Внимание, рискуют сотрудники

Хотя значительная часть успешных взломов организации начинается с эксплуатации уязвимостей, уверенное второе место занимают атаки, где все началось с ошибки сотрудника. При этом риски, связанные с человеческим фактором (human risk), эволюционируют вместе с ландшафтом угроз, организационными изменениями, внедрением ИИ в компаниях. Что в 2026 году изменилось сильнее всего, изучили в институте SANS, опросив более тысячи ИБ-экспертов по human risk. Эти специалисты почти единодушны в том, что социоинженерные атаки усложняются и затрагивают больший процент сотрудников, а риски ИИ выходят далеко за рамки проблемы с несанкционированной отправкой данных в публичные LLM.

Значительная часть отчета посвящена самой работе ИБ-специалиста и сопряженным с ней трудностям, но мы сосредоточились на главном — сопоставлении того, что видят эксперты, ответственные за human risk с тем, что происходит в реальности.

Обманчивое падение риска, связанного с паролями

Риск, связанный со слабыми паролями и неустойчивыми способами аутентификации назвали основным всего 22% опрошенных, он попал на 4 место. Пароли падают в этом рейтинге второй год, создавая обманчивое впечатление, что более строгие парольные политики и обязательная многофакторная аутентификация (MFA) сделали проблему менее актуальной.

На самом деле картина сложнее, и в ней нужно учитывать два важных фактора. Во-первых, часть «парольной» проблемы теперь регистрируется под вывеской социальной инженерии. В эту категорию отчет включает вообще все, от традиционных фишинговых писем до дипфейков. Но статистика реагирования на инциденты показывает, что социальная инженерия приобретает более опасные и интерактивные формы. Все чаще сотрудникам не пишут, а звонят, якобы из техподдержки. А иногда, наоборот, звонят в корпоративную техподдержку и представляются сотрудником. В любом из двух сценариев жертву побуждают либо сбросить MFA, либо сообщить одноразовый код, либо привязать к учетной записи новое устройство для MFA, также при необходимости сбрасывают и пароль. В итоге злоумышленники получают доступ к аккаунту, выманив и пароль, и MFA. Воспринимать эту проблему как чисто социоинженерную неправильно, и одним обучением простых сотрудников ее не решить.

Ключевым моментом являются строжайшие процедуры сброса паролей и MFA, являющиеся неотъемлемым элементом ИБ-политики. Правильным выводом будет не «можно забыть о паролях», а «парольные политики должны ужесточать процедуру установки пароля». И обучение потребуется в первую очередь службе техподдержки, включая внешнюю. Подробнее об этом ниже, в списке советов.

Второй фактор связан с расцветом инфостилеров. Массовая кража секретов с зараженных компьютеров, включая личные устройства, позволяет злоумышленникам получить пароль любой длины, код MFA, или сразу токены аутентификации и куки, минуя использование паролей вообще. Это меняет акценты в том, что сотрудники должны знать о паролях, но уровень их важности сохраняется. Критически важными остаются требования по уникальности паролей и максимально возможная изоляция рабочих паролей и сессий от личных устройств.

Океан ИИ-рисков

Риски, связанные с применением ИИ на работе, растут второй год и заняли уверенное второе место после социальной инженерии. За скупой и вроде бы понятной фразой «применение ИИ» на самом деле скрывается целая группа разнородных рисков, некоторые из которых очевидны, а некоторые можно и упустить.

• Теневой ИИ. Опрошенные SANS эксперты говорят, что по сравнению с «теневым ИТ», масштабы «теневого ИИ» значительно выше, как по числу затронутых сотрудников, так и по разнообразию инструментов, несанкционированно используемых на работе. Хаос тут может вносить нечеткие месседжи, мотивирующие использовать ИИ. Во многих организациях руководство побуждает сотрудников быть AI-first, повышать свою эффективность при помощи ИИ, но предлагает для этого неудобные конкретным сотрудникам инструменты, либо вообще не дает конкретики, а только требует. В результате сотрудники поспешно и без всякого согласования с ИБ и ИТ внедряют знакомый им, либо попросту найденный в поиске ИИ-инструмент.
• Бездумная отправка персональных данных, регулируемой или конфиденциальной информации. Самый очевидный риск, который при этом продолжает расти. Никакое количество тренингов не сможет победить желание успеть побольше — сотрудники все равно будут отправлять конфиденциальную информацию не пойми каким нейросетям. Поэтому предотвратить инциденты этого рода можно только переходом на санкционированные ИИ-инструменты и встроенные системы очистки ввода от ПД.
• Ухудшение критического мышления и противоречие ИБ-политикам. Менее очевидный, но очень опасный момент — многие сотрудники бездумно используют результат работы нейросети, не проверяя его и не подвергая сомнению и критическому анализу. Точной статистики по этому поводу нет, но популяризация жаргонного термина «мясной прокси» (meat proxy) показывает, что это распространенная проблема. Привычка полагаться на ИИ приводит к тому, что в сомнительной ситуации из сферы ИТ или ИБ, сотрудник руководствуется не принятой политикой, и не советом коллеги-специалиста, а результатами консультации с ChatGPT. Инциденты с отравлением этих ответов показывают, что такая практика может быть откровенно опасной.
• Вайбкодинг.  Сотрудники без опыта разработки ПО самостоятельно создают внутренние, а то и внешние сервисы (дэшборды и отчеты, автоматизацию процессов, и так далее), опираясь на нейросети и не проверяя результат их работы. В результате зачастую появляются на свет критически уязвимые приложения с доступом к важным данным организации.  При этом по опросам SANS практика вайбкодинга проникла в организации очень широко, и новоиспеченных программистов можно встретить практически в любом отделе компании.

Отделы особого внимания

Когда речь заходит про участие обычных сотрудников в вопросах, связанных с ИБ, оказывается что в каждом отделе есть те, кто поддерживает этот процесс и те, кто противится ему. Отчет SANS рассматривает это в первую очередь в контексте формирования внутренней политики — как индикатор отделов, в которых сложнее и проще искать союзников для внедрения ИБ-программ. Но есть здесь и выраженный аспект прогнозирования рисков. Отделы, в которых сотрудники часто становятся целями фишинга и социальной инженерии, а уровень вовлеченности в ИБ-программы низок, требуют особого внимания со стороны команды SOC. Анти-чемпионами здесь традиционно являются департаменты финансов и операционной деятельности (17% и 23% противников ИБ при 2% и 5% помощников), немалое сопротивление оказывают в отделах HR и внешних коммуникаций (13% и 12% противников при 6% и 7% помощников). Отдельно указаны категории «менеджеры среднего и высшего звена». Топ-менеджмент чаще поддерживает, чем мешает ИБ-инициативам (21% и 17% соответственно), а вот менеджеры среднего звена в 17% случаев не хотят никакой ИБ, и лишь в 4% случаев поддерживают ИБ-инициативы.

Ключевая для современных социоинженерных атак группа сотрудников техподдержки (сервис-деск, ИТ-поддержка, и т.п.) в статистике отдельно не учтена, но в целом лишь 10% сотрудников ИТ противятся процессам ИБ, а 28% их поддерживают.

Как снижать «человеческие риски» в 2026 году

Советы ниже разделены на несколько блоков, применимых к разным группам сотрудников. Реализация многих советов требует не только учить сотрудников, но и скорректировать ИБ-политики организации, например внедрить одобренный и фильтруемый доступ к ИИ, закрепить распределение ответственности за внедрение ИИ-агентов, формализовать процедуру подтверждения личности при запросах на сброс пароля и MFA.

Чтобы обучение было эффективным, и знания не оставались сугубо теоретическими, курс нужно сопровождать игровыми механиками, симуляциями и повторами, адаптированными к скорости восприятия каждого человека. Воплотить это в масштабе всей организации помогают специализированные платформы, такие как Kaspersky Automated Security Awareness Platform .

Чему учить всех сотрудников

• Если вас по телефону, в SMS или мессенджере просят сообщить пароль или код MFA, сбросить их или подтвердить действие, прервите разговор и свяжитесь с корпоративной техподдержкой по известному вам каналу связи, даже если номер звонящего выглядит знакомым.
• Никто, включая ИТ-службу, никогда не будет просить открыть им ваш пароль или код MFA.
• Никогда не подтверждайте запрос MFA, если вход инициировали не вы.
• Никогда не вставляйте и не выполняйте технические команды в строку «Пуск» или иную командную строку, если эти действия предлагает сайт, окно CAPTCHA или всплывающее сообщение.
• Устанавливайте программы только из одобренных и официальных источников, не используйте взломанные программы, модификации для игр.
• То же самое касается расширений для браузера. Используйте только известные расширения, одобренные ИТ и ИБ.
• Не входите в рабочие учетные записи и не синхронизируйте рабочий профиль браузера на личных устройствах.
• Используйте менеджер паролей и уникальный пароль для каждой учетной записи и никогда не используйте одинаковые пароли для рабочих и личных учетных записей.
• Пользуйтесь только одобренными ИИ-инструментами и учитывайте, какой из них предназначен для каждого типа информации. Часто бывает, что инструмент одобрен, например, для деловой переписки, но запрещен для обработки данных клиентов.
• Не вводите в публичные ИИ-сервисы данные клиентов, конфиденциальную или внутреннюю информацию.
• Проверяйте результаты работы ИИ перед использованием, поскольку ответственность за результат несете вы.
• Рекомендации ИИ не перевешивают соблюдения требований ИБ. Если они кажутся противоречащими друг другу, позвоните в отдел ИБ или техподдержку и попросите совета.
• Не используйте в работе приложения, скрипты или агентов, созданных с помощью ИИ, без предварительного согласования с руководством и с ответственными за внедрение ИИ-систем в департаменте ИБ.
• Сообщайте о подозрительных событиях вроде странных писем и звонков, даже если считаете, что справились сами. Такие сообщения помогают остановить атаку на других коллег.

 Чему учить отдельные группы сотрудников

Поддержка пользователей и ИТ-поддержка (включая внешних подрядчиков)

• Никогда не сбрасывайте пароль или MFA во время входящего звонка, а всегда перезванивайте обратившемуся сотруднику по номеру из корпоративного справочника.
• Подтверждайте личность сотрудника по видеосвязи с предъявлением документа, удостоверяющего личность. Названных по телефону персональных данных или имени руководителя недостаточно, поскольку злоумышленники часто располагают этими сведениями.
• Перед любым изменением MFA или сбросом учетной записи администратора получайте подтверждение руководителя по независимому каналу. В спорных случаях требуйте личной явки сотрудника.
• Если звонит «представитель поставщика» с просьбой о доступе, завершите разговор и свяжитесь с ответственным менеджером этого поставщика по контактам из договора.
• Воспринимайте срочность, высокую должность звонящего и обращение в нерабочее время как признаки атаки.
• Не принимайте рабочие указания от коллег через SMS или иные нерабочие каналы связи.

Финансовая служба, руководители и их помощники

• Подтверждайте каждый платеж, изменение банковских реквизитов или запрос доступа обратным звонком по ранее известному номеру, даже если запрос поступил голосом или по видеосвязи.
• Злоумышленники могут изготовить голосовой и видео-дипфейк руководителя. Заранее договоритесь с боссом о нескольких способах проверки подозрительных событий (звонок по другой линии, кодовое слово, и так далее).

Разработчики и все, кто создает программы с помощью ИИ (вайбкодинг)

• Проверяйте код, сгенерированный ИИ, так же тщательно, как работу стажера. Если у вас для этого не хватает квалификации, привлеките коллег, у которых она есть.
• Никогда не размещайте секреты, ключи и учетные данные в коде или запросах к ИИ.
• Помните: создав ИИ-агента, вы отвечаете за его действия. Предоставляйте ему минимально необходимые права и требуйте подтверждения человеком для любых необратимых операций.

Более подробные советы по безопасному вайбкодингу — в отдельной статье.

Что изменить в программах повышения ИБ-осведомленности

• Уберите из обучения требования к сложности и регулярной смене паролей и вместо этого учите использованию уникальных длинных паролей и менеджеров паролей.
• Добавьте в программу учебные атаки с голосовым фишингом (вишингом) и поддельными окнами CAPTCHA, в том числе против службы поддержки.
• Никогда не стыдите сотрудников, прошедших учебную атаку неуспешно, а помогайте им разобраться в ошибках и приобрести уверенность.
• Замените один большой ежегодный курс повышения осведомленности короткими регулярными тренингами, основанными на реальных инцидентах и текущем статусе внедрения ИИ в компании.
• Проводите отдельное обучение по ролям для службы поддержки, финансовой службы, руководителей и разработчиков.
• Сделайте так, чтобы сообщить об инциденте можно было одним нажатием кнопки или одним звонком, и публично благодарите тех, кто это делает.
• Оценивайте долю сообщений о подозрительных событиях и время до сообщения, а не долю переходов по фишинговым ссылкам.