Фальшивая поддержка
Илья Завьялов разбирает, что происходит, когда фальшивая техподдержка звонит в компанию
Телефон звонит в середине рабочего дня. На том конце спокойный голос называет себя технической поддержкой, произносит название сервиса, которым команда действительно пользуется, и говорит про сбой, который надо закрыть прямо сейчас. Сотрудник слышит просьбу, знакомую по десяткам обычных обращений, и у него есть примерно двадцать секунд на решение. Вопрос этой статьи звучит так: что именно решает исход в эти двадцать секунд и какая письменная процедура даёт сотруднику право положить трубку без риска для себя и без неловкости перед собеседником.
Версия на русском языке для Украины.
01
Как звонок выглядит с рабочего места
Со стороны сотрудника разговор начинается предельно буднично. Звонящий здоровается, называет своё имя и отдел, произносит слово вроде инцидента или заявки и сразу переходит к делу. В первой же фразе он упоминает деталь, которую посторонний знать вроде бы не должен: имя руководителя, название используемой в компании системы, номер офиса, фамилию подрядчика. Такое упоминание работает как пропуск, после которого внимание перестаёт заниматься подлинностью собеседника и переключается на содержание задачи.
Дальше идёт объяснение, почему звонок вообще случился. Сбой на почтовом сервере, подозрительный вход в учётную запись, обновление, которое надо подтвердить, платёж, зависший на стороне банка. Формулировка подбирается под роль человека, которому звонят, поэтому бухгалтеру расскажут про платёжное поручение, менеджеру про почту, руководителю про доступ всего отдела. Сотрудник в этот момент занят своей работой и воспринимает звонок как помеху, которую проще быстро закрыть и вернуться к делам.
Ощущения угрозы в таком разговоре нет совсем. Нет требований, нет угроз, нет странного акцента и обрывающейся связи. Есть вежливый специалист, который вроде бы помогает и просит о мелочи: продиктовать код из сообщения, установить маленькую программу для удалённого просмотра экрана, подтвердить всплывший на телефоне запрос. Именно бытовая интонация делает разговор опасным, потому что она не даёт сотруднику ни одного повода включить осторожность и притормозить.
02
Откуда звонящий знает имена и детали
Подготовка к такому звонку занимает меньше времени, чем кажется изнутри компании. Сайт отдаёт структуру отделов и имена руководителей, страницы вакансий описывают используемые системы и инструменты, профили сотрудников в профессиональных сетях дают должности, стаж и круг задач. Новость о переходе на новую учётную систему подсказывает, чьим именем прикрыться и про какой сбой рассказывать. Собранного за час спокойной работы хватает на десяток правдоподобных легенд под разные роли.
Второй источник это прошлые утечки и открытые справочники. Корпоративные адреса почти всегда устроены по одному шаблону, поэтому имя сотрудника превращается в рабочий почтовый адрес за секунду. Телефоны отделов лежат на странице контактов, добавочные номера угадываются по порядку следования. Звонящий набирает общий номер, представляется поставщиком услуг и просит соединить с бухгалтерией, получая по дороге ещё пару фамилий и понимание того, кто кому подчиняется.
Третий слой это разведка звонком, в котором никакой атаки ещё нет. Человек звонит, задаёт нейтральный вопрос про формат счетов, график работы склада или порядок согласования, запоминает имена и манеру ответа и кладёт трубку. Через несколько дней он перезванивает уже с легендой, опираясь на собранное и называя вещи своими внутренними именами. Для сотрудника оба звонка выглядят как случайные обращения, связь между ними изнутри не видна.
03
Три рычага, на которые давит разговор
Первый рычаг это чужой авторитет. Звонящий занимает позицию, которой в компании принято подчиняться: техническая поддержка сервиса, специалист банка, сотрудник подрядчика по бухгалтерии, аудитор. Federal Trade Commission за 2025 год насчитала более миллиона обращений о выдаче себя за другого и 3,5 миллиарда долларов заявленных потерь, это почти каждое третье обращение в её базе. Отдельной строкой там идёт подделка под компании на миллиард долларов, причём самые тяжёлые случаи приходятся на тех, кто представлялся сотрудником банка.
Второй рычаг это срочность. В легенде всегда есть таймер: платёж уйдёт по неверным реквизитам через десять минут, учётная запись заблокируется до конца дня, доступ к почте пропадёт у всего отдела с полуночи. Таймер существует ради одного, чтобы у сотрудника не осталось времени на проверку по собственным каналам. Разговор без спешки почти всегда заканчивается ничем, поэтому спешку создают искусственно с первых секунд и поддерживают до самого целевого действия.
Третий рычаг это изоляция. Собеседника мягко просят никого не подключать: коллеги заняты, руководитель уже в курсе, обращение заведено, разберёмся вдвоём за минуту. Иногда просьбу подают как заботу о времени команды, иногда как требование конфиденциальности внутреннего расследования. Любая фраза, которая мешает сотруднику встать и спросить соседа по кабинету, работает на сценарий и потому сама по себе служит достаточным признаком.
04
Что показывает статистика по таким звонкам
Масштаб явления виден по отчётности. FBI Internet Crime Complaint Center за 2025 год отнёс к колл-центровому мошенничеству свыше 80 тысяч обращений и более 2,9 миллиарда долларов заявленных потерь, объединив в этой категории поддельную техподдержку и подделку под государственные службы. Цифра описывает только тех, кто дошёл до официального заявления и сумел его оформить. Внутри компаний значительная часть таких эпизодов остаётся во внутренней переписке и наружу не выходит вообще.
Вторая полезная цифра касается результативности. По данным Federal Trade Commission за 2025 год, в четырёх обращениях об имперсонации из пяти денежной потери не было вовсе. Попыток кратно больше, чем удачных попыток, и это значит, что через линию рано или поздно проходит каждый, кто вообще снимает трубку. Готовить стоит всех сотрудников с рабочим телефоном, включая тех, кто далёк и от финансов, и от администрирования систем.
Третья цифра показывает, где начинается контакт. UK Finance по итогам 2025 года зафиксировала, что 66 процентов случаев авторизованного платежа начинаются онлайн и ещё 17 процентов через телефонные сети. Телефон остаётся заметным каналом входа даже там, где почта и мессенджеры давно под наблюдением службы безопасности. Почтовый шлюз фильтрует вложения и ссылки, входящий звонок проходит мимо любых технических фильтров и попадает сразу к человеку, у которого есть доступы.
05
Голос перестал работать как удостоверение
Долгие годы узнаваемый голос считался достаточным подтверждением личности в телефонном разговоре. Сейчас убедительный клон собирается с записи длиной около трёх секунд и достигает примерно 85 процентов точности. Три секунды это приветствие на автоответчике, фрагмент вебинара, голосовое сообщение в рабочем чате, реплика из корпоративного ролика на видеохостинге. Материал для клонирования есть практически у любой компании, которая хоть раз что-то публиковала от своего имени.
Способность человека распознать подделку на слух оказалась слабее ожиданий. В эксперименте люди отличали настоящий голос от синтетического лишь в 37,5 процента случаев. Такой результат хуже случайного угадывания и означает, что слух как средство проверки закончился для всех, включая внимательных и опытных. Сотрудник, который ссылается на узнаваемый голос руководителя, опирается только на собственное ощущение и ничего этим не подтверждает.
Практический вывод целиком ложится на процедуры. Ни один шаг с деньгами или доступами не может опираться на то, что голос в трубке звучит знакомо. Подтверждение обязано приходить по другому каналу, который сотрудник открывает сам: внутренний мессенджер, справочник номеров, короткая встреча в соседнем кабинете. Такая развязка каналов ничего не стоит компании и снимает целый класс сценариев разом, включая те, которые появятся позже.
06
Действие, ради которого звонили
У любого такого звонка есть одно конкретное целевое действие, ради которого он и состоялся. Чаще всего это одноразовый код из сообщения, установка программы удалённого доступа, подтверждение всплывающего запроса второго фактора или перевод по новым реквизитам. Всё остальное в разговоре обслуживает этот момент и готовит к нему собеседника. Если научиться слышать переход к целевому действию, распознавание перестаёт зависеть от интуиции и становится обычным техническим навыком.
Одноразовый код заслуживает отдельного разбора, потому что встречается чаще прочего. Настоящая поддержка не спрашивает код, который система прислала пользователю, поскольку располагает собственными способами подтвердить личность обратившегося. Просьба произнести код вслух завершает разговор при любых обстоятельствах и при любой убедительности собеседника. То же относится к просьбе нажать подтверждение в приложении, пока звонящий держит линию и комментирует происходящее.
Удалённый доступ работает медленнее и потому обходится дороже. Сотрудника просят установить небольшую программу, чтобы специалист посмотрел сам, и дальше он наблюдает движение чужого курсора на своём экране. За несколько минут открываются почта, файловое хранилище, банковский клиент, менеджер паролей и сохранённые сессии в браузере. Установка средств удалённого доступа по просьбе из входящего звонка закрывается политикой, чтобы сотрудник вообще не принимал это решение в одиночку.
07
Процедура обратного звонка по своему номеру
Шаг, который надёжно останавливает весь класс сценариев, звучит скучно: положить трубку и перезвонить по своему номеру. Номер берётся из внутреннего справочника, с обратной стороны банковской карты, из подписанного договора с подрядчиком. Номер, который назвал звонящий, и номер на определителе для этого не годятся, потому что подмена номера доступна кому угодно. Правило формулируется в одну строку, не требует бюджета, внедрения и согласования с поставщиками.
У процедуры есть слабое место, о котором стоит сказать заранее. Атакующий предвидит обратный звонок и старается его перехватить: удерживает линию, просит не класть трубку, диктует свой номер как прямой добавочный специалиста. Поэтому в правиле важна деталь: соединение разрывается полностью, а новый вызов делается с другого аппарата или спустя минуту паузы. Сотрудник, который перезванивает немедленно с того же телефона, рискует попасть обратно на удержанное соединение.
Вторая деталь касается права положить трубку. Процедура работает только тогда, когда сотрудник твёрдо знает: прерванный разговор с представителем банка или поставщика ему в вину не поставят. Это право надо написать явно, теми же словами, что и остальные правила, и проговорить вслух на общем собрании. Пока человек боится показаться грубым перед незнакомым собеседником, он остаётся уязвимым независимо от того, что написано в регламенте.
08
Роли и маршрут в минуту звонка
Процедура превращается в поведение тогда, когда у каждого шага есть названный исполнитель. Первый исполнитель это тот, кто снял трубку: он завершает разговор, записывает время, номер, представленное имя и суть просьбы. Второй исполнитель это дежурный по обращениям, единый внутренний контакт, номер которого известен всем и висит на видном месте. Третий исполнитель это человек, принимающий решения по деньгам и доступам, и он подключается только после проверки по своему каналу.
Отдельно стоит развести два маршрута внутри одной процедуры. Обращение про доступы и учётные записи уходит к тому, кто отвечает за системы, обращение про платёж и реквизиты уходит к тому, кто отвечает за финансы. Смена банковских реквизитов подрядчика заслуживает собственного правила: подтверждение по известному ранее номеру и вторая пара глаз до отправки платежа. Такое разделение снимает частую ситуацию, когда звонок закрывает тот сотрудник, который просто оказался рядом с телефоном.
Маршрут обязан заканчиваться сообщением всей команде. Короткая заметка в общем чате с описанием легенды, номера и времени предупреждает остальных, потому что обзвон почти никогда не ограничивается одним человеком. Компрометация деловой переписки остаётся второй по деньгам категорией в отчёте FBI Internet Crime Complaint Center за 2025 год с 3,046 миллиарда долларов заявленных потерь, и телефонный звонок часто служит её подготовительным шагом. Предупреждение по горячим следам обходится дешевле любого разбирательства после ушедшего платежа.
09
Тренировка и разбор без наказания
Написанный регламент сам по себе поведение не меняет. Проверяется он одним вопросом, заданным случайному сотруднику в коридоре: что он сделает, если прямо сейчас позвонит поддержка и попросит код из сообщения. Если ответ приходится вспоминать или искать в почте, процедура существует только на бумаге и в отчёте. Короткая тренировка раз в квартал с тремя разыгранными звонками даёт больше, чем годовой курс с итоговым тестом.
Разбор случившегося строится на одном принципе: сотрудник, который сам сообщил о своём промахе, получает благодарность. Страх наказания заставляет молчать, а молчание превращает пятиминутный инцидент в многодневное восстановление доступов и репутации. Первым признаком атаки обычно оказывается чьё-то смутное сомнение, высказанное вслух в рабочем чате. Компания, где такое сомнение принято озвучивать без предисловий, узнаёт о звонке в момент звонка.
Последний слой это регулярное обновление легенд под текущие обстоятельства. Сценарии меняются вслед за тем, что происходит в компании: переезд офиса, смена подрядчика, внедрение новой системы, сезон отчётности, крупная закупка. Перед каждым таким событием полезно проговорить, какая легенда становится правдоподобной именно сейчас, и предупредить тех, кого она затронет по роли. Процедура живёт ровно столько, сколько её пересматривают, и умирает в тот день, когда её перестают трогать.
| Что просит звонящий | Чем это объясняют | Что делает сотрудник |
|---|---|---|
| Продиктовать код из сообщения | Подтверждение личности в системе | Завершает разговор и сообщает дежурному |
| Установить программу удалённого доступа | Специалисту надо посмотреть самому | Отказывает, установка идёт только по заявке |
| Нажать подтверждение в приложении | Закрытие заявки по сбою | Ничего не нажимает, проверяет журнал входов |
| Сменить реквизиты подрядчика | Поставщик перешёл в другой банк | Звонит по номеру из договора, подключает вторую пару глаз |
| Никого не подключать к разговору | Конфиденциальность расследования | Подключает руководителя сразу, признак сценария |
| Перезвонить по продиктованному номеру | Прямой добавочный специалиста | Берёт номер из внутреннего справочника |
| Срочно оплатить до конца дня | Платёж уйдёт по неверным реквизитам | Ставит платёж на паузу и проверяет по своему каналу |
Вопросы и ответы
Как понять, что звонит фальшивая техподдержка
Надёжного признака внутри самого разговора нет, потому что легенда подбирается под роль и звучит буднично. Ориентироваться стоит на целевое действие: код из сообщения, удалённый доступ, подтверждение в приложении, новые реквизиты. Любая из этих просьб во входящем звонке означает, что разговор пора завершать.
Что делать, если уже продиктовал код из сообщения
Сразу сообщить тому, кто отвечает за системы, сменить пароль и завершить все активные сессии в учётной записи. Скорость здесь важнее объяснений, потому что у нападающего есть считанные минуты до того, как код перестанет работать.
Можно ли доверять номеру на определителе
Подмена номера доступна кому угодно, поэтому определитель подтверждает только факт входящего вызова. Рабочий шаг один: положить трубку и перезвонить по номеру из внутреннего справочника, договора или с обратной стороны карты.
Помогает ли узнавание голоса руководителя
Убедительный клон голоса собирается с записи длиной около трёх секунд, а в эксперименте люди отличали подделку лишь в 37,5 процента случаев. Узнавание голоса перестало подтверждать личность и обратный звонок по известному номеру собой не заменяет.
Какая процедура останавливает такие звонки в небольшой команде
Правило умещается в три строки: никаких кодов и доступов по входящему звонку, обратный звонок по своему номеру, немедленное сообщение дежурному. Работает оно тогда, когда за прерванный разговор сотруднику ничего не будет.
Кому в компании сообщать о подозрительном звонке
Нужен один внутренний контакт, номер которого известен всем и висит на видном месте. Дежурный принимает описание легенды, предупреждает остальных по общему чату и решает, подключать ли руководителя и финансовый отдел.