Управленческий урок на $3 миллиарда

В 2024 году одна фишинговая ссылка привела к крупнейшему сбою в истории американского медицинского страхования.
Финансовый ущерб - более $3 млрд. Причина - один скомпрометированный аккаунт сотрудника.
И это не техническая история. Это управленческая.
Атака началась с фишингового письма в компании UnitedHealth Group. Через учетную запись сотрудника злоумышленники получили доступ к системе удалённого подключения и спустя несколько дней запустили вирус-шифровальщик.
Под удар попала инфраструктура Change Healthcare, которая обрабатывает огромную часть медицинских страховых выплат в США.
Последствия оказались системными:
миллионы пациентов не могли воспользоваться страховкой
аптеки и клиники не могли обработать страховые выплаты
медицинские услуги приходилось оплачивать из собственного кармана
компания была вынуждена платить выкуп хакерам
Общий финансовый ущерб превысил $3 млрд.
Позже генеральный директор Эндрю Уитти заявил, что атаку могла предотвратить простая мера - двухфакторная аутентификация.
Но для бизнеса важнее другой вывод.
Большинство компаний воспринимают кибербезопасность как технологическую проблему: покупают системы защиты, внедряют новые инструменты, усиливают инфраструктуру.
Однако практика показывает другое.
Даже при наличии современных технологий атаки часто начинаются с человеческого фактора: ошибки сотрудника, невнимательности или недостаточной осведомлённости.
Поэтому проблема лежит не только в технологиях, но и в управлении культурой безопасности внутри компании.
И здесь у многих организаций возникает разрыв.
Обучение сотрудников часто сводится к формальному онлайн-курсу раз в год и тесту, который проходят «для галочки». В результате знания не закрепляются, а сотрудники остаются неподготовленными к реальным атакам. Причем если эта проблема актуальная и для крупных компаний, то про МСП и говорить нечего.
Для бизнеса кибербезопасность - это уже не IT-вопрос. Это вопрос операционных рисков и устойчивости компании.
Инвестиции в технологии важны. Но без вовлеченных и подготовленных сотрудников даже самая дорогая система защиты может оказаться бесполезной.
Иногда самый дорогой инцидент в истории компании начинается с одного клика.