Раскрытие информации
Мнения и взгляды, выраженные в этой статье, принадлежат исключительно автору и не отражают мнения редакции crypto.news.
Киберугрозы и социальная инженерия
За последний год большинство крупных взломов в сфере криптовалюты имели одну и ту же коренную причину: людей. Только за последние несколько месяцев:
- Ledger призвал пользователей приостановить активность в сети после того, как администраторы npm были обмануты, и вредоносные пакеты распространились;
- Workday раскрыла кампанию социальной инженерии, которая получила доступ к данным в сторонней CRM;
- Операторы, связанные с Северной Кореей, продолжили использовать фальшивые предложения о работе против криптокоманд для доставки вредоносного ПО.
Несмотря на миллиарды, потраченные на кибербезопасность, компании продолжают терпеть поражение от простых атак социальной инженерии. Команды вкладывают деньги в технические меры защиты, аудиты и проверки кода, пренебрегая операционной безопасностью, гигиеной устройств и основными человеческими факторами.
Системные риски и человеческий фактор
Поскольку все больше финансовой активности перемещается в сеть, эта слепая зона становится системным риском для цифровой инфраструктуры. Единственный способ замедлить рост атак социальной инженерии — это широкие и устойчивые инвестиции в операционную безопасность, которые снижают выгоду от этих тактик.
Отчет Verizon о расследованиях утечек данных за 2025 год связывает «человеческий элемент» кибербезопасности (фишинг, украденные учетные данные и повседневные ошибки) с примерно 60% утечек данных.
Социальная инженерия работает, потому что она нацелена на людей, а не на код, используя доверие, срочность, знакомство и рутину. Эти типы взломов нельзя устранить с помощью аудита кода, и их трудно защитить с помощью автоматизированных инструментов кибербезопасности.
Риски в web3
Программируемые деньги концентрируют риски. В web3 компрометация seed-фразы или API-токена может быть эквивалентна взлому банковского хранилища. Необратимый характер криптовалютных транзакций усиливает ошибки: как только средства перемещаются, часто нет возможности отменить транзакцию. Единственная ошибка в безопасности устройства или обработке ключей может уничтожить активы.
Децентрализованный дизайн web3 означает, что часто нет службы поддержки, к которой можно обратиться, оставляя пользователей наедине с проблемами. Хакеры, включая наемников, поддерживаемых государством, отметили эффективность атак социальной инженерии и адаптировались соответственно.
Необходимость операционной безопасности
Слишком многие организации все еще рассматривают безопасность как упражнение по соблюдению норм — отношение, подкрепленное разрешительными нормативными стандартами. Компании регулярно проходят аудиты и публикуют безупречные отчеты, даже имея явные операционные риски:
- ключи администратора, хранящиеся на личных ноутбуках;
- учетные данные, передаваемые через чат и электронную почту;
- устаревшие права доступа, которые никогда не обновляются;
- ноутбуки для путешествий, переоборудованные в рабочие машины.
Исправление этой небрежности требует явной, принудительной операционной безопасности. Команды должны использовать управляемые устройства, надежную защиту конечных точек и полное шифрование дисков; корпоративные входы должны использовать менеджеры паролей и фишинг-устойчивую многофакторную аутентификацию.
Обучение и регуляция
Самое важное, команды должны инвестировать в обучение операционной безопасности; сотрудники (а не команды кибербезопасности) являются первой линией защиты от атак социальной инженерии. Компании должны уделять время обучению своих команд выявлению вероятных атак фишинга, практике безопасной гигиены данных и пониманию практик операционной безопасности.
Критически важно, чтобы мы не ожидали, что организации добровольно примут жесткие меры кибербезопасности; регуляторы должны вмешаться и установить обязательные операционные базовые стандарты, которые сделают реальную безопасность обязательной.
Критически важно инвестировать в операционную безопасность сейчас, потому что скорость атак растет экспоненциально. Генеративный ИИ изменил экономику обмана, позволяя атакующим персонализировать, локализовать и автоматизировать фишинг в промышленных масштабах.
Заключение
Социальная инженерия не исчезнет, но мы можем сделать ее гораздо менее эффективной и менее катастрофической, когда атаки происходят. Поскольку отрасль укрепляет свои позиции против этих атак, социальная инженерия станет менее прибыльной для хакеров, и количество атак снизится, наконец, положив конец этому безумному циклу взломов.
Ян Филипп Фритше
