Как искусственный интеллект меняет правила социальной инженерии в преддверии сезона 2026 года
У каждой команды безопасности есть свой вариант одного и того же кошмара: сотрудник получает сообщение, которое выглядит и звучит точно так же, как будто оно пришло от руководства, и действует в соответствии с ним. Сколько бы тренингов ни проводила компания, что-то в итоге ускользает от внимания, из-за чего ИТ-отдел начинает лихорадочно действовать. Это подчеркивает важность готовности на протяжении всего жизненного цикла угроз.
В ходе недавнего вебинара, спонсируемого компанией Doppel и проведенного ее главным стратегическим директором Бобби Фордом (Bobby Ford), два технологических лидера из НФЛ — Коста Кладианос (Costa Kladianos), исполнительный вице-президент и руководитель технологического направления San Francisco 49ers, и Кристина Морильо (Christina Morillo), старший директор и руководитель отдела информационной безопасности New York Giants — рассказали о том, как искусственный интеллект переписал учебник по социальной инженерии в преддверии сезона 2026 года. Их условия работы экстремальны, но уроки напрямую применимы к любому предприятию.
Экономика атак и влияние генеративного ИИ
Сама угроза не изменилась, но изменилась ее экономика. Социальная инженерия остается одним из самых доступных способов для злоумышленников атаковать организацию. Генеративный искусственный интеллект изменил скорость, масштаб и правдоподобность этих атак.
«Я не думаю, что угрозы, созданные с помощью ИИ, — это что-то новое, — сказала Морильо. — Я просто думаю, что ИИ сделал это немного проще. Этот процесс может занять считанные минуты, в то время как раньше на это уходил день, два или три». Она также указала на падение требований к квалификации: «Раньше мы говорили только о «скрипт-кидди», и нужно было знать, какие инструменты использовать. Теперь это не требует особых усилий. Вы можете зайти в любую из этих моделей, и инструменты будут прямо там. Просто платите 20 долларов в месяц, и вы в деле».
Форд сослался на исследование, указывающее на то, что фишинг с поддержкой ИИ может обеспечивать более высокие показатели кликабельности, а выдача себя за другое лицо с помощью ИИ растет. Скорость и масштаб этих атак обеспокоили обоих руководителей, которые отметили, что объем угроз, с которыми сталкиваются спортивные организации, уже весьма значителен.
Качество и проблема дипфейков
Другое изменение заключается в качестве. «Раньше это выглядело так: «Я из этой страны, пришлите мне номер своего банковского счета, и я отправлю вам миллиард долларов», — сказала Морильо. — Теперь сообщение может исходить от вендора, партнера или кого-то, с кем вы работаете, но это могут быть не они. Они стали очень, очень убедительными».
Кладианос обрисовал проблему дипфейков в терминах, которые большинство предприятий недооценивают: чем публичнее ваши люди, тем больше у злоумышленника исходного материала для обучения. «Все знают, кто такие Джордж Киттл и Кристиан Маккаффри, и это делает их легкими мишенями, — сказал он. — Очень легко зайти туда, использовать социальные сети и развернуть дипфейк, и он невероятно убедителен. Проверка на глаз — это что-то значит, но они становятся невероятно хороши».
Если заменить их на основные видеозаписи вашего генерального директора (CEO), аудиозаписи звонков вашего финансового директора (CFO) о доходах и присутствие вашей команды продаж в LinkedIn, уровень подверженности угрозам останется абсолютно тем же. Поверхность атаки теперь простирается далеко за пределы систем, контролируемых ИТ, охватывая выдающих себя за руководство лиц, фальшивые аккаунты, похожие домены и криптовалютные мошенничества на внешних платформах.
Практические советы для лидеров ИТ и безопасности
Появился ряд эффективных практик, для реализации которых не требуется бюджет уровня НФЛ.
Превратите верификацию в процесс
Предупреждение Кладианоса о запросах в нерабочее время — самый ценный инсайт сессии: «Атаки происходят в любое время, и они могут случиться, когда ваша бдительность ослаблена. Этот звонок в 2 часа ночи — мне нужно войти, мне нужно это сделать». Его ответ — шлюзы и управление, а также отказ от восприятия запросов с низким трением как запросов с низким риском.
«Вам нужно делать это для вещей, которые вы считаете незначительными, например, сброс паролей. Они не незначительны. Это ворота к тому, что есть в вашей организации. Защищайте свои ресурсы так же, как вы защищаете свои деньги, потому что это одно и то же».
Подход Морильо по умолчанию использует внеполосное подтверждение (out-of-band): «Один из наших игроков только что позвонил. Как мне подтвердить, что это действительно он? Они могут подделать его номер, они могут подделать все, что угодно». Ее команда полагается на личный контакт и заранее установленные альтернативные каналы связи для запросов с высокой степенью важности.
На практике: движение денежных средств, сброс учетных данных, регистрация в многофакторной аутентификации (MFA) и эскалация доступа — все это должно подтверждаться по второму каналу, который запрашивающий не выбирал.
Отказ от визуальной проверки и улучшение отчетности
Рецепт Кладианоса заключается в том, чтобы бороться с огнем с помощью огня, объединяя обнаружение на основе ИИ с проверкой человеком и непрерывным обучением — модель из трех частей, которую он сравнивает с опытом скаутинга, инструментами тренеров и развитием игроков. «Вы объединяете все три составляющие, и теперь вы будете выигрывать матчи».
Сделайте процесс сообщения об угрозах проще, чем обычный клик.
Оптимизация процессов безопасности и борьба с фишингом
Кладианос отметил, что это одно из самых простых потенциально высокоценных изменений в списке. По его словам, сообщить о проблеме должно быть не сложно, и это должно быть проще, чем кликнуть по фишинговой ссылке. Трение в рабочем процессе отчетности — это средство контроля безопасности, которое вы незаметно отключили.
Устранение чувства стыда и работа с персоналом
Морильо назвала истинную причину, по которой отчеты не поступают: всегда присутствует чувство того, что человек сделал что-то не так и испытывает смущение. Ее решение заключается в том, чтобы сделать безопасным отправку текстового сообщения, звонок или личный визит в ее офис со словами о том, что был совершен клик, введены учетные данные и последовало извинение, после чего должна следовать реакция без наказания. Морильо подчеркнула, что реакция также является большой частью этой головоломки. Она также делает обучение осведомленности личным, а не корпоративным, объясняя происходящее дома и с банковским счетом так, чтобы это находило отклик. Основы отрабатываются круглый год вместо составления контрольного списка.
Отказ от предсезонных проверок и интеграция инструментов
На вопрос о том, что должно входить в предсезонную проверку безопасности, Морильо ответила возражением на саму предпосылку. Она заявила, что если оставаться готовыми, готовиться не придется, сославшись на непрерывные оценки, тестирование на проникновение, аудиты покрытия многофакторной аутентификацией, проверки периодичности патчей и обучение безопасности, которое автоматически запускается в момент создания учетной записи. Просто потому, что это основы или базовые вещи, не означает, что их просто делать. Необходимо интегрировать свои инструменты, даже если их нельзя консолидировать.
Морильо была прямолинейна относительно реальности использования инструментов: не существует единой панели управления; риски и платформы GRC редко интегрируются чисто; теневые ИТ и теневой ИИ создают «слепые зоны»; а платформа может превратиться в единую точку отказа.
Кладианос возразил, отметив, что каждая система должна взаимодействовать друг с другом. При наличии разрозненных систем тут и там можно что-то упустить.
Взаимодействие с конкурентами и поддержка руководства
Обмен аналитическими данными с конкурентами
Одной из часто упускаемых из виду практик является сотрудничество с коллегами. Руководители сообщили, что клубы НФЛ обмениваются индикаторами компрометации, оценками поставщиков и заметками о средствах безопасности. Морильо подчеркнула, что они конкуренты на поле, но не за кулисами.
Кладианос поддержал это, пояснив, что если бы Giants прибыли на стадион Levi’s Stadium с инцидентом, они бы на 100% включились в работу, и оба клуба вместе боролись бы с этой угрозой прямо во время матча.
Получение поддержки руководства и переосмысление кибербезопасности
Без поддержки руководства нет ничего, и все рухнет, заявил Кладианос, отдав должное поддержке генерального директора 49ers Эла Гвидо. Его совет по ее завоеванию заключается в следующем: переводите технические риски в бизнес-риски, создайте межфункциональный комитет по управлению кибербезопасностью и прекратите представлять безопасность как технологическую проблему. По его словам, это не ИТ-проблема, а бизнес-проблема.
Фраза, которая должна следовать за ИТ-лидерами в их следующий бюджетный разговор, — это его описание работы: кибербезопасность похожа на судью, она лучше всего тогда, когда ее не замечают.
Для ИТ-лидеров немедленный вывод заключается в том, чтобы определить, какие запросы требуют вторичной веверикации, протестировать, насколько легко сотрудники могут сообщать о подозрительных сообщениях, и убедиться, что признание ошибки приводит к поддержке, а не к наказанию.
Искусственный интеллект может сделать выдачу себя за другое лицо более дешевой и убедительной, но устоявшиеся процедуры верификации и быстрое реагирование все равно способны ограничить ущерб.
Дополнительное чтение: ключ API ClickUp, обнаженный через автоматизированные электронные письма, демонстрирует, как рутинные бизнес-рабочие процессы могут непреднамеренно раскрыть учетные данные и создать более широкие риски безопасности.
