Захват учетных записей больше не обязательно выглядит как шквал спама с корпоративной почты. Злоумышленник может неделями читать переписку, дождаться платежа или смены реквизитов и написать от имени реального сотрудника так, что фильтры и коллеги не увидят подвоха. Такой сценарий становится доступнее благодаря генеративному ИИ, сообщает The Register.
В опубликованном 22 октября спонсорском материале разработчик ПО Kaseya разбирает типичную цепочку атаки: сначала преступники получают пароль через фишинговую страницу или письмо от имени коллеги, затем проверяют доступ и изучают внутренние процессы компании. Следующий шаг — не обязательно атака на саму жертву. Взломанный ящик используют, чтобы убедительно обратиться к бухгалтерии, поставщикам, клиентам или другим сотрудникам.
Генеративные модели здесь полезны атакующим не как магический инструмент взлома, а как дешёвый редактор и имитатор. Они помогают быстро составлять письма без привычных ошибок, подстраивать тон под конкретного адресата, переводить сообщения и собирать убедительные легенды. Если раньше фишинг часто выдавали корявый язык и массовая рассылка, теперь письмо может продолжать уже существующую деловую цепочку — с правильным контекстом, именами и просьбой, которая выглядит рабочей.
Старший вице-президент Kaseya по кибербезопасности Дейв Бэггетт описывает изменение так: злоумышленники перестали спешить после получения доступа. Вместо немедленной отправки спама они наблюдают за входящими и исходящими письмами, выбирая момент для вмешательства. Для команды безопасности это неприятная деталь: технически письмо может прийти с настоящего ящика, пройти базовые проверки домена и не содержать вредоносного вложения.
Особенно уязвимы цепочки между организациями. Компания может требовать многофакторную аутентификацию от собственных сотрудников, но не способна проверить, насколько хорошо защищён аккаунт поставщика или клиента. Сообщение с реального адреса подрядчика о новом счёте, срочном платеже или ссылке на документы получает кредит доверия ещё до того, как его откроют. А если скомпрометирован аккаунт топ-менеджера, привычные исключения в почтовых правилах и нежелание спорить с руководителем добавляют атакующему шансов.
Именно поэтому захват учетных записей нельзя закрыть одним антиспам-фильтром или обязательным MFA. Многофакторная аутентификация снижает вероятность кражи доступа, но не отменяет фишинг, кражу активной сессии, ошибочно одобренный запрос и компрометацию внешней стороны. После успешного входа у атакующего появляются те же разрешения, что и у пользователя, а почта становится точкой опоры для доступа к облачным хранилищам, SaaS-сервисам и системам совместной работы.
Kaseya продвигает для этой задачи связку почтового инструмента INKY и облачной платформы SaaS Alerts. По заявлению компании, INKY формирует технический и поведенческий профиль отправителя, анализирует историю общения и особенности стиля текста, чтобы заметить отклонения даже при корректных заголовках письма. При подозрении на угон ящика система должна изолировать пользователя и блокировать исходящую почту, а SaaS Alerts — ограничить доступ к другим сервисам. Это описание возможностей поставщика, а не независимый тест эффективности, однако сама логика показательна: защищать нужно не отдельное письмо, а всю связанную с идентичностью среду.
Для российских IT-команд практический вывод довольно приземлённый. Нужно заранее определить, кто может менять платёжные реквизиты, выдавать срочные поручения и подключать сторонние приложения к почте; такие действия не должны подтверждаться только письмом. Полезно отслеживать аномалии в правилах пересылки, входах, OAuth-разрешениях и действиях в облачных приложениях, а для критичных операций держать независимый канал проверки. Не менее важно учить сотрудников сомневаться в письмах «от руководителя»: вежливое уточнение по телефону дешевле, чем расследование инцидента.
Следующая гонка в почтовой безопасности будет идти не вокруг распознавания подозрительных слов, а вокруг понимания контекста: кто обычно пишет, кому, о чём и в какой момент. Чем убедительнее ИИ маскирует чужой голос, тем ценнее становятся контроль полномочий, подтверждение операций вне почты и корреляция событий по всему SaaS-стеку. Детали подхода Kaseya и комментарий Дейва Бэггетта приведены в материале .
