«Цена вчерашнего дня — это не цена сегодняшнего дня», — фраза, популяризированная Фэт Джо в 2021 году, напоминает нам, что то, что работало вчера, сегодня может не принести той же пользы.
В сфере кибербезопасности это имеет значение, когда мы продолжаем оценивать сотрудников на предмет знакомых фишинговых техник, в то время как злоумышленники используют ИИ для создания более убедительных, персонализированных сообщений. Проведя несколько фишинговых симуляций, в том числе в октябре 2026 года, я считаю, что нам нужно задать более сложный вопрос: готовим ли мы людей к фишинговым атакам, с которыми они, вероятно, столкнутся сегодня, или проверяем их способность распознавать или запоминать предупреждающие знаки, которым мы их научили? Что произойдет, когда эти предупреждающие знаки перестанут действовать или они столкнутся с новыми типами атак?
Фишинговый ландшафт с использованием ИИ
Традиционные явные признаки фишинга, которым мы обучали сотрудников, становятся менее надежными. Генеративный ИИ может помочь злоумышленникам создавать убедительные сообщения, персонализировать приманки и улучшать качество их коммуникации. Это не означает, что каждая фишинговая кампания использует ИИ в реальности, но это повышает планку того, с чем могут столкнуться сотрудники.
Отчет SC Media за 2025 год, основанный на исследовании Egress, показал, что 75% фишинговых наборов, проанализированных на рынках даркнета, рекламировали возможности ИИ, а 82% предлагали функции дипфейков. Эти цифры относятся к проанализированным наборам, а не ко всей фишинговой активности, но они показывают, что функции с использованием ИИ появляются в инструментах, доступных преступникам. Добавьте к этому всплеск недавних фишинговых атак с внедрением ИИ-промптов, и вы быстро поймете, что ландшафт изменился.
Это важно для программ повышения осведомленности. Если сотрудников в основном учат искать орфографические ошибки, общие приветствия или подозрительное форматирование, они могут быть менее подготовлены к сообщению, которое использует знакомые имена, соответствующий деловой контекст и профессиональный язык, когда злоумышленники используют ИИ для его создания. Обучение должно подчеркивать проверку в дополнение к простому распознаванию, а неожиданные запросы должны проверяться через доверенный канал, даже если сообщение выглядит легитимным.
Показатели кликов — это не всё
Фишинговые симуляции часто дают простые заголовки и статистику: процент получателей, которые перешли по ссылке, ввели учетные данные, удалили или сообщили о сообщении. Это простые метрики для сообщения, сравнения и отслеживания с течением времени, а также для представления руководству на совещаниях, но они дают лишь часть картины.
Представьте две группы с одинаковым показателем кликов. В одной сотрудники, подозревающие сообщение, быстро сообщают о нем, позволяя команде безопасности провести расследование, обнаружить других людей, которые могли его получить, и предупредить других получателей. В другой люди удаляют сообщение или игнорируют его, не сообщая о нем. Показатели кликов могут выглядеть одинаково, но способность организации выявлять реальную кампанию отличается.
Поэтому показателям сообщений и времени их отправки заслуживают большего внимания. Команды безопасности должны понимать, используют ли сотрудники утвержденный канал сообщений, как быстро подозрительные сообщения достигают аналитиков и приводят ли эти сообщения к эффективным действиям. Руководство Национального центра кибербезопасности по фишингу предоставляет практические рекомендации по распознаванию и сообщению о подозрительных сообщениях, и организации должны размещать эту информацию на своих веб-сайтах или порталах HR.
Как я видел в нескольких проведенных мной симуляциях, результаты также требуют тщательной интерпретации. Тест — это контролируемое упражнение, а не гарантия того, как человек будет вести себя во время реальной атаки, что может зависеть от состояния ума получателя. Сотрудники могут узнавать знакомые шаблоны или запоминать закономерности, используемые в повторяющихся кампаниях. Переход по симулированной ссылке также не означает автоматически, что кто-то поставит под угрозу организацию в реальном инциденте.
Цель должна заключаться в выявлении слабых мест и повышении безопасности, а не в ранжировании сотрудников по частоте их прохождения или провала, и это должно отражаться в том, как передаются сообщения о неудачах.
Тестируйте реакцию и человека
Фишинговые симуляции должны развиваться вместе с угрозами, которые они призваны представлять. Сценарии должны отражать реалистичные деловые ситуации, включая неожиданный обмен документами, запросы от поставщиков и попытки выдать себя за доверенных коллег, а не только переходы по ссылкам или предоставление учетных данных. Сотрудники должны научиться проверять необычные запросы и сообщать о подозрительных атаках без страха быть осмеянными или наказанными. По опыту, это может включать множество аспектов, таких как пользовательские почтовые ящики, отход от нормы симуляции и несколько уровней утверждения, прежде чем такие упражнения могут быть проведены, но это того стоит.
Команды безопасности также должны оценивать, что происходит после получения подозрительного сообщения. Как быстро о нем сообщается? Могут ли аналитики идентифицировать и связаться с другими получателями, которые, возможно, отреагировали на сообщение? Может ли организация удалить сообщение из почтовых ящиков, заблокировать вредоносную инфраструктуру и расследовать возможное компрометирование учетной записи? Эти вопросы связывают тестирование осведомленности с операционной готовностью.
Тот же принцип применим и к учениям по реагированию на инциденты. Команды безопасности, ИТ, финансов и соответствующие бизнес-подразделения должны знать, что делать, когда реальная фишинговая атака увенчается успехом, что неизбежно произойдет когда-нибудь. Программа, которая улучшает отчетность и реагирование, может принести пользу даже тогда, когда она не может предотвратить переход по ссылке каждого сотрудника.
ИИ будет продолжать менять способы создания и доставки фишинговых сообщений, и осведомленность в области безопасности должна меняться вместе с ним. Вопрос в том, сможет ли организация проверить подозрительную активность, обнаружить атаку и ограничить ее воздействие, когда сообщение выглядит совершенно легитимным и, как следствие, склонно к клику.
Вчерашние тесты по-прежнему могут преподать полезные уроки, но не должны определять готовность к завтрашнему дню.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Oludolamu Onimole
