Представь: утро, ты на работе.
Открываешь почту и видишь сообщение:
«Срочно: нужно подтвердить последний платёж»
Отправитель — директор твоей компании.
Во вложении — invoice.
Текст нормальный.
Имя правильное.
Название компании правильное.
Есть даже что-то похожее на подпись директора.
Ты открываешь файл.
Через несколько минут может быть уже поздно.
Но самый интересный вопрос здесь другой:
Откуда злоумышленник знал, что это письмо нужно отправить именно тебе?
Он выбрал тебя не случайно.
Злоумышленник начинает не с пароля, а с информации
Один из самых важных этапов кибератаки часто вовсе не «взлом».
Это сбор информации.
Этот процесс называется OSINT — Open-Source Intelligence, то есть сбор и анализ информации из открытых источников.
Злоумышленник может изучить всё, что компания и её сотрудники опубликовали в интернете.
И проблема в том, что во многих случаях ничего секретного для этого не нужно.
LinkedIn может уже оказаться достаточно
Допустим, злоумышленник находит страницу компании в LinkedIn.
Через несколько минут он уже может понять:
- кто директор,
- кто бухгалтер,
- кто менеджер по продажам,
- кто HR,
- кто IT-специалист,
- кто новые сотрудники.
Например:
Анна — Accountant
Давид — Sales Manager
Карен — IT Specialist
Арам — CEO
Теперь у злоумышленника уже есть небольшая «оргструктура» компании.
И следующий вопрос становится таким:
кто самая удобная цель?
Разным людям — разная приманка
Если злоумышленник выбрал бухгалтера, нет смысла отправлять ему «запрос нового клиента».
Убедительнее будет:
«Здравствуйте, Анна! Во вложении invoice на оплату за этот месяц. Прошу проверить и подтвердить».
Для Sales Manager это может быть:
«Договор нового клиента во вложении. Прошу проверить до конца дня».
А руководителю можно отправить:
«Срочно нужно утвердить этот документ».
То есть злоумышленник не просто отправляет фишинговое письмо.
Он пытается создать историю, подходящую к контексту твоей работы.
В этом сила социальной инженерии.
А откуда он знает email?
Здесь начинается следующий слой.
На сайте компании могут быть опубликованы:
info@company.am
hr@company.am
sales@company.am
или контакты сотрудников.
Затем из других источников можно понять формат адресов компании.
Например:
name.surname@company.am
Если ты уже знаешь имя и фамилию человека, этот формат может быть весьма полезен для таргетинга.
Кроме того, email-адреса иногда появляются в разных публичных данных или в прошлых утечках данных.
И в итоге злоумышленник может получить не только:
«Анна работает в этой компании»,
но и:
«вот email Анны».
Соцсети — тоже источник информации
Люди часто думают:
«Я не публикую ничего секретного».
Но информация не обязательно должна быть секретной.
Например, сотрудник публикует в Instagram или Facebook:
«Наконец-то отпуск 😎✈️»
Для злоумышленника это может означать, что человек какое-то время будет недоступен.
Другой пишет:
«Сегодня первый день на новой работе».
Теперь злоумышленник знает, что в компании новый сотрудник.
Новый сотрудник может ещё не знать внутренних процедур, используемых систем или правил безопасности.
И это уже может стать дополнительным риском.
Но OSINT — это не только про людей
Злоумышленника интересует и техническая среда компании.
Например, какие у компании поддомены:
crm.company.am
mail.company.am
vpn.company.am
dev.company.am
Или какими сервисами она пользуется.
Могут интересовать также:
- публичные IP-адреса,
- DNS-записи,
- открытые сервисы,
- используемые технологии,
- публичные репозитории,
- опубликованные документы,
- метаданные,
- прошлые утечки данных.
Вся эта информация вместе может сложиться в довольно подробную картину компании.
И здесь начинается настоящая социальная инженерия
Допустим, злоумышленник уже знает:
Арам — CEO
Анна — Accountant
Давид — Sales
CRM — используется в отделе продаж
Email — используется во всей компании
Теперь он может создать не общий фишинг, а конкретный сценарий.
Например:
Анна,
прошу проверить этот invoice и подтвердить оплату.
Арам
Даже если письмо на самом деле не от Арама, Анна может ничего не заподозрить.
Потому что злоумышленник не пытается её просто обмануть.
Он пытается стать частью её рабочей среды.
А если сотрудник не нажмёт на ссылку?
Тогда злоумышленник может попробовать другой путь.
Например, прислать страницу, похожую на страницу входа.
Сотрудник видит:
Microsoft 365 Login
или
Company CRM Login
Вводит email и пароль.
И всё.
Эти данные могут оказаться у злоумышленника.
Дальше могут начаться попытки захвата аккаунта, доступа к данным или проникновения во внутренние системы.
А при чём здесь CRM?
Во многих бизнесах CRM — это не просто «список клиентов».
Она может содержать:
- имена клиентов,
- номера телефонов,
- email-адреса,
- адреса,
- заказы,
- договоры,
- данные об оплатах,
- действия сотрудников,
- внутренние заметки.
То есть CRM может стать очень важной информационной системой компании.
Поэтому вопрос не только в том,
«Можно ли взломать CRM?»
Важнее другой вопрос:
«Если кто-то получит аккаунт сотрудника, что он сможет сделать с этим аккаунтом?»
Поэтому важен контроль доступа
Например, продавцу не обязательно давать тот же доступ, что и администратору.
Если сотруднику нужно только работать с клиентами, ему не нужно позволять:
- менять все настройки системы,
- создавать пользователей,
- экспортировать всю базу данных,
- удалять важные данные.
Это называется принципом Least Privilege — минимальных привилегий.
У каждого пользователя должно быть столько прав, сколько нужно для его работы.
Не больше.
А если кто-то изменит данные?
Здесь уже важен Audit Log — журнал действий.
Например:
09:41 — Анна — изменила номер телефона клиента
10:03 — Давид — изменил статус заказа
10:17 — Admin — создал нового пользователя
Такие записи позволяют понять не только что произошло, но и кто это сделал и когда.
Это важно как для безопасности, так и для контроля обычных бизнес-процессов.
А сотрудник ушёл из компании
Это тоже очень часто забываемая тема.
Сотрудник увольняется.
Но его аккаунт остаётся активным.
У него всё ещё может быть доступ к:
- CRM,
- почте,
- облачному хранилищу,
- VPN,
- внутренним системам.
С точки зрения безопасности это серьёзная проблема.
Онбординг и офбординг сотрудника тоже должны быть контролируемыми процессами.
Итак, что видит злоумышленник
Ты можешь видеть:
LinkedIn → вакансия → сайт → CRM
а злоумышленник может видеть:
люди → должности → email-адреса → системы → доступы → возможные цели
И использовать эту информацию, чтобы составить одно очень убедительное фишинговое сообщение.
Что может сделать бизнес
Не нужно ждать, пока кто-то нажмёт на фишинговую ссылку.
Начать можно с очень простых шагов:
- У каждого сотрудника — отдельный аккаунт
- Права администратора — ограничены
- MFA — во всех важных системах, где это возможно
- Регулярно пересматривать права пользователей
- Сразу отключать аккаунт ушедшего сотрудника
- Журналирование действий (audit logging)
- Резервные копии
- Обучение сотрудников распознаванию фишинга
- Не публиковать лишнюю внутреннюю информацию
- Регулярно проверять, какая информация о компании доступна в интернете
Самая опасная уязвимость — иногда не программа
В кибербезопасности мы часто думаем:
«Нужно защитить сервер».
Да.
Сервер нужно защищать.
Но нужно защищать и человека.
Потому что злоумышленник может и не пытаться взломать сервер.
Он может просто попытаться убедить одного сотрудника, что он — директор.
И если это получится, может открыться путь в обход части технических защит.
Иногда злоумышленнику не нужно взламывать вашу систему.
Достаточно сделать так, чтобы вы сами открыли дверь.
TM Hub × Cybersecurity
В современном бизнесе CRM — не только инструмент управления продажами.
Это ещё и место, где собирается и обрабатывается важная информация бизнеса.
Поэтому, выбирая CRM, нужно думать не только о функциональности, но и о том:
У кого есть доступ?
Кто может изменять данные?
Кто может удалять?
Кто может видеть?
Что записывается в системе?
Что произойдёт, если аккаунт сотрудника будет скомпрометирован?
Кибербезопасность — не отдельная «IT-тема».
Это часть ежедневных процессов бизнеса.
Потому что данные имеют ценность. А всё ценное нужно защищать.
