Ілля Зав'ялов розбирає дзвінок фальшивої підтримки очима співробітника

01

Сцена дзвінка очима співробітника

Дзвінок надходить у середу, приблизно об одинадцятій, коли в офісі найбільше руху. Голос спокійний, трохи втомлений, з інтонацією людини, яка зробила таких дзвінків сотню за зміну. Він одразу називає постачальника, з яким команда справді працює, і додає номер заявки. Заявка звучить правдоподібно, бо тиждень тому хтось із колег дійсно писав у підтримку. Співробітник, який узяв слухавку, не має жодної очевидної причини вважати розмову дивною.

Далі розмова рухається дрібними кроками. Спершу просять підтвердити, що людина на місці і має доступ до робочого комп'ютера. Потім згадують оновлення, яке нібито зависло на пів дороги і псує роботу пошти всьому відділу. Ще за хвилину звучить прохання відкрити сторінку віддаленої підтримки, а після неї прохання продиктувати шестизначний код, який щойно прийшов у застосунок. Кожен крок окремо виглядає нешкідливим, і саме в цьому полягає конструкція.

Співробітник у цей момент не має під рукою нічого, що допомогло б перевірити слова. Номер на екрані показує щось схоже на міський, бо підміна номера коштує копійки і давно стала масовою послугою. Ім'я, яке назвали, легко знаходиться на сайті постачальника серед контактів підтримки. Термінологія правильна, паузи природні, у фоні чутно рівний гул кол-центру. Усе, що людина бачить і чує, підтверджує версію співрозмовника.

Точка ухвалення рішення настає раніше, ніж здається зі сторони. Вона проходить у момент, коли співробітник вирішує продовжувати розмову замість того, щоб покласти слухавку і передзвонити самостійно. До цієї секунди жодна технічна система нічого підозрілого не бачить, бо нічого технічного ще не сталося. Після неї будь-який захист працює навздогін, розбираючи наслідки вже виконаної дії. Тому вся вага в такій історії лягає на поведінку живої людини в перші дві хвилини.

02

Чому мішенню стає рядовий співробітник

Полювання на першу особу компанії виглядає логічним лише на папері. Щоденні операційні доступи тримає в руках зовсім інша людина: адміністратор пошти, бухгалтер із банк-клієнтом, менеджер підтримки з панеллю користувачів, офіс-менеджер із паролями від сервісів. Саме ця людина здатна за хвилину змінити пароль, підтвердити платіж або відкрити віддалений сеанс. Зловмиснику потрібна найкоротша відстань до дії, і рядовий співробітник дає її швидше за керівника.

Друга причина лежить у культурі роботи. Людину на телефоні роками вчили бути ввічливою, допомагати і не створювати незручностей клієнту чи підряднику. Відмова в такій системі координат сприймається як конфлікт, а конфлікт із тим, хто телефонує, коштує дорожче за швидке погодження. Схема експлуатує рівно ту навичку, яку компанія в людині цілеспрямовано розвивала роками.

Третя причина суто технічна. Прохання, що звучить у слухавці, майже завжди лежить у межах звичайних обов'язків: підтвердити, продиктувати, натиснути, відкрити доступ. Співробітник виконує дію, яку робить десятки разів на тиждень без жодних наслідків. Внутрішнього сигналу тривоги не виникає, бо сама дія знайома до автоматизму.

Межа проходить по джерелу запиту. Одна й та сама дія безпечна, коли її ініціювала внутрішня система з відомим статусом, і небезпечна, коли її попросив голос у слухавці. Розрізнити ці два випадки на слух неможливо навіть уважній людині в хорошій формі. Тому розрізнення виносять із голови співробітника в письмову процедуру, яка не залежить від настрою, втоми і часу доби.

03

Що показує статистика по таких дзвінках

Масштаб явища добре видно за американськими даними. Federal Trade Commission за 2025 рік зафіксувала понад мільйон звернень про підробку під когось іншого і 3,5 мільярда доларів заявлених втрат, і це майже кожне третє звернення загалом. Окремою рядком іде підробка під компанії: близько мільярда доларів, причому найбільші суми втратили ті, кому телефонували нібито від імені банку. Загальна картина року виглядає так: 3 мільйони звернень і 15,9 мільярда доларів втрат проти 2,6 мільйона звернень і понад 12 мільярдів роком раніше.

Річний звіт FBI Internet Crime Complaint Center за 2025 рік рахує кол-центрове шахрайство окремою категорією. Фальшива техпідтримка разом із підробкою під державні служби дала понад 80 тисяч звернень і більш ніж 2,9 мільярда доларів заявлених втрат. Ця категорія існує саме тому, що індустрія працює за моделлю кол-центру зі змінами, скриптами і показниками конверсії. Кожен окремий дзвінок у такій системі коштує дешево, а масштаб забезпечує стабільний результат.

Найцікавіша цифра стосується невдач. У чотирьох зверненнях про імперсонацію з п'яти грошової втрати не було зовсім, тобто спроб значно більше, ніж успіхів. Для компанії це означає просту річ: дзвінки надходять регулярно, і більшість із них розбивається об людину, яка просто поклала слухавку. Типова втрата за одним зверненням про імперсонацію тримається близько 700 доларів, і саме масовість перетворює цю дрібницю на мільярди.

З цих цифр випливає робочий висновок для невеликої команди. Задача полягає не в тому, щоб вгадати вдалий дзвінок серед десятків невдалих, оскільки вгадувати доводиться щоразу заново. Задача полягає в тому, щоб зробити стандартну реакцію однаковою для всіх дзвінків без винятку. Тоді відсоток успішних спроб падає навіть у тих випадках, коли сценарій підготовлений добре і звучить бездоганно.

04

Чому тиск часу працює краще за технічний трюк

Терміновість звужує увагу до одного завдання. Людина, якій сказали, що пошта відділу впаде через десять хвилин, перестає оцінювати саму розмову і починає розв'язувати озвучену проблему. Усі перевірки в цей момент відчуваються як затримка, що коштує компанії грошей. Сценарій будується так, щоб зволікання виглядало дорожчим за співпрацю.

Друга частина тиску стосується статусу. Співрозмовник згадує керівника, підрядника або банк, і рівень запиту одразу піднімається вище звичайної робочої розмови. Додається натяк на те, що ситуація делікатна і краще нікому поки що не розповідати. Секретність відрізає співробітника від колеги за сусіднім столом, який зруйнував би схему одним питанням.

Третій елемент стосується вибору часу. Дзвінки часто припадають на п'ятницю ввечері, передсвяткові дні, обідню перерву або період відпусток, коли підтвердити щось у другої людини складніше. Компанія в такі години працює на мінімальному складі, а відповідальність розмита. Схема свідомо ставить співробітника в умови, де швидке одноосібне рішення виглядає єдиним доступним.

З цього випливає найдешевший контрзахід. Пауза сама по собі знищує левову частку сценаріїв, бо вони розраховані на безперервну розмову без розриву. Достатньо покласти слухавку і зайняти десять хвилин перевіркою, щоб уся конструкція втратила силу. Тому в процедурі паузу фіксують письмово як обов'язковий крок, а не як право співробітника, яким той може скористатися за настроєм.

05

Голос, який звучить як знайомий

Останні два роки додали до цієї схеми синтез голосу. Переконливий клон робиться із запису тривалістю близько трьох секунд і дає приблизно 85 відсотків точності, тобто матеріалу вистачає з будь-якого голосового повідомлення чи запису вебінару. Джерел для такого запису в публічному просторі більше ніж достатньо: сторіс, подкаст, конференція, автовідповідач. Компанії, де керівник активно виступає публічно, дають зловмиснику готову бібліотеку зразків.

Здатність людини розпізнати підробку на слух виявилася низькою. В експерименті учасники відрізняли справжній голос від синтезованого лише в 37,5 відсотка випадків, тобто гірше за випадкове вгадування. Слух дає хибну впевненість: знайома інтонація сприймається як доказ особи. Динаміка теж промовиста, оскільки вішинг із клонованим голосом за один квартал зріс на 1633 відсотки.

Практично це означає зміну ролі знайомого голосу. Голос перестав бути фактором підтвердження і перетворився на звичайний елемент оформлення дзвінка, такий самий як номер на екрані. Підтвердження тепер дає лише зустрічний контакт по каналу, який обрала компанія, і жодна інтонація його не замінює. Команда, яка проговорила це вголос заздалегідь, значно спокійніше кладе слухавку під час дивної розмови з голосом директора.

06

Процедура зворотного дзвінка як єдина точка зупинки

Ядро захисту вміщується в одну фразу: будь-який запит на дію з доступами чи грошима підтверджується зворотним дзвінком на номер із внутрішнього реєстру. Номер, названий у розмові, для цього не годиться в жодному випадку, як і номер із листа чи повідомлення. Співробітник завершує розмову першим і телефонує сам, навіть якщо співрозмовник просить залишатися на лінії. Ця вимога звучить грубо лише до першої репетиції, після якої стає нормою спілкування.

Процедура потребує чіткого списку тригерів. До них відносять прохання назвати одноразовий код, встановити програму віддаленого доступу, змінити реквізити платежу, підтвердити переказ поза чергою, надати доступ до пошти чи адміністративної панелі. Кожен із цих пунктів запускає однакову послідовність незалежно від того, хто телефонує і наскільки терміново. Однаковість тут важливіша за детальність, бо співробітник має пам'ятати один сценарій, а не десять винятків.

Друга людина в контурі закриває проблему одноосібного рішення. Дію з грошима або доступами підтверджує колега з визначеної ролі, і підтвердження проходить каналом, який компанія обрала заздалегідь. Для невеликої команди достатньо двох людей, які знають, що зобов'язані відповісти на такий запит поза чергою. Це знімає з рядового співробітника тягар оцінки правдоподібності, який він об'єктивно не може нести.

Право сказати ні фіксують письмово. У процедурі прямо записують, що завершення дзвінка з проханням про паузу ніколи не вважається порушенням ввічливості, навіть якщо на іншому кінці справді виявився підрядник чи керівник. Без цього пункту процедура залишається на папері, бо в реальній розмові статус співрозмовника переважує будь-яку інструкцію. Компанія, яка публічно підтримує співробітника в такій відмові, отримує захист дешевше за будь-яку технічну систему.

07

Реєстр контактів і межі повноважень постачальника

Процедура зворотного дзвінка тримається на реєстрі, якого в багатьох командах просто немає. Реєстр містить перелік підрядників і сервісів, офіційні номери підтримки, імена відповідальних менеджерів і спосіб зв'язку, узгоджений під час укладання договору. Він живе в одному місці, доступному всім, хто приймає дзвінки, і оновлюється при зміні постачальника. Без нього співробітник у момент перевірки шукає номер у пошуковику, де верхні рядки цілком можуть виявитися рекламою фальшивої підтримки.

Друга частина реєстру описує межі повноважень. Компанія один раз фіксує, чого справжній постачальник ніколи не робить: не просить одноразові коди, не ініціює встановлення програм віддаленого доступу телефоном, не змінює банківські реквізити в усній розмові, не вимагає рішення за десять хвилин. Ці межі узгоджують із самим постачальником, щоб потім не виникало суперечок про формат роботи. Співробітник отримує короткий орієнтир, який працює швидше за будь-яку інтуїцію.

Каталог сервісів завершує картину. Команда виписує, хто відповідає за пошту, хостинг, бухгалтерську систему, домени і платіжний шлюз, і кому саме належить право звертатися до кожного з них. Дзвінок про сервіс, якого в каталозі немає, закривається одразу без обговорення технічних деталей. Такий каталог заодно розв'язує щоденні операційні питання і тому не сприймається командою як зайва бюрократія.

08

Перші пів години після дзвінка

Реакція на підозрілий дзвінок починається з фіксації. Співробітник записує час, номер на екрані, назване ім'я і компанію, суть прохання і те, що встиг відповісти. Пам'ять псується за годину, а деталі знадобляться і банку, і постачальнику, і колезі, якому зателефонують наступним. Форма фіксації має бути короткою, інакше в реальному робочому дні її ніхто не заповнить.

Далі йде оцінка того, що вже витекло. Названий одноразовий код означає негайну зміну пароля і завершення всіх активних сеансів у відповідному сервісі. Відкритий віддалений сеанс означає від'єднання машини від мережі і перевірку встановлених програм. Продиктовані реквізити означають дзвінок у банк по номеру з картки і зупинку платежу до з'ясування.

Окремої уваги вартує продовження історії в пошті. Компрометація ділового листування за звітом FBI Internet Crime Complaint Center за 2025 рік дала 3,046 мільярда доларів і посіла друге місце серед усіх категорій втрат. Телефонний дзвінок часто працює першим кроком до неї, оскільки дає зловмиснику доступ до скриньки або знання внутрішньої термінології. Після інциденту з дзвінком листування з реквізитами перевіряють особливо уважно протягом кількох тижнів.

Останній крок стосується інших людей у команді. Кол-центр обдзвонює компанію послідовно, і колега за сусіднім столом почує той самий сценарій через десять хвилин або наступного ранку. Коротке повідомлення в загальний чат із описом дзвінка коштує хвилину і знімає ефект несподіванки для всіх. Компанії, які практикують такі повідомлення, помічають, що другий і третій дзвінки за тим самим сценарієм закінчуються нічим.

09

Навчання, після якого про дзвінки повідомляють

Тренування дає результат лише тоді, коли не карає за помилку. Співробітник, який боїться штрафу чи публічного розбору, мовчить про дзвінок і залишає компанію без інформації в найважливіші години. Домовленість формулюють просто: людина, яка повідомила про інцидент сама, отримує подяку незалежно від того, що встигла зробити в розмові. Швидке повідомлення коштує компанії набагато менше, ніж прихований інцидент, який спливе через тиждень.

Формат тренування важливіший за його обсяг. Годинна лекція раз на рік не змінює поведінку в живій розмові, тоді як п'ятнадцятихвилинна репетиція з реальним дзвінком закріплює саме потрібний рефлекс. Достатньо, щоб колега зателефонував за типовим сценарієм і людина відпрацювала завершення розмови та зворотний дзвінок. Після двох таких вправ пауза перестає вимагати сміливості і стає механічною дією.

Вимірювати варто те, що піддається підрахунку. Компанія рахує кількість повідомлених дзвінків, частку тих, де співробітник виконав зворотний дзвінок, і час від дзвінка до повідомлення в чат. Зростання кількості повідомлень на старті означає, що люди почали говорити, і читати його як погіршення ситуації помилково. Дані про те, що більшість спроб імперсонації закінчуються нічим, підказують очікуваний фон: дзвінків буде багато, і це нормальний робочий шум.

Процедура завершується перевіркою на живучість. Раз на квартал команда відповідає на три питання: чи актуальний реєстр контактів, чи знає кожен новий співробітник правило зворотного дзвінка, чи спрацювала процедура в останньому реальному випадку. Відповіді записують у той самий документ, де живе сама процедура, щоб історія накопичувалася в одному місці. Такий цикл коштує кілька годин на рік і тримає захист у робочому стані навіть при зміні складу команди.