Как доверие превращается в обход защиты
Служба поддержки часто умеет делать то, чего не может обычный пользователь: сбрасывать пароль, восстанавливать учётную запись или выдавать доступ к нужной системе. Это необходимо для работы — но означает, что сотрудник поддержки становится частью механизма безопасности. Если убедить его, что запрос законный, можно попытаться пройти не через взлом системы, а через штатную процедуру.
В такой атаке злоумышленник использует не только имя руководителя. Он может говорить уверенно, ссылаться на срочную задачу и просить не задерживать работу. Давление времени важно: человеку предлагают воспринимать проверку личности как помеху, хотя именно она должна отделить обычную просьбу от опасной.
Почему одной осторожности мало
Сотрудник поддержки может знать, что нельзя выдавать доступ кому попало, но всё равно ошибиться, если проверяет личность по сведениям, которые легко узнать или сообщить по телефону. Знакомое имя, должность и правдоподобное объяснение подтверждают, кого человек изображает, но не доказывают, кто именно звонит.
Поэтому надёжная проверка должна опираться на независимый канал: например, сотрудник поддержки сам связывается с руководителем по известному внутреннему контакту или использует утверждённый способ подтверждения запроса. Проверка по номеру или ссылке, которые назвал сам звонящий, не решает задачу: их тоже может контролировать злоумышленник.
Защита должна выдерживать спешку
Организации снижают риск, когда заранее определяют, какие действия поддержка вправе выполнять, как подтверждать личность и когда требуется одобрение второго сотрудника. Полезно также ограничивать выдаваемый доступ: открывать только нужную систему и только на необходимый срок, а затем фиксировать изменения в журнале. Тогда даже успешная попытка обмана не обязательно превращается в широкий и незаметный доступ.
Ключевая уязвимость здесь — разрыв между полномочием системы и полномочием человека. Технически кнопка восстановления может работать безупречно; опасность возникает, если процедура позволяет нажать её на основании убедительной истории вместо проверенного подтверждения.
