Короткий ответ: потому что «внутренним» письмам мы доверяем почти автоматически. В 2025-м мошенники маскируют атаки под HR/IT-объявления и рабочие рутины, усиливая правдоподобие ИИ-генерацией текста. В статье — свежая статистика, реальные сценарии, понятные признаки подделки и чек-лист защиты. Разберём, почему фишинг через внутренние письма работает и что делать бизнесу, чтобы не попасться.
Ключевые цифры 2025
Свежие отчёты подтверждают тренд: имитация внутренней переписки даёт наибольшеe число ошибок со стороны сотрудников, а общий всплеск компрометации логинов подпитывается ИИ-фишингом. Источники: отчет о симуляциях фишинга за Q2’25 и новость о том, что «внутренние темы — главная ловушка», а также Q1’25 по доминированию HR/IT-тем, плюс рост кражи учётных данных и выводы Microsoft о паролях как основной цели.
Почему «внутренние» письма так хорошо работают
Доверие по умолчанию. Мы привыкли быстро исполнять «поручения» от HR/IT/финансов — обновить пароль, подписать политику, проверить отпускные. Это снижает критичность мышления и повышает скорость клика. В 2025-м такие темы возглавляют рейтинги симуляций.
Претекстинг и социальная инженерия. Атакующие строят правдоподобный сюжет: «срочная проверка доступа», «несоответствие в платёжной ведомости», «обновление MFA». DBIR-2025 фиксирует фишинг и претекстинг среди ключевых причин инцидентов.
ИИ-усиление правдоподобия. Грамотные тексты без ошибок, тон HR-шаблонов, даже клон-голоса для вишинга — всё это теперь доступно в пару кликов. Журналисты и исследователи предупреждают: ИИ делает социальную инженерию более массовой и убедительной.
Пароли как «приз» атаки. Большинство атак на идентичность по-прежнему вертится вокруг паролей; значит, письма, которые ведут на ложные страницы входа/ADFS/SSO, остаются сверхэффективными.
Типовые «внутренние» сюжеты приманок
HR: пересогласование политики, e-подпись оффера/бенефитов, проверка отпускных/больничных.
IT/Безопасность: «сброс пароля», «MFA истекает», «новые правила доступа к VPN/SharePoint».
Финансы: «расхождение в ведомости», «доплата/бонус», «срочный счёт». (Общая практика претекстинга в отчётах-2025.)
Разбор приёмов: что именно цепляет (и как парировать)
| Сценарий | Почему срабатывает «внутренний» фишинг | Контрмера |
|---|---|---|
| «Сброс пароля в ADFS/SSO» | Ожидаем увидеть фирменный домен и кнопку; злоумышленники имитируют лендинги входа и редиректы | Зайти в SSO вручную из закладки; не переходить по кнопке из письма |
| «HR: обновление политики/бенефитов» | HR-тон, внутренний жаргон, дедлайн «сегодня до 17:00» | Проверять запрос в официальном портале HRIS; задавать вопрос в общем HR-канале |
| «IT: MFA истекает» | Страх потерять доступ; срочность + ссылка «Обновить сейчас» | Открывать приложение MFA напрямую; уведомлять IT о любых письмах с дедлайнами |
| «Финансы: доплата/расхождение» | Деньги = максимальная мотивация к клику; часто вложен PDF | Не открывать вложения из неожиданных писем; сверять тикет/номер платежа |
| «Команда безопасности: инцидент/проверка устройства» | Авторитет источника, «проверка AGENT/MDM» | Перезвонить по внутреннему номеру из справочника; не запускать вложенные .exe/.pkg |
Почему мы акцентируем PDF и «кнопки входа»? Симуляции показывают рост кликов именно на такие приманки; кроме того, кампании по краже Microsoft-логинов активно мимикрируют страницы входа и редиректы.
Что изменилось в 2024–2025
Ставка на «правдоподобие» вместо массовости. ИИ убрал ломаный язык из писем и добавил персонализацию.
Больше «живых» сценариев. Претекстинг стал тоньше: помощь хелпдеска, обновления доступа, корпоративные анонсы. DBIR-2025 относит это к топ-категориям социнженерии.
Итог — лавина краж учёток. В 2025-м зафиксирован рост на 160%, что напрямую связано с успехом фишинга и развитием stealer-экосистем.
Частые ошибки сотрудников
Верят «дедлайнам сегодня», не сверяя запрос в портале/системе тикетов.
Кликают по кнопке «Sign in» из письма вместо входа из закладки.
Смотрят на имя отправителя, а не на реальный адрес/домен.
Открывают вложения (особенно PDF) из неожиданных писем.
Мини-чек-лист защиты (встроить в онбординг и ежеквартальные тренинги)
Подкрепляйте чек-лист симуляциями раз в квартал: отчёты 2025 показывают, что именно упражнения на «внутренние» темы лучше всего снимают слепые зоны сотрудников.
Заключение
Фишинг через внутренние письма успешен, потому что попадает в самую человеческую «автозону» — доверие к коллегам и процессам. В 2025-м к этому добавился ИИ, который довёл правдоподобие до уровня рутины. Первые шаги: стандартизируйте «вход только из закладок», проверьте каналы в HRIS/ITSM и запустите квартальные симуляции на HR/IT-темы. Так вы быстро снимете самые массовые риски и сократите клики.
