, вправа з компрометації ділового листування проводить фінансові команди через точний патерн зміни платіжних реквізитів, що дав 2,9 мільярда доларів збитків за IC3 2023, а вправа «Whaling With a Deepfake» поміщає того, хто навчається, всередину кейсу Arup із підробленим листом, голосовою поштою з клонованим голосом і deepfake-відеодзвінком. Кожна вправа постачається як SCORM 1.2 і SCORM 2004 пакет, тож працює в Cornerstone, Workday Learning, Docebo, SAP SuccessFactors і будь-якій LMS, що відповідає стандартам, без додаткової інтеграції.

Програми скоупуються за ролями, а не пошлюються всім підряд. Фінанси і AP отримують BEC, vendor-invoice й deepfake-wire сценарії. IT і хелпдеск отримують вішинг і MFA-reset приводи. Інженерія отримує OAuth consent і AI coding assistant security risks. Керівники та їхні асистенти отримують вейлінг, deepfake-відео й хардненинг особистих пристроїв. Результат — рефлекс перевірки, що переноситься на email, SMS, голос, QR і відео, виміряний reporting rate і time-to-report, а не лише click rate, і оновлюється щомісяця слідом за технікою атак.