Сотрудники Madison Square Garden получили письмо с предложением выбрать персональное чемпионское кольцо New York Knicks — и попали на обязательный курс по кибербезопасности. Фишинговый тест оказался слишком убедительным: организация использовала в качестве приманки награду, связанную с первым титулом команды более чем за полвека. Для российских компаний это показательный кейс: даже полезная проверка защиты может быстро стать проблемой для доверия внутри команды.
В конце сентября корпоративным сотрудникам MSG разослали письмо о «бесплатном» чемпионском кольце. Адресатам обещали украшение от того же ювелира, с персонализацией, и предлагали выбрать один из двух вариантов дизайна. По данным Ars Technica, клик по ссылке не открывал форму заказа: сотрудника направляли на обязательное обучение по кибербезопасности.
Неизвестно, сколько человек перешли по ссылке и были ли в самом письме явные признаки подделки — например, подозрительный домен отправителя. Это важная деталь. Корпоративная симуляция фишинга должна проверять навык распознавания атаки, а не способность человека отказаться от правдоподобного и эмоционально ценного подарка. В данном случае предложение выглядело особенно реалистично: в НБА сотрудники клубов нередко действительно получают версии чемпионских колец, пусть и не столь дорогие, как у игроков.
MSG Sports позже подтвердила, что рассылка была имитацией атаки, и назвала выбор приманки неудачным. Компания объяснила решение недавним инцидентом: злоумышленники получили логин и пароль сотрудника через похожую фишинговую схему, после чего MSG подверглась взлому и вымогательству. Причина для усиления защиты вполне предметная; вот форма напоминания о ней получилась болезненно точной.
История наложилась на путаницу с настоящими наградами. Во время церемонии перед матчем сезона игроки Knicks получили кольца, а часть ассистентов тренеров, по данным медиа, получила коробки без самих изделий: кольца должны изготовить и передать позднее. Одновременно источники сообщали, что многие давние сотрудники MSG, включая часть команды бизнес-операций Knicks, вообще могли не получить кольца. На этом фоне письмо о подарке выглядело не учебной легендой, а обещанием, которое компания способна выполнить.
После скандала MSG заявила, что вручит более 275 чемпионских колец и ювелирных изделий игрокам, тренерам, сотрудникам и другим участникам организации. Общую стоимость подарков компания оценила более чем в 3,7 млн долларов. Однако число адресатов фальшивой рассылки, доля перешедших по ссылке и круг тех, кто получит реальные кольца, публично не раскрывались.
Для ИБ-команд здесь есть простое, хотя и не самое приятное правило: фишинговый тест не должен строиться на обещании, которое работодатель одновременно не готов прозрачно выполнить. Симуляции нужны, но их качество измеряется не только процентом кликов. Если сценарий унижает сотрудников, играет на тревоге из-за денег, премий или признания и заканчивается наказанием, он проверяет скорее отношение людей к компании, чем устойчивость к социальной инженерии.
Гораздо полезнее заранее определить границы таких кампаний: не использовать темы компенсаций, увольнений, здоровья и личных наград без веской причины; отделять обучение от публичного стыда; сообщать агрегированные результаты и объяснять, какие реальные угрозы имитировались. После клика человеку нужен короткий разбор признаков атаки и безопасный способ сообщить о письме — а не ощущение, что его поймали на желании получить заслуженное признание.
Фишинг всё чаще копирует не грубые письма с ошибками, а нормальную внутреннюю коммуникацию: знакомый бренд, понятный процесс, персональное обращение и правдоподобная выгода. Поэтому фишинговый тест должен учить сотрудников останавливаться перед действием, а не убеждать их, что любое хорошее сообщение от работодателя — ловушка. ИБ выигрывает, когда люди сообщают о сомнительных письмах без страха и цинизма; в противном случае следующий подозрительный клик может стать уже не тренировочным.
