Блог · 12 августа 2026

Фишинг в 2026 году: как научить сотрудников распознавать опасные письма

Признаки фишинговых писем, типичные сценарии атак на бизнес и как выстроить обучение сотрудников без формализма.

Почему фишинг до сих пор работает

Технические средства защиты становятся лучше, но человек остаётся самым удобным входом в компанию. Злоумышленнику не нужно искать уязвимость в сервере, если бухгалтер сам откроет вложение «Акт сверки» или введёт пароль на странице, похожей на вход в почту. По нашему опыту, большинство инцидентов у небольших компаний начинается именно с письма.

Современные фишинговые письма редко похожи на неуклюжие рассылки прошлых лет. Тексты грамотные, оформление повторяет реальные письма банков, маркетплейсов и государственных сервисов, а иногда письмо приходит с настоящего, но взломанного ящика давнего контрагента.

Типичные сценарии

Поддельный документ. Письмо со ссылкой на «счёт», «претензию» или «требование» и архивом с паролем, чтобы антивирус не смог проверить содержимое.

Смена реквизитов. Злоумышленник, получивший доступ к переписке, пишет от имени поставщика, что расчётный счёт изменился. Особенно опасно, потому что письмо встроено в реальную цепочку.

Срочная просьба руководителя. Сотруднику пишет «директор» с личного адреса и просит срочно оплатить счёт или купить подарочные карты, пока он на совещании.

Фальшивая страница входа. Уведомление о том, что ящик переполнен или документ доступен по ссылке, ведущей на копию страницы авторизации.

На что обращать внимание

Адрес отправителя, а не только отображаемое имя. Имя «Ирина Бухгалтерия» может скрывать совершенно посторонний адрес.

Ссылки. Перед нажатием наведите курсор и посмотрите, куда ведёт ссылка. Домен с лишней буквой или странной зоной — повод остановиться.

Давление срочностью. «Оплатите до конца дня», «аккаунт будет заблокирован через час» — классический приём, чтобы человек не успел подумать.

Неожиданные вложения, особенно архивы с паролем, документы с макросами и файлы с двойным расширением.

Просьбы, нарушающие обычный порядок: изменить реквизиты, обойти согласование, сообщить код из SMS.

Как выстроить обучение

Разовая лекция раз в год почти не работает: через месяц большая часть информации забывается. Гораздо эффективнее короткие регулярные форматы. Раз в квартал проводите учебную рассылку: сотрудники получают безопасное письмо, имитирующее фишинг, а тем, кто перешёл по ссылке, показывается короткая памятка с разбором ошибки.

Важно, чтобы учебные рассылки не превращались в охоту на виноватых. Задача — научить, а не наказать. Публичное порицание приводит к тому, что сотрудники перестают сообщать о подозрительных письмах, а это гораздо опаснее одного неверного клика.

Сделайте простой и понятный канал для сообщений: отдельный адрес или кнопку в почтовом клиенте. Благодарите тех, кто сообщает о подозрительных письмах, даже если тревога оказалась ложной.

Что делать, если письмо уже открыто

Сотрудник должен знать: если он перешёл по ссылке, ввёл пароль или открыл вложение, нужно сразу сообщить об этом ИТ-службе, а не надеяться, что обойдётся. Чем раньше поступит сигнал, тем меньше ущерб. Порядок действий простой: отключить компьютер от сети, не выключая его, сменить пароль от почты с другого устройства и сообщить ответственному специалисту.

ИТ-служба, в свою очередь, проверяет журналы входа в почту, ищет похожие письма у других сотрудников и удаляет их из ящиков, блокирует вредоносный домен на почтовом шлюзе и при необходимости восстанавливает данные из резервной копии. Такой разбор стоит превращать в короткую анонимную памятку для всего коллектива: реальные примеры запоминаются гораздо лучше абстрактных правил.

Технические меры в помощь людям

Обучение должно дополняться техникой. Настройте записи SPF, DKIM и DMARC для своего домена, чтобы от вашего имени было сложнее отправлять поддельные письма. Включите фильтрацию вложений и проверку ссылок на почтовом сервере. Обязательно используйте двухфакторную аутентификацию для почты: даже если пароль утечёт, злоумышленник не сможет войти в ящик.

И, наконец, закрепите правило: любые изменения платёжных реквизитов подтверждаются звонком по номеру, который уже был известен до письма, а не по номеру из самого письма. Это простое правило предотвращает самые дорогие инциденты.