Письмо выглядит обыденно: «Добрый день! Направляем счёт на оплату, проверьте, пожалуйста, реквизиты». Вложенный PDF, подпись бухгалтера, адрес почти правильный — одна буква в домене. Директор открывает на телефоне, вводит пароль от почты, чтобы посмотреть «защищённый документ». Через час из ящика уходят письма клиентам с новыми реквизитами.
Именно так выглядит большинство инцидентов в малом бизнесе: не взлом сервера, а обычное письмо, которое сотрудник открыл между делами. Ниже — почему «мы маленькие» не работает, как отличить подделку и что действительно помогает, без покупки дорогих систем.
Почему «мы маленькие, нас не выберут» — миф
- Атаки массовые, а не адресные. Рассылка идёт по тысячам адресов из утечек; ваша компания попала в список не потому, что интересна, а потому что адрес есть в базе.
- Малый бизнес проще. Нет отдела ИБ, нет регламентов, пароли общие, доступы не отзываются. Сопротивление ниже, чем в крупной компании.
- Цель — не вы, а деньги на счетах и доступы. Оплата «по новым реквизитам», перехват переписки с клиентами, доступ к CRM — это работает в любом масштабе.
- Цена инцидента не зависит от размера. Один день простоя или уведённая база клиентов бьёт по небольшой компании сильнее, чем по крупной.
Отсюда практический вывод: защищаться нужно не «от хакеров вообще», а от конкретных сценариев, которые в МСБ повторяются из года в год.
Четыре сценария, которые встречаются чаще всего
| Сценарий | Как выглядит | Что теряется |
|---|---|---|
| Поддельная страница входа | «Ваш доступ к Битрикс24 истекает, войдите по ссылке» | Пароль от CRM и почты |
| Счёт от «поставщика» | PDF со счётом и новыми реквизитами, домен похож на настоящий | Деньги, ушедшие на чужой счёт |
| Письмо «от директора» | «Срочно оплати, я на встрече, не звони» | Деньги и время на разбирательства |
| Перехват переписки | Взломан ящик менеджера, письма клиентам идут с подменой реквизитов | Клиенты и репутация |
Ни один из этих сценариев не требует «взлома сервера». Все четыре работают через людей и через доступ к почте — а почта в малом бизнесе часто и есть главный ключ ко всему остальному.
Фишинг — это не техническая атака, а просьба, оформленная как рабочая задача. Техника здесь только помогает просьбе выглядеть убедительно.
Как отличить подделку: 7 признаков
| Признак | Что именно смотреть |
|---|---|
| Домен отправителя | Не «почта похожа», а точное совпадение: `company.ru` и `company-mail.ru` — разные домены |
| Срочность | «Срочно», «до конца дня», «иначе блокировка» — давление вместо информации |
| Ссылка | Наведите курсор: адрес ведёт не на сайт сервиса, а на сторонний домен |
| Запрос пароля | Ни один нормальный сервис не просит прислать пароль письмом |
| Вложение, требующее входа | «Документ защищён, войдите через рабочую почту» — классическая ловушка |
| Новые реквизиты | Смена счёта в письме — повод позвонить поставщику по старому номеру |
| Несовпадение стиля | Обращение «Уважаемый клиент», кривой текст, старый логотип |
Достаточно одного-двух признаков, чтобы не открывать письмо, а перезвонить отправителю по известному номеру. Правило простое: любая просьба о деньгах или доступе проверяется вторым каналом — звонком, а не ответом в той же переписке.
Что реально помогает: пять мер по возрастанию эффекта
1. Двухфакторная аутентификация
Самая дешёвая мера с самым большим эффектом: украденный пароль без второго фактора почти бесполезен. Включается на почте, хостинге, домене, CRM и в банке — за один вечер.
2. Защита домена от подделки писем
Настройки SPF, DKIM и DMARC не дают мошенникам отправлять письма «от вашего домена». Это не защита от входящего фишинга, а защита ваших клиентов от писем, которые вы якобы отправили. Настраивается в DNS за час; DMARC сначала ставят в режим наблюдения, потом в строгий.
3. Раздельные аккаунты и права
Если у всех один пароль от почты и CRM, то одна ошибка одного сотрудника компрометирует всех. Раздельные учётки ограничивают радиус поражения и дают журнал действий. Основа — в статье Пароли и доступы: как перестать хранить их в переписке.
4. Фильтрация и правила на почте
Спам-фильтр ловит большую часть массовых рассылок. Дополнительно: запрет на внешние письма с внутренних адресов (если только это не нужно), пометка «внешний отправитель», блокировка опасных вложений.
5. Договорённость про деньги
Самое нематериальное и самое действенное: любое изменение реквизитов или просьба об оплате подтверждается звонком. Эта договорённость стоит ноль рублей и закрывает самый дорогой сценарий.
Если сотрудник уже ввёл пароль
Порядок зависит от скорости. Первые 30 минут решают, останется это инцидентом или станет потерей денег.
| Минуты | Действие | Зачем |
|---|---|---|
| 0–5 | Сменить пароль от почты и CRM, завершить все сессии | Злоумышленник теряет вход |
| 5–10 | Проверить правила пересылки и автоответ | Скрытая копия — самый частый способ остаться в ящике |
| 10–20 | Проверить, не отправлялись ли письма клиентам | Нужно предупредить раньше, чем они оплатят «новые реквизиты» |
| 20–40 | Проверить настройки домена и доступы к хостингу | Через почту часто восстанавливают доступ к остальным сервисам |
| 40–60 | Зафиксировать факт и уведомить тех, кого касается | Без записи инцидент повторится |
Важно: смена пароля без завершения активных сессий не помогает — сессия на устройстве мошенника продолжает работать. В Битрикс24 и в почтовых сервисах это делается в профиле, в разделе активных устройств.
Как проверить защиту домена за 15 минут
- SPF: в DNS есть TXT-запись с перечнем серверов, которым разрешено отправлять письма от вашего домена.
- DKIM: подпись письма проверяется получателем; без неё письма чаще попадают в спам и легче подделываются.
- DMARC: запись `_dmarc` с политикой `p=none` (наблюдение) или `p=quarantine`/`p=reject` (строгая). Отчёт приходит на указанный адрес.
Если записей нет вообще, письма от вашего домена может отправить кто угодно — включая мошенников, которые напишут вашим клиентам «от бухгалтера». Проверить можно любым публичным сервисом проверки DNS или запросом записи домена — это займёт минуты.
Обучение, которое работает
Инструктаж «не открывайте подозрительные письма» бесполезен: он не даёт навыка. Работает другое:
- 20 минут на конкретных примерах — разбор трёх реальных писем, пришедших вашей компании за последний месяц.
- Одно правило вместо списка: «просьба о деньгах или доступе подтверждается звонком».
- Право на ошибку без наказания. Если сотрудник боится признаться, что ввёл пароль, вы узнаете об инциденте через неделю — и уже поздно.
- Проверка раз в квартал: тестовое письмо от своего же администратора. Не для оценки людей, а чтобы понять, работает ли правило.
Хорошая защита — не та, где никто не ошибается, а та, где ошибку замечают в первые десять минут.
Сколько стоит один инцидент
| Сценарий | Прямые потери | Скрытые потери |
|---|---|---|
| Угнан пароль от почты | Смена паролей, время руководителя | Переписка с клиентами, восстановление репутации |
| Оплата по «новым реквизитам» | Сумма счёта, возврат маловероятен | Спор с поставщиком, срыв сроков |
| Поддельная страница CRM | Простой, проверка логов | База клиентов могла быть выгружена |
| Взлом сайта через доступ | Восстановление, чистка | Просадка трафика, письма поисковиков |
Сравните с ценой защиты: 2FA бесплатно, записи SPF/DKIM/DMARC настраиваются за час, раздельные доступы — работа на 2–3 дня. Соотношение обычно переворачивает приоритеты, даже если раньше тема казалась «не про нас».
Если сайт уже пострадал, порядок действий — в статье Взломанный сайт: пять сценариев и что делать в первый час. Если после инцидента нечего восстанавливать — Резервное копирование: три истории потерь.
Что берём на себя
В рамках администрирования и обслуживания Битрикс24 настраиваем 2FA, права по ролям, журнал действий, защиту домена от подделки писем и регламент реакции на инцидент. Для сайтов — обслуживание сайтов: обновления, доступы, резервные копии, разбор подозрительной активности.
Что зафиксировать в договоре
- Ответственность за доступы: кто и в какие сроки отзывает доступы подрядчиков.
- Уведомление об инциденте: срок, в который исполнитель сообщает о подозрении на утечку.
- Права на инфраструктуру: домен, хостинг и почтовые ящики оформлены на вас, а не на подрядчика.
- Порядок восстановления: срок и состав работ при компрометации.
Частые вопросы
Достаточно ли антивируса?
Нет. Антивирус не мешает ввести пароль на поддельной странице и не отменяет оплату по чужому счёту. Он полезен как часть защиты, но не как её основа.
Нас точно не атакуют, если мы не видели подозрительных писем?
Отсутствие писем в папке «Входящие» ничего не значит: часть отсекает фильтр, часть приходит в «Спам», часть выглядит как обычная деловая переписка. Проверяйте не наличие атак, а готовность к ним.
Кто чаще всего становится жертвой?
Не «неопытные сотрудники», а занятые: бухгалтер в день сдачи отчётности, директор на встрече, менеджер с двадцатью чатами. Поэтому правило проверки звонком нужнее, чем курс по безопасности.
Можно ли отменить платёж, если реквизиты оказались чужими?
Иногда, если банк успел остановить перевод. Шансы падают с каждым часом, поэтому первое действие при подозрении — звонок в банк, а потом уже разбирательство внутри компании.
Что делать, если фишинг пришёл от имени нашего поставщика?
Позвонить поставщику по номеру из договора или счёта — не отвечать на письмо. Возможно, взломали его почту, и он об этом не знает: предупреждение поможет и вам, и ему.
Нужно ли письменно оформлять правило про звонок?
Достаточно одного пункта в регламенте и подтверждения от руководителя. Формулировка: «изменение реквизитов и оплата подтверждаются звонком по номеру из договора». Без этой строчки правило остаётся устным пожеланием.
Что сделать на этой неделе
- Включите 2FA на почте, хостинге, домене и в CRM — 15 минут на каждый сервис.
- Проверьте наличие DNS-записей SPF, DKIM и DMARC для своего домена.
- Разберите с командой три последних реальных письма: пусть каждый назовёт признак подделки.
- Запишите правило про подтверждение платежей звонком и разошлите его всем, кто оплачивает счета.
- Проверьте, кто из подрядчиков имеет доступ к почте и хостингу, и оставьте его только тем, кому он действительно нужен.
