Если после потока спама вам сами предложили помощь, свяжитесь со своей IT-службой по известному каналу, прежде чем давать доступ к компьютеру.
Спам помогает выдать мошенника за поддержку
Во многих разобранных случаях перед обращением в Teams или одновременно с ним на почту приходили сотни подтверждений подписок и рассылок. Такой приём называют почтовым бомбингом. Сотрудник пытается остановить поток писем, и в этот момент мошенник предлагает помощь от имени IT-службы.
Исследователи встречали имена вроде IT Support с припиской «Internal». Такая подпись создаёт видимость внутренней службы, хотя Teams одновременно может помечать отправителя как внешнего. Атака использует возможность общения между организациями; для этой схемы не требуется уязвимость в Teams.
Где заканчивается разговор и начинается доступ
Затем злоумышленники убеждают сотрудника установить или запустить программу удалённого управления. Программа может быть легальной, но с её помощью посторонний получит доступ к компьютеру. Знакомое название в окне установки ничего не говорит о том, кто находится на другом конце соединения.
Прежде чем разрешать подключение, позвоните в свою IT-службу по известному номеру или откройте привычный портал поддержки. Уточните, действительно ли с вами связался её сотрудник. Не используйте для проверки номер или ссылку, которые прислал сам собеседник.
Если доступ уже предоставили
Сообщите об этом своей службе ИБ или IT-поддержке через проверенный канал и прекратите сеанс удалённого управления. Сохраните переписку и время обращения. Даже если собеседник ничего заметного не сделал, специалистам важно знать, какая программа запускалась и какие разрешения были выданы.
Похожая просьба может прийти и в другом мессенджере. Привычный интерфейс, логотип компании и спешка не подтверждают, что перед вами сотрудник поддержки. Проверить это нужно до того, как вы разрешите управлять рабочим компьютером.
Редакция EALP · Обновлено