Сократили, а потом предложили. Новый виток атак на айтишников
Такую тенденцию заметили аналитики DRP-сервиса Smart Business Alert (SBA) (продукт АО "Еса ПРО", входит в ГК "Кросс технолоджис"). Эксперты SBA выделяют несколько мотивов злоумышленников:
- Кража персональных и учетных данных, включая коды доступа к крипто кошелькам, поскольку среди ИТ-специалистов высока доля пользователей криптосервисов.
- Получение доступа к корпоративной инфраструктуре текущего места работы.
Проникновение в рабочую среду специалиста позволяет мошенникам:
- Закрепиться в корпоративной сети и сохранять скрытый доступ после первоначальной компрометации;
- Использовать скомпрометированное устройство при переходе жертвы на новое место работы, тем самым получая "туннель" в инфраструктуры других компаний;
- Разворачивать дальнейшие атаки на партнеров и клиентов через доверенные каналы жертвы.
Руководитель службы информационной безопасности ООО "Инностейдж" (Innostage) Дмитрий Кокорин считает, что при увольнении сотрудника недостаточно просто сменить его пароль: Конечно, в различных организациях, в зависимости от уровня зрелости их информационной безопасности (ИБ), могут действовать правила различной степени строгости. У нас это комплекс мер, который начинается с подачи заявления на увольнение и заканчивается после сдачи пропуска".
Ведущий инженер АО "КОРП Софт" (CorpSoft24) Михаил Сергеев говорит о том, что меры по кибербезопасности после увольнения сотрудника зависят от его должности: "Одно дело уволить разработчика, у которого нет доступов к значимым информационным системам компании. Совсем другое дело, когда увольняют Devops-специалиста. Как правило такой сотрудник имеет доступ ко всем серверам и ИТ-инфраструктуре компании и имеет возможность отставить различные "закладки" и "дыры" на серверах, с помощью которых можно потом попасть в закрытый контур компании".
Директор ИТ-департамента ООО "Дисилоджик" (DCLogic) Михаил Копнин рассказал, что после того, как сотрудник покидает штат, компания отключает его учетную запись, проверяет файлы и электронную почту, после чего учетная запись удаляется: "Если сотрудник имел доступ к каким-либо системам, эти доступы аннулируются. К тому же, мы меняем любые пароли, если есть хотя бы намек на то, что пользователь мог их знать. На рабочем устройстве сотрудника мы переустанавливаем операционную систему. Также после увольнения, как правило, следует рассылка по компании о том, что сотрудник больше у нас не работает. Это делается на тот случай, если он самостоятельно не написал прощальное письмо".
Представитель пресс-службы ООО "Суперджоб" (SuperJob) сообщил, что среди ИТ-специалистов, находящихся в поиске работы, каждый второй (49%) является трудоустроенным: "Ищет новое место (более выгодное по оплате и лучшее по условиям работы), не увольняясь со старого. Год назад трудоустроенные соискатели различных позиций в ИТ составляли большинство (69%). Показатель снижается, и сейчас он находится на уровне января 2022 г. (тогда было 48%)".
Представитель пресс-службы SuperJob отметил в каких отраслях наиболее востребованы специалисты по ИБ (Россия, все округа, в порядке убывания количества вакансий):
- Информационные технологии (больше всего вакансий в ноябре 2025 г.)
- Банки, финансы
- Услуги В2В
- Ритейл
- Государственные организации
Руководитель отдела информационной безопасности облачной платформы Linx Cloud Григорий Филатов отметил, что компания отключает (а в некоторых случаях и удаляет) учетные записи коллег, которые приняли решение покинуть компанию: "Так же активно мы используем дополнительный механизм. Он предполагает добавление доменной учетной записи уходящего коллеги в группу "блэк-лист". Этот механизм позволяет обнулять права учетных записей в различных сервисах".
Руководитель центра мониторинга и реагирования на инциденты информационной безопасности ООО "Газинформсервис" Александр Михайлов отметил, что большинство компаний сталкивается с нарушениями политик безопасности увольняющимися работниками, на всех этапах увольнения: "Поэтому у нас этот процесс тщательно продуман и выстроен. Особое внимание мы уделяем взаимодействию с руководителями и отделом кадров, чтобы как можно раньше получить информацию об увольнении работника, также прибегаем к системам аналитики поведения пользователей, которые позволяют предположить возможное увольнение за недели до заявления. С этого момента мы помещаем учетную запись работника в особую группу, для которой налажен сбор большего количества метрик с рабочего компьютера, а также ограничены некоторые доступы. Также проводим ретроспективный анализ действий пользователя на предмет возможного нарушения политик безопасности. К сожалению, не каждый работник осознает грань между служебной и личной информацией".
Генеральный директор ООО "Один Айдиэм" (1IDM) Роман Федосеев, чтобы предотвратить риски утечки данных и несанкционированного доступа к ИТ-инфраструктуре, говорит о том, что при увольнении сотрудников необходимо немедленно заблокировать их учетные записи и отозвать права доступа: "К сожалению, на практике информация от кадровых служб часто приходит в ИТ-службу с задержкой, либо ИТ-специалисты просто не успевают обработать все подобные запросы вовремя – это дает злоумышленникам шанс воспользоваться учетными записями уволенных сотрудников и получить доступ к ИТ-ресурсам компании. Это как раз особенно ярко заметно в периоды массовых увольнений, но и в более спокойное время встречается в крупных компаниях и компаниях с высокой текучкой кадров".
Руководитель отдела информационной безопасности АО "ПФ "СКБ Контур" Александр Дельва отметил, что сценариев фишинга бесчисленное количество, многие из них ориентированы на ИТ-персонал: "Закончилось место на почтовом сервере", "Данные будут удалены", "Программа не запускается". С точки зрения эффективности злоумышленникам не обязательно заведомо себе сокращать таргет (цель мошенничества), нацеливаясь именно на сокращенных ИТ-сотрудников. В целом фишинговые истории давно описаны в книгах по социальной инженерии. Психологические уловки базово не меняются, меняется только окружение и легенды, с которыми они используются".
Директор по информационной безопасности ГК "Солар" Вячеслав Тупиков рассказал, что внутри компании учетные записи всех покидающих работников блокируются в день увольнения – соответственно, использование их для аутентификации в сервисы компании становится невозможным: "Кроме того, мы обеспечиваем круглосуточный мониторинг всех событий аутентификации в системы компании и активность учетной записи уволившегося сотрудника будет рассматриваться как инцидент ИБ с последующим реагированием. Полный перечень защитных мер будет зависеть от должности сотрудника, перечня его прав доступа и категории доступной информации. В отдельных случаях мы дополнительно документально закрепляем обязательства о неразглашении чувствительной информации".
Директор по продажам компании ООО "Стахановец" Артем Жадеев сталкивался с ситуациями, когда сотрудник ищет работу на рабочем месте: "Мы фиксируем такие ситуации. DLP-системы (это программно-аппаратные комплексы, предназначенные для предотвращения утечек конфиденциальной информации за пределы периметра организации - прим. ComNews) отслеживают посещение сайтов с вакансиями или активность на платформах трудоустройства. Конечно, это не повод для наказаний, но признак снижения вовлеченности и возможного риска. Мы анализируем такие сигналы для предупреждения инсайдерских утечек. Часто человек, ищущий новую работу, может одновременно копировать проекты или клиентские материалы. В одном случае DLP-система выявила, что специалист пересылает часть технической документации на личную почту — после разговора с менеджером инцидент был урегулирован без конфликта"
Исполнительный директор ООО "Вебинар Технологии" (бренд "МТС Линк") Павел Потехин рассказал, что с распространением ИИ-технологий повышается количество атак вида Fake Boss: "Мошенники в публичных мессенджерах представляются именем руководителя или коллеги, отправляют от их лица сгенерированные видео- и аудиосообщения. Цель — вымогательство и кража корпоративных данных. Согласно нашему недавнему исследованию, 68% россиян не получают от работодателей информацию об актуальных ИИ-угрозах. При этом треть представителей крупных компаний отметили, что уже сталкивались с дипфейками. Системность и регулярность обучения по информационной безопасности сегодня становится критической необходимостью для бизнеса".
Руководитель направления отдела анализа и оценки цифровых угроз ООО "Инфосекьюрити" (Infosecurity - ГК Softline) Максим Грязев отметил, что опыт показывает, что фишинговая атака зависит скорее от ситуационных факторов, чем от уровня технических знаний сотрудника: "Наиболее уязвимыми остаются сотрудники в состоянии стресса или высокой загруженности, при этом целями часто становятся топ-менеджеры и бухгалтеры, имеющие доступ к финансовым операциям. Однако даже ИТ-специалисты не застрахованы от рисков, что опровергает миф об их полной защищенности. Например, в одной из компаний произошел инцидент, когда злоумышленники внедрили в корпоративный мессенджер поддельного бота, маскирующегося под сервис системных уведомлений. Бот запрашивал у сотрудников учетные данные для аутентификации, и ряд технических специалистов предоставили свои пароли, полагаясь на привычный инструмент".