Письмо от нового заказчика для бизнеса обычно звучит как хорошая новость. Потенциальный клиент интересуется продукцией, просит прайс, присылает техническое задание, уточняет сроки поставки или предлагает обсудить договор. Отдел продаж реагирует быстро: чем раньше ответишь, тем выше шанс получить сделку.

Но именно на этом доверии всё чаще строятся фишинговые атаки. Злоумышленники пишут компаниям под видом покупателей, подрядчиков или партнёров, чтобы выманить рабочие пароли, получить доступ к почте, заразить устройство вредоносной программой или проникнуть во внутренние системы бизнеса.

Опасность в том, что такие письма уже не всегда выглядят грубо и подозрительно. В них может быть нормальный деловой стиль, понятная тема, вежливое обращение, ссылка на якобы техническое задание или вложение с условиями закупки. Для менеджера по продажам, бухгалтера, кадровика или снабженца такое сообщение выглядит как обычная рабочая задача.

Поэтому защита от фишинга — это не только вопрос технической безопасности. Это вопрос управленческих правил: кто проверяет новых заказчиков, какие вложения можно открывать, куда сообщать о подозрительном письме и почему срочный запрос не должен обходить внутренний порядок.

Почему письма от заказчиков стали удобной ловушкой

Компании привыкли получать документы извне. Клиенты присылают заявки, поставщики — счета, соискатели — резюме, подрядчики — договоры, банки — уведомления, службы доставки — накладные. В потоке рабочей переписки сотрудник часто открывает вложения автоматически.

Злоумышленники используют эту привычку. Они не обязательно сразу требуют деньги. Сначала они могут просто начать деловую переписку: уточнить ассортимент, попросить каталог, узнать условия поставки. Затем появляется ссылка на документ, архив с техническим заданием, форма для входа или просьба открыть файл.

Цель может быть разной. Иногда преступники хотят получить пароль от корпоративной почты. Иногда — установить вредоносную программу. Иногда — изучить переписку, чтобы позже подменить реквизиты или отправить более убедительное письмо от имени реального сотрудника.

Именно поэтому фишинг от имени заказчика особенно опасен. Он не выглядит как нападение. Он маскируется под деловую возможность.

Кто в компании находится в зоне риска

Первым под удар обычно попадает отдел продаж. Менеджеры каждый день общаются с новыми людьми, открывают запросы, читают технические задания, отправляют предложения и стараются не терять потенциальных клиентов. Это делает их удобной целью.

Вторая зона риска — бухгалтерия. Туда приходят счета, акты, договоры, письма о смене реквизитов и просьбы срочно провести оплату. Если бухгалтер откроет опасное вложение или поверит поддельному письму, последствия могут быть финансовыми.

Третья зона — отдел снабжения. Поставщики присылают коммерческие предложения, прайсы, накладные, документы по доставке и условия закупок. Поддельное письмо может выглядеть как обычное предложение от нового партнёра.

Кадровая служба тоже уязвима. Под видом резюме, анкеты или портфолио может прийти файл или ссылка, которые приведут к взлому рабочей почты. При этом кадровики хранят персональные данные кандидатов и сотрудников, поэтому риск утечки особенно чувствителен.

Руководители также не защищены. Им могут писать якобы крупные заказчики, представители партнёров или организаторы деловых мероприятий. Чем выше должность сотрудника, тем ценнее его доступы и переписка.

Какие признаки должны насторожить

Первый признак — срочность. Если отправитель требует открыть файл прямо сейчас, срочно подтвердить доступ, быстро согласовать договор или немедленно скачать документы, лучше остановиться и проверить письмо.

Второй признак — ссылка на страницу входа. Если после перехода по ссылке сотрудника просят ввести рабочую почту и пароль, это очень серьёзный сигнал. Документы от заказчика не должны требовать ввода корпоративного пароля на незнакомой странице.

Третий признак — странный адрес отправителя. Название компании может выглядеть знакомо, но адрес может отличаться на 1 букву, содержать лишние символы или быть зарегистрированным на бесплатной почтовой службе. Иногда подделка почти незаметна, поэтому адрес нужно проверять внимательно.

Четвёртый признак — вложение в непривычном формате. Если потенциальный заказчик присылает архив, исполняемый файл, странный документ или просит включить дополнительные разрешения для просмотра, открывать такой файл нельзя без проверки.

Пятый признак — несоответствие деловой логике. Например, неизвестная компания сразу предлагает крупный контракт, но не указывает понятные реквизиты, не имеет сайта, избегает звонка или просит общаться только через один канал.

Шестой признак — просьба обойти обычный порядок. Если отправитель просит никого не ставить в копию, не согласовывать документ с руководством, срочно оплатить новый счёт или изменить реквизиты без подтверждения, это повод для проверки.

Как проверять нового заказчика

Компания должна заранее установить простой порядок проверки. Менеджер не должен сам решать, верить письму или нет, особенно если речь идёт о крупной сделке, вложениях, ссылках или новых реквизитах.

Сначала нужно проверить отправителя. Посмотреть официальный сайт компании, найти контактный номер не из письма, а через независимый источник, сверить название организации, адрес почты и реквизиты. Если заказчик действительно существует, можно связаться с ним по официальному телефону и уточнить, направлял ли он запрос.

Если письмо пришло от крупной организации, особенно важно проверять домен почты. Злоумышленники часто используют адреса, похожие на настоящие. Разница может быть в одной букве, лишнем слове или незаметной замене символа.

Если отправитель прислал документ через ссылку, не нужно сразу вводить данные. Лучше попросить отправить документ обычным вложением в безопасном формате или подтвердить запрос через другой канал.

Если заказчик просит изменить реквизиты, это всегда должно проходить дополнительное подтверждение. Лучше позвонить по официальному номеру и уточнить изменение у известного контактного лица.

Какие технические меры нужны бизнесу

Одного обучения недостаточно. Компании нужны базовые технические настройки, которые снижают риск ошибки сотрудника.

Первое — дополнительное подтверждение входа в корпоративную почту и важные системы. Если пароль украдут, злоумышленнику будет сложнее войти без второго подтверждения.

Второе — почтовая защита от вредоносных вложений и подозрительных ссылок. Она не остановит все атаки, но отсеет часть опасных сообщений.

Третье — ограничение прав сотрудников. Менеджеру по продажам не нужен доступ ко всей бухгалтерии, кадровику — к платёжным системам, а подрядчику — к полной клиентской базе. Если один аккаунт будет взломан, ущерб должен быть ограничен.

Четвёртое — запрет на использование общих паролей. У каждого сотрудника должна быть своя учётная запись. Иначе невозможно понять, кто открыл письмо, кто перешёл по ссылке и какой доступ нужно закрыть.

Пятое — регулярное закрытие доступов бывших сотрудников и подрядчиков. Старые учётные записи часто становятся слабым местом компании.

Шестое — резервные копии важных данных. Если атака приведёт к повреждению файлов или блокировке доступа, бизнес должен иметь возможность восстановить работу.

Какие правила нужны сотрудникам

Сотрудникам нужны короткие и понятные правила, а не длинный сложный документ. Например: не вводить рабочий пароль после перехода из письма; не открывать подозрительные вложения; проверять нового заказчика через официальный номер; не отправлять клиентскую базу по просьбе из письма; не менять реквизиты без подтверждения; сразу сообщать о сомнительном письме.

Важно объяснить, что сообщение о подозрительном письме — это не признак слабости сотрудника. Наоборот, это нормальная часть защиты бизнеса. Чем быстрее человек сообщит о сомнительной ситуации, тем выше шанс остановить атаку.

Также нужно убрать страх наказания за ошибку. Если сотрудник уже перешёл по ссылке или ввёл пароль, он должен сразу сказать об этом. Скрытая ошибка опаснее самой ошибки, потому что компания теряет время.

Что делать, если письмо кажется подозрительным

Сотруднику нужно не открывать вложения и не переходить по ссылкам, пока письмо не проверено. Если файл уже скачан, его не нужно запускать. Если ссылка уже открыта, нельзя вводить рабочие данные.

Дальше письмо нужно передать ответственному лицу: техническому специалисту, руководителю, службе безопасности или назначенному сотруднику. Важно сохранить само письмо, адрес отправителя, время получения и вложения, чтобы можно было проверить источник.

Если письмо пришло якобы от реального заказчика, нужно связаться с ним по проверенному каналу. Не отвечать на то же письмо и не звонить по номеру, указанному в подозрительном сообщении, а использовать контакт из договора, официального сайта или внутренней базы.

Если подозрение подтвердилось, нужно предупредить других сотрудников. Часто одна и та же атака рассылается сразу нескольким людям в компании.

Что делать, если сотрудник уже ввёл пароль

В этом случае нужно действовать быстро. Первое — сменить пароль и выйти из всех активных сеансов. Второе — включить или проверить дополнительное подтверждение входа. Третье — посмотреть, не появились ли в почте правила пересылки, неизвестные письма, удалённые сообщения или странная активность.

Если с этой почты велась переписка с клиентами, поставщиками или бухгалтерией, нужно оценить, могли ли злоумышленники увидеть документы, реквизиты, счета, договоры или персональные данные.

Если есть риск утечки персональных данных, компании нужно действовать по требованиям закона: зафиксировать инцидент, определить объём затронутых данных и при необходимости уведомить уполномоченный орган в установленные сроки.

Если злоумышленники могли рассылать письма от имени компании, стоит предупредить партнёров и клиентов, чтобы они не открывали подозрительные сообщения и не проводили платежи без дополнительного подтверждения.

Почему руководитель должен участвовать лично

Фишинг нельзя оставлять только на технического специалиста. Большая часть таких атак направлена на поведение людей и рабочие процессы. Если в компании принято выполнять срочные поручения без проверки, менять реквизиты по письму и открывать любые документы от новых заказчиков, техническая защита не спасёт.

Руководитель должен закрепить правило: безопасность важнее скорости. Потерять 10 минут на проверку нового заказчика лучше, чем потерять деньги, доступ к почте или клиентскую базу.

Также нужно определить ответственных. Кто проверяет подозрительные письма? Кто закрывает доступы? Кто общается с банком при попытке мошеннического перевода? Кто уведомляет клиентов, если письмо ушло от имени компании? Без этих ролей в момент атаки начинается хаос.

Что важно запомнить бизнесу

Фишинговые письма от имени заказчиков опасны именно тем, что маскируются под нормальную работу. Они приходят туда, где компания ждёт новых заявок, договоров, счетов и резюме. Поэтому бороться с ними нужно не только программами защиты, но и правилами поведения.

Безопасная компания не запрещает сотрудникам общаться с новыми клиентами. Она учит их проверять необычные запросы, не вводить пароли на незнакомых страницах, не открывать сомнительные вложения и не бояться сообщать о подозрительных письмах.

Для предпринимателя главный вывод простой: любое письмо, связанное с деньгами, доступами, персональными данными или новыми реквизитами, должно проходить дополнительную проверку. Если это станет привычным правилом, фишинговая атака с большей вероятностью остановится на первом письме, а не превратится во взлом всей компании.