Код пришёл, защита сработала, а аккаунт ушёл
Директор был уверен: двухфакторка включена, значит, взломать нас нельзя. Через две недели на его почте сидел чужой человек, а ввёл он свой код сам.
Почти дословно это случай из моей практики. Владелец небольшой оптовой фирмы получил письмо: «Подтвердите вход в систему». Страница выглядела как настоящая, код из СМС пришёл, он его ввёл. Эта же страница была прокси: она пересылала код злоумышленнику в ту же секунду. Тот вошёл в почту раньше, чем директор закрыл вкладку.
Почему код не спас
Одноразовый код защищает от угаданного пароля, но не от человека, которого уговорили ввести его не туда. Именно такие схемы разбирают в новости: код пришёл, защита формально отработала, а доступ получил атакующий. Дальше он ведёт себя тихо: настраивает пересылку писем себе, читает переписку с клиентами и ждёт момента, когда подставить свои реквизиты в счёт.
В той фирме так и вышло. Одному из клиентов ушёл счёт с чужим расчётным счётом, оплата на 340 000 ₽ прошла за один день. Бухгалтер увидел подмену, только когда клиент написал: «Мы же вам заплатили».
Что я сделал и что изменилось
1. Закрыл вход через СМС-коды там, где это возможно, и перевёл ключевые аккаунты на аппаратный ключ или подтверждение в приложении. Было: код можно отдать на фишинговой странице. Стало: подтверждение привязано к настоящему сайту, на подделке оно просто не сработает.
2. Проверил правила пересылки и подключённые приложения в почте. Было: чужое правило молча копировало письма наружу. Стало: лишние правила убраны, а о создании нового руководитель узнаёт сообщением в мессенджер.
3. Договорился с бухгалтерией: смена реквизитов в счёте подтверждается звонком по известному номеру. Было: решала переписка. Стало: подмена не проходит, даже если почта скомпрометирована.
#информационнаябезопасность #фишинг
