Как вычислить ведомых сотрудников, которые могут поверить мошенникам и навредить компании
Сколько ни предупреждай о мошенниках, люди все равно теряют бдительность при общении с ними. При этом методы злоумышленников становятся все изощреннее. Рассказываем, как проверить коллег на устойчивость к уловкам мошенников.
Почему люди поддаются на уловки мошенников и кто в зоне риска
Существуют стереотипы о том, что влиянию мошенников поддаются определенные группы людей:
- пожилые;
- одинокие;
- с низким интеллектом;
- не обладающие критическим мышлением.
На самом деле это миф и в зоне риска около 75% людей. В эту группу входит и молодежь, и академики, и члены больших семей, и меланхолики.
Выявить идеальный психологический тип и гарантировать, что сотрудник не поддастся на уловки в силу личных данных и опыта, практически невозможно. На показатель ведомости влияют темперамент человека, стрессовые ситуации, отсутствие времени на анализ и подтверждение информации.
Можно лишь указать, кто вероятнее всего доверится аферисту:
Люди с низкой самооценкой. Им сложно сказать «нет», даже если они заподозрят неладное. Это же касается сотрудников, стремящихся выглядеть «хорошими»: они не любят спорить и боятся отказать в помощи.
Импульсивные люди. Они игнорируют сигналы опасности, им сложно заставить себя лишний раз перепроверить информацию.
Если говорить о типах темперамента, то проще назвать тех, кто менее прочих подвержен уловкам. Это флегматики. Тот случай, когда их нерасторопность идет на пользу.
Динамичные холерики слишком уверены в себе, теряют бдительность, если пообещать им бонус. Сангвиники ценят внимание к своей персоне: раз «руководитель» обратился с поручением лично, нужно следовать его инструкциям. А меланхолики чересчур исполнительны и ответственны, чтобы кого-то подвести своим отказом.
Но это не повод набирать в штат одних флегматиков: абсолютно любой сотрудник может поверить мошеннику, если тот обратится в «правильное» время. Например, когда у специалиста много задач в исполнении и нет времени анализировать ситуацию.
А если в компании нет базы по информационной безопасности, персонал не осведомлен об ответственности за передачу данных третьим лицам — риск попасться на уловки мошенников и навредить компании возрастает в разы.
Какие риски создают ведомые сотрудники для бизнеса?
У мошенников появляется доступ к корпоративным документам, которыми они распоряжаются, как правило, для извлечения прибыли.
Важно!
Распространенный в последние месяцы способ обмана — создание двойника руководителя. Мошенники создают в мессенджерах или социальных сетях аккаунт директора, загружают в него реальную фотографию и связываются с сотрудниками.
Мошенники работают по двум сценариям.
- Лжеруководитель начинает разговор с непринужденных вопросов, демонстрирует, что он действительно тот, за кого себя выдаёт. После этого переходит к делу.
- Лжеруководитель начинает беседу с претензий, вгоняя сотрудника в стресс, после чего тот предлагает быстро загладить свою вину и выполнить поручение. Поручения могут быть разными, в зависимости от целей мошенников. Рассмотрим несколько примеров.
Передача секретной информации
Под видом руководителя мошенник просит предоставить информацию о коллегах — их личные, контактные данные, номер банковской карты — якобы для перечисления гонораров за проекты. Также его могут интересовать финансовая отчетность, авторские разработки и база клиентов.
Передача денег
Раз за разом аферисты придумывают новый повод, чтобы не вызвать подозрения. Примеры реализованных мошенниками сценариев:
- Лжедиректор сообщил, что нужно встретить проверяющих и накрыть для них стол. Для этого нужно перевести ему определенную сумму на личный счет.
- Лжедиректор сообщил, что сотрудник допустил нарушение и теперь нужно дать взятку проверяющим органам — из личных сбережений «провинившегося».
- Лжедиректор предупредил подчиненного о скором звонке органов ФСБ, Следственного комитета или специалиста из банка и потребовал выполнить все их указания. Лжеспецслужбы в таких случаях давят на срочность, запугивают последствиями и требуют перевести деньги с корпоративного «безопасного» счета.
Предоставление доступа в корпоративную сеть
Это одна из наиболее распространенных схем.
- Злоумышленники создают поддельное электронное письмо от госкомпании или компании-партнера.
- К письму прикрепляют архив с документом. Главный принцип: документ должен выглядеть достоверно и не вызывать подозрений. Один из реальных случаев — жертве прислали письмо с архивом, где содержалась информация об удержаниях из зарплат.
- Сотрудник получает письмо. На этом этапе еще можно избежать проникновения! Дело в том, что адрес в таких письмах выглядит правдоподобно, но обязательно имеет ошибку, которую можно заметить, если присмотреться (например, буквы перепутаны местами).
- Сотрудник распаковывает архив. В этот момент запускается вредоносный файл, который будет собирать данные из корпоративной сети, делать скриншоты экрана и передавать информацию злоумышленникам.
Какие действия предпринять в компании и как работать с ведомыми сотрудниками
Ведомые сотрудники — уязвимость компании, они ставят под удар и себя, и бизнес. Поэтому руководство организации должно принимать меры, контролировать поведение и настроение сотрудников, проводить обучающие тренинги по безопасности и объяснять, что грозит коллегам в случае нарушения.
Подпишите NDA с сотрудниками
В NDA (соглашение о неразглашении) вписывают сведения о сотрудниках, клиентах, бизнес-проектах, авторских разработках, продуктах и финансовом положении компании. Объясните коллегам, какой информацией нельзя делиться с третьими лицами.
Назовите суммы штрафов за нарушения, конкретные цифры отрезвляют и мотивируют помнить о безопасности.
Практика показывает, что персонал зачастую не понимает границы дозволенного. Большинство нарушений совершаются именно по незнанию или невнимательности. Например, коллеги делают селфи на фоне рабочего стола, не задумываясь о том, что на нем лежат важные документы. И при увеличении снимка можно увидеть конфиденциальную информацию.
Сотрудники должны понимать, что даже мелкие нарушения создают угрозы ИБ, а если наступят негативные последствия, руководство вправе требовать возмещения ущерба.
Важно!
Внедрите регламенты и политику информационной безопасности, позаботьтесь, чтобы каждый сотрудник понял, как обращаться с конфиденциальными данными, и осознал, что за неумышленный слив он тоже несет ответственность.
Информируйте сотрудников о новых мошеннических схемах
Регулярно проводите тренинги и обучающие занятия. Если у вас нет своего спикера, пригласите специалиста. Сотрудники должны иметь актуальную информацию о методах мошенников, мерах предосторожности и личной ответственности.
Кроме того, по возможности публикуйте информацию о мошеннических схемах на корпоративном портале или в закрытом телеграм-канале. Предупреждайте, если кто-то из коллег получил сомнительное сообщение, и давайте инструкции, как действовать.
Важно!
Сотрудники должны понимать, как вести себя при столкновении с подозрительными ситуациями и к кому обратиться, чтобы подтвердить или опровергнуть информацию.
Притворитесь мошенником и проверьте реакцию сотрудника
Можно назвать это провокацией, но предпочтительнее будет слово тренировка.
- Создайте фейковый аккаунт руководителя и свяжитесь с коллегами.
- Попросите распаковать архив, отправленный с «левой» почты, или скинуть финансовую отчетность / контактные данные клиентов и т. п.
Эксперимент поможет отследить, кто сразу проинформировал службу безопасности о попытке псевдомошенников получить доступ к конфиденциальным данным, кто проигнорировал сообщение, а кто потерял бдительность и предоставил запрашиваемую информацию. - Обсудите с коллегами случившееся.
Как ПО поможет предотвратить человеческий фактор
В небольшой организации все сотрудники на виду, можно контролировать каждого. В крупной компании держать под контролем всех специалистов нереально. Здесь поможет специализированное ПО, которое при первых же подозрительных действиях сотрудника подаст сигнал службе безопасности.
Настройте словари
Например, такие системы, как Staffcop, позволяют отслеживать активность сотрудников, в том числе переписку и посещаемые сайты. В системе настраиваются словари-фильтры по ключевым словам. В словарь можно внести, например, названия конфиденциальных документов. Если в переписке сотрудника появится слово из словаря, представитель службы безопасности об этом получит оповещение на электронную почту или в мессенджер и сможет проконтролировать дальнейшие действия сотрудника.
Присвойте метки конфиденциальным файлам
С помощью Staffcop можно присвоить метки важным документам. Как только сотрудник их откроет, распечатает или скопирует на флешку, об этом станет известно службе безопасности. Если мошенник под видом руководителя или коллеги попросит сделать скриншот экрана, система также оповестит об этом и служба ИБ оперативно заблокирует доступ к системе, пока не прояснит ситуацию.
Контроль демонстрации экрана
Эта функция полезна, если сотрудники регулярно участвуют в видеоконференциях. Практика показывает, что специалисты после видеовстречи порой забывают отключить демонстрацию экрана и в поле зрения третьих лиц попадает конфиденциальная информация, не предназначенная для посторонних глаз.
Чтобы исключить человеческий фактор, при выводе на экран конфиденциальных файлов модуль контроля автоматически прерывает демонстрацию и отправляет уведомление в систему.
Заключение
Руководитель компании должен объяснить сотрудникам, почему важна информационная безопасность и чем грозит нарушение NDA и регламентов. Минимум, что нужно сделать, — организовать обучающие тренинги по безопасности, максимум — проверить, как сотрудники отреагируют на сообщение от пседвомошенника в мессенджерах или соцсетях. Но и эти способы не исключают человеческий фактор, когда коллега по небрежности или невнимательности может слить ценную информацию. И здесь поможет ПО, которое отреагирует на подозрительную активность коллег, проинформирует представителя ИБ и предотвратит инцидент.
С нами можно познакомиться ближе и бесплатно протестировать продукт в течение 15 дней — оставляйте заявку на сайте. А также подписывайтесь на соцсети, где мы разбираем кейсы и отвечаем на основные вопросы по ИБ.
Создайте фейковый аккаунт руководителя и свяжитесь с коллегами
За кражу личности надо сажать