Фішинг проти малого бізнесу: п'ять правил, які рятують гроші

Уяви: бухгалтерка отримує лист від постійного постачальника. Той самий стиль, підпис, навіть номер договору. Тільки реквізити «оновилися». Вона платить. Гроші зникають. Знайомий сценарій? Саме так малий бізнес втрачає гроші найчастіше — не через хакерів у капюшонах, а через один довірливий клік.

Фішинг б'є по малому бізнесу боляче саме тому, що тут немає служби безпеки. Є власник, кілька людей команди і пошта, в яку падає все підряд. Розберімо, як закрити основні дірки без бюджету корпорації.

Як працює типова атака

Шахраї не зламують сервери. Вони зламують довіру. Зі старих злитих баз беруть назви компаній, посади, суми договорів. Потім пишуть лист, який виглядає як звичайне робоче листування: «оновлені реквізити», «рахунок на оплату», «підтвердіть дані для доставки». Що більше справжніх деталей у листі, то менше сумнівів у отримувача.

Розрахунок на поспіх. Кінець місяця, звіти горять, лист виглядає буденно — і рука сама тягнеться оплатити. Зупинись. Саме на цій секунді вирішується, збереже бізнес гроші чи ні. Пауза на десять секунд і одне контрольне питання — «а чи чекав я цей рахунок?» — розвертають більшість схем ще на старті.

Чому саме малий бізнес

Здається, що шахраям цікаві лише великі компанії з мільйонними оборотами. Логіка зворотна. Велика компанія має службу безпеки, регламенти і поштові фільтри. Малий бізнес — живу пошту, довіру всередині команди і звичку вирішувати все швидко. Для атаки це ідеальне середовище.

Додай ще один фактор: у малому бізнесі одна людина часто поєднує кілька ролей. Бухгалтер відповідає і за оплати, і за пошту, і за документи. Один зламаний акаунт — і зловмисник бачить усю фінансову картину компанії.

П'ять правил, які закривають більшість атак

Правило 1. Будь-яка зміна реквізитів — підтвердження іншим каналом

Прийшов лист про нові реквізити? Зателефонуй контактній особі за номером, який у тебе вже був раніше. Не за тим, що вказаний у листі, — його теж могли підмінити. Тридцять секунд дзвінка проти втрачених грошей — вигідна угода.

Правило 2. Перевіряй домен відправника

Дивись не на ім'я відправника, а на адресу після символу @. Шахраї міняють одну літеру: замість «company» — «cornpany», замість крапки — дефіс. Побачив розбіжність зі звичною адресою — лист у кошик, домен у чорний список, партнеру дзвінок.

Правило 3. Двофакторка всюди, де є гроші

Пошта, банкінг, CRM, рекламні кабінети. Двофакторна автентифікація — це другий замок на дверях: навіть якщо пароль украли, всередину не зайдуть. Налаштування займає десять хвилин на сервіс. Жодна інша інвестиція в безпеку не дає стільки захисту за такий час.

Правило 4. Паролі — довгі, унікальні, в менеджері

Один пароль на всі сервіси — подарунок шахраям: один злам відкриває все. Постав менеджер паролів, згенеруй кожному сервісу окремий ключ і забудь про «Qwerty2024» назавжди.

Правило 5. Тренуй команду, а не тільки себе

Найміцніший замок марний, якщо хтось із команди сам відчинить двері. Раз на кілька місяців — коротка розмова: показуй реальні приклади фішингових листів, розбирайте їх разом, шукайте ознаки підробки. Двадцять хвилин практики захищають краще за будь-яку інструкцію в шухляді.

Бонус: оновлення і резервні копії

Фішинг — часто лише двері, через які заносять шкідливе програмне забезпечення. Тому тримай системи оновленими і роби резервні копії важливих даних за правилом «3-2-1»: три копії, два різні носії, одна поза офісом. Якщо щось піде не так, бізнес продовжить працювати, а не почне все з нуля.

Що робити, якщо вже клікнули

Паніка — поганий радник, але швидкість вирішує. Перші години після кліку по фішинговому посиланню найцінніші: платіж ще можна зупинити, а доступи — перекрити. Дій за списком, зверху вниз.

• Негайно зміни паролі до пошти і фінансових сервісів — з іншого, чистого пристрою.
• Подзвони в банк і спробуй зупинити платіж: у перші години шанси реальні.
• Попередь команду і контрагентів — шахраї можуть писати далі від вашого імені.
• Повідом кіберполіцію: заява подається онлайн.
• Розбери інцидент з командою без пошуку винних. Мета — щоб не повторилося, а не покарати.

Кібербезпека — це не разовий проєкт, а звичка, як зачиняти офіс на ключ. Почни з двофакторки і правила підтвердження реквізитів, а далі розширюй захист — тримай добірку порад із захисту від онлайн-шахрайства. Ніяких відмазок. Почни сьогодні.