Хакер шабуылы: адам. Phishing. Social Engineering
Хакерлер бірінші сіздің серверді емес, қызметкеріңізді шабуылдайды
Көп компания киберқауіпсіздікті «firewall қойдық, антивирус бар, сервер қорғалған» деп түсінеді. Бірақ шындығында, соңғы жылдардағы шабуылдардың басым бөлігі сервердің қорғанысын «бұзу» арқылы емес — қарапайым қызметкерді алдау арқылы басталады. Себебі қате хабарламаға сеніп, бір рет батырманы басатын адамды табу — брандмауэрді бұзудан әлдеқайда оңай. Бұл мақалада хакерлер неге дәл осы жолды таңдайтынын, қандай әдістерді қолданатынын және компанияны қалай қорғауға болатынын талдаймыз.
📑 Мақала мазмұны
Неге хакерлер серверді емес, адамды таңдайды
Заманауи сервер мен желіні тікелей бұзу — қиын, уақыт пен білікті талап ететін жұмыс: firewall, жаңартылған бағдарламалық жасақтама, шифрлау, мониторинг жүйелері кедергі келтіреді. Ал адам психологиясы — мүлдем басқа «нысана»: асығыстық, сенгіштік, назардың таралуы, беделге бағыну сияқты қасиеттерді техникалық құралмен «жамай» алмайсыз.
🔴 Сервер арқылы шабуыл
- Firewall, IDS/IPS сияқты бірнеше қорғаныс қабатынан өту керек
- Жүйедегі осалдықты (vulnerability) табу үшін уақыт пен білім қажет
- Жаңартылған жүйе көп «есік-терезені» алдын ала жауып қояды
- Әрекет журналда (log) із қалдырады, анықталу қаупі жоғары
🔴 Адам арқылы шабуыл
- Бір сенімді көрінетін хат, бір телефон қоңырауы жеткілікті
- Арнайы техникалық білім қажет емес — тек сенімді сценарий
- Қызметкер өзі есікті «ішінен» ашып береді — қорғаныс қабаттарын айналып өтеді
- Көп жағдайда із қалмайды, ешбір «дабыл» қосылмайды
Қауіпсіздік саласында мұны «ең әлсіз буын» (weakest link) қағидасы деп атайды: қорғаныс жүйесінің беріктігі оның ең әлсіз бөлігімен анықталады. Ал көп компанияда ең әлсіз буын — техникалық жүйе емес, дайындалмаған қызметкер.
Фишинг пен алдамшы хаттар
Фишинг (phishing) — заңды ұйым немесе таныс адам атынан жіберілгендей көрінетін алдамшы хат арқылы құпия деректерді (пароль, банк картасының деректері) немесе ақшалай төлемді «сұрап алу» әдісі. Ол бірнеше түрде кездеседі:
| Түрі | Сипаттамасы |
|---|---|
| Жаппай фишинг | Мыңдаған адресатқа бірдей хат жіберіледі (мысалы, «банк аккаунтыңыз бұғатталды») |
| Spear phishing (нысаналы фишинг) | Нақты бір адамға, оның лауазымын, әріптестерін білетіндей етіп дайындалған жеке хат |
| BEC / CEO fraud (басшы атынан алдау) | Директор немесе қаржы жетекшісі атынан «жедел төлем жасаңыз» деген хат жіберіледі |
| Клондау (clone phishing) | Бұрын келген нақты хаттың көшірмесі жасалып, сілтемесі зиянды сілтемеге ауыстырылады |
🔴 BEC (Business Email Compromise) қалай жұмыс істейді
Бухгалтерге «директор» атынан, әдеттегіден сәл өзгеше домендік адрестен (мысалы, company.kz орнына compаny.kz — бір әріп кириллицамен ауыстырылған) хат келеді: «Жедел, құпия келісім бойынша мына шотқа төлем жасаңыз, кейін түсіндіремін». Асығыстық пен беделге бағыну сезімі қызметкерді тексермей әрекет етуге итермелейді — нәтижесінде компания нақты ақшасын жоғалтады.
Телефон мен жеке байланыс арқылы шабуыл
Фишинг тек электронды пошта арқылы ғана емес. Әлеуметтік инженерияның (social engineering) басқа да түрлері бар — олар да дәл сол сенім мен асығыстық сезімін пайдаланады.
📞 Vishing (телефон арқылы алдау)
«Банктің қауіпсіздік қызметінен» немесе «IT-бөлімнен» қоңырау шалып, құпия код, пароль немесе қашықтан қолжетімділік (remote access) сұрайды.
🎭 Pretexting (жалған сценарий)
Жеткізуші, аудитор немесе жаңа қызметкер болып таныстырып, сенім арттырып, содан кейін ақпарат немесе физикалық қолжетімділік сұрайды.
🚪 Tailgating (артынан ілесіп кіру)
Қолжетімділік картасы жоқ адам, қолында қорап немесе қағаздар ұстап, есіктен қызметкердің артынан «ілесіп» офиске кіреді.
💾 USB baiting (жем ретінде флешка тастау)
Автотұрақта немесе дәлізде «кездейсоқ жоғалтылған» USB флешка қалдырылады — қызіздеп қосқан адамның компьютеріне зиянды бағдарлама орнайды.
Әлсіз парольдер және екі факторлы қорғаныстың болмауы
Тіпті ешбір алдау хаты табысты болмаса да, қызметкерлердің парольмен жұмыс істеу әдеті өз алдына үлкен қауіп тудырады.
- Бір парольді бәріне қолдану — жеке Instagram аккаунты бұзылса, сол пароль жұмыс поштасына да қолданылған болса, хакер жұмыс аккаунтына да оп-оңай кіреді
- Қарапайым, болжамды парольдер — «Company2024!», туған күн, кеңседегі аты сияқты комбинациялар секунд ішінде табылады
- Парольді жазбаға жазып қою — монитордың жанындағы стикер, ортақ Excel файлы
- Екі факторлы аутентификацияның (MFA) болмауы — тіпті пароль ұрланса да, MFA қосымша қорғаныс қабаты бола алар еді, бірақ ол көбіне «ыңғайсыз» деп өшіріліп қойылады
Маңызды факт: тәжірибе көрсеткендей, MFA қосылған аккаунтқа сәтті шабуыл жасау ықтималдығы MFA жоқ аккаунтпен салыстырғанда әлдеқайда төмен түседі — тіпті пароль толықтай белгілі болса да, шабуылшыға екінші факторды (телефон, қосымша код) еңсеру керек болады.
Бір рет басылған сілтеменің салдары
«Бар болғаны бір сілтемені бастым ғой» деген ойдың артында көбіне бүкіл компанияны қамтитын үлкен дағдарыс тұрады. Бір қызметкердің компьютерінен басталған оқиға былай дамуы мүмкін:
Зиянды бағдарлама жүктеледі немесе пароль ұрланады
Хакер бірден әрекет етпей, желіде біраз уақыт бақылап жүреді
Басқа компьютерлерге, серверлерге, резервтік көшірмелерге өтеді
Ransomware барлық файлды шифрлайды немесе деректер сыртқа кетеді
Нәтижесінде компания тек ақшалай төлем емес, сонымен қатар жұмыс тоқтауын, клиенттердің сенімін жоғалтуды, кейде заңдық жауапкершілікті (деректердің құпиялылығы бұзылса) де бастан кешіреді. Ал бастауыш нүкте — көбіне бір ғана, бір адам басқан бір ғана сілтеме.
Компанияны қалай қорғауға болады
Адам факторынан туындайтын қауіпті толықтай жою мүмкін емес, бірақ оны айтарлықтай азайтуға болады — техникалық шаралар мен адами дайындықты бірге қолдану арқылы.
🎓 Адами фактор бойынша шаралар
- Тұрақты қауіпсіздік сауаттылығы бойынша оқыту (security awareness training)
- Жалған фишинг-хаттарды жіберіп тексеретін симуляциялар
- «Күдікті хатты хабарлау» мәдениетін қалыптастыру — қызметкер қателескенде жазаланудан емес, хабарламағаннан қорқуы керек
- Қаржылық төлемдерге қатысты «екінші арнамен растау» ережесі (мысалы, телефон қоңырауымен)
🔐 Техникалық шаралар
- Барлық аккаунтқа міндетті екі факторлы аутентификация (MFA)
- Пошта серверінде SPF/DKIM/DMARC және спам/фишинг фильтрлерін дұрыс баптау
- Ең аз рұқсат қағидасы (least privilege) — әр қызметкерге тек өз жұмысына қажетті қолжетімділік
- Резервтік көшірмелерді желіден оқшауланған түрде сақтау (ransomware резервке де жетпес үшін)
- Ортақ емес, әр аккаунтқа жеке, күрделі парольдерді талап ететін саясат (парольдер менеджерімен бірге)
Қорытындылай айтқанда: ең жаңа firewall мен ең қымбат антивирус та, егер қызметкер сенбеу керек жерде сеніп қалса, дәрменсіз қалады. Сондықтан кез келген кибер қорғаныс стратегиясы техникамен қатар — адамнан басталуы керек.
Қызметкерлеріңіз фишингке қаншалықты дайын?
Біз сіздің компанияңыз үшін қауіпсіз фишинг-симуляциясын өткізіп, қызметкерлердің нақты дайындық деңгейін анықтап, MFA мен пошта қауіпсіздігі баптауларын тексеріп, нақты ұсыныстар бере аламыз.