11.09.2025
Кіберризики керівництва у 2025 році
Примітка. Чому мене зацікавила дана тема? Це дуже просто, одна компанія попросила зробити OSINT, мені подобається починати з можливості фішингової атаки, тому перший крок, це пошук електронної робочої адреси, результат – я знайшов тільки одну адресу і це, керівник вищої лавки!. Далі не буду розповідати, но результат очікуваний, як по мене.
Отже, давно я не надсилав Вам статтю про фішинг, тому сьогодні одне з останніх досліджень, котра стосується керівництва. У поєднанні з новою статтею на моєму сайті «5 переваг впровадження ISO27001», я сподіваюся, Вам буде про що поговорити з Вашим керівництвом.
До речі Ви зможете знайти статтю на моєму сайті в розділі ІSО 27001, «5 переваг впровадження ISO27001» або натисніть на посилання:
https://abcgroup.com.ua/5_pierievagh_vprovadzhiennia_iso27001
І ще, додайте цій ризик до свого реєстру ризиків. Чому? Тому що на 99% Ваше керівництво не проходить навчання з питань інформаційної безпеки або тому що я повідомив, а Ви, після цього повинні оцінити і ця оцінка повинна бути десь відображена, як доказ 😊
Удачі Вам, «продавці страху»! 😊
Нагадую, в цю пятницю 15.09.2025р о14.00 я буду проводити вебінар на тему:
Внутрішній аудит системи управління інформаційної безпеки згідно ISO 27001:2022. Як та що Ви повинні перевіряти та що зовнішній аудитор буде перевіряти у внутрішнього аудитора.
Як завжди буде цікаво, та Ви отримаєте інформацію, котру Вам ніхто (майже ніхто 😊) не розповість.
Керівники залишаються головними цілями, оскільки вони знаходяться на перетині впливу, доступу та видимості . Зловмисники знають, що порушення облікового запису керівника вищої ланки може призвести до шахрайства на семизначні суми, витоку даних або репутаційних наслідків.
Навіть прості спроби, такі як фішингові посилання або шахрайські запити на оплату, тепер спрямовані безпосередньо на керівників. Більше того, для сучасних керівників кіберризик не обмежується офісом, він переслідує їх у їхніх домівках, на особистих пристроях і навіть у сімейному житті.
Щоб проілюструвати масштаб і складність цієї проблеми, ми зібрали 20 статистичних даних, які кожна рада директорів повинна побачити у 2025 році. Ці дані охоплюють поширеність, фінансовий вплив, прогалини у виявленні та нові ризики, допомагаючи керівникам зрозуміти, чому захист, орієнтований на керівництво, має стати пріоритетом.
Поширеність інцидентів: хто є мішенню?
Керівники перебувають у постійній цифровій облозі. У цьому розділі висвітлено, як часто керівники стають мішенями, розкриваючи масштаби загроз. Шахрайство з особистими даними , компрометація облікових записів та витік даних показують, наскільки передбачуваним та стійким стало це середовище загроз.
•54% американських компаній повідомляють про шахрайство з використанням особистих даних керівників. Атаки на керівників на основі ідентифікаційних даних не є рідкістю. Вони стають щоденною проблемою для команд безпеки.
•72% керівників вищої ланки стають мішенню кібератак, проте 37% компаній не забезпечують додаткового захисту у сфері кібербезпеки. Хоча більшість керівників стикаються з прямими загрозами, понад третина організацій не формалізували свої стратегії захисту, що ставить керівництво під небезпечну загрозу.
•94% керівників вищої ланки мали принаймні один розкритий обліковий запис у відкритому вигляді. Облікові дані керівників часто з'являються під час порушень, в середньому 43 витоки на кожен – часто повторно використовуються в особистих та професійних облікових записах.
•Понад 70% фірм мають облікові дані керівників або інші облікові дані, розкриті в даркнеті.
Це означає, що ваша керівна команда, ймовірно, вже є частиною підпільного ландшафту ризиків, де торгують викраденими паролями, персональними даними та навіть конфіденційним корпоративним доступом. Без проактивного моніторингу даркнету та стратегій захисту керівництва ці викриття можуть непомітно підживлювати фішинг, захоплення облікових записів та кампанії з видання себе за бренд.
Захистіть керівні дані за допомогою моніторингу даркнету
Моніторинг темної мережі постійно сканує підпільні форуми, торговельні майданчики та сайти витоків інформації на наявність розкритих облікових даних керівників та конфіденційних корпоративних даних. Коли з'являється викрадена інформація, команди безпеки отримують сповіщення в режимі реального часу , що дозволяє швидко вжити заходів, перш ніж зловмисники зможуть використати її як зброю.
Соціальна інженерія та нові тактики атак
Деякі з найнебезпечніших загроз, з якими стикаються керівники сьогодні, походять не від технічних атак, а від маніпуляцій, видавання себе за іншу особу та психологічного тиску. Поєднуючи нові технології, такі як діпфейки, зі старими методами, такими як шахрайство BEC , зловмисники гарантують, що керівники залишаються цінними точками входу в організації.
•41% повідомляють про інциденти з використанням дипфейків проти керівників.Синтетичний голос та відео більше не є теоретичними. Організації вже стикалися з платіжним шахрайством та фальшивими інструкціями з використанням маніпульованих медіа.
•54% випадків у третьому кварталі були спрямовані на керівників, котрі видають себе за іншу особу в соціальних мережах. Зловмисники знають, що керівники працюють з громадськістю, і використовують фальшиві профілі для масового фішингу співробітників, партнерів або клієнтів.
•Члени вищого керівництва у 42 рази частіше отримують фішингові електронні листи з QR-кодами. Ця тактика, відома як «приховування», обходить традиційні фільтри посилань і використовує залежність керівників від швидких відповідей через мобільні пристрої.
•49% організацій постраждали від класичної афери з видання себе за керівника BEC у 2024 році. Старий метод підробки генерального директора або фінансового директора з вимогою банківського переказу продовжує бути успішним, доводячи, що зловмисники не відмовляються від того, що працює.
Фінансовий вплив та гучні справи
Кібератаки на керівників призводять до значних фінансових втрат та шкоди репутації. У цьому розділі розглядається, наскільки дорого коштують ці інциденти, а реальні випадки демонструють серйозність шахрайства, спрямованого на керівників.Шахрайство BEC призвело до збитків у розмірі 2,77 млрд доларів США у 2024 році.
Компрометація ділової електронної пошти залишається однією з найдорожчих категорій кіберзлочинів, що свідчить про те, що зловмисники продовжують надавати пріоритет видаванню себе за керівників та постачальників для швидкого отримання фінансової вигоди.
Типи злочинів за фінансовими втратами (Звіт ФБР про інтернет-злочини за 2024 рік – IC3)
Фейковий відеодзвінок фінансового директора призвів до шахрайських переказів на суму 25,6 мільйона доларів. У лютому 2024 року шахраї видавали себе за фінансового керівника під час відеодзвінка, щоб авторизувати великі перекази, що коштувало організації мільйонів. Цей випадок ілюструє, як складні методи зараз застосовуються до цільових осіб з високою вартістю.У 2024 році було зареєстровано понад 105 000 випадків шахрайства з використанням глибоких фейків для генеральних директорів, що призвело до втрат понад 200 мільйонів доларів лише за один квартал.
Масштаби цих інцидентів показують, що імперсонація на основі штучного інтелекту більше не є рідкістю. Постраждали відомі фірми з різних секторів, що доводить, наскільки поширеним і прибутковим став цей метод.
CDK Global зазнала фінансових збитків приблизно на 605 мільйонів доларів, частина яких, можливо, включала викуп у розмірі 25 мільйонів доларів.
Цей випадок із програмою-вимагачем порушив роботу тисяч автосалонів по всій Північній Америці, демонструючи, як рішення та викриття на рівні керівництва можуть призвести до масштабних операційних та фінансових наслідків.
Фінансові втрати, пов'язані з атаками на керівництво, вже вимірюваються мільярдами. Ці випадки доводять, що хоча деякі атаки можуть виглядати опортуністичними, інші ретельно сплановані, щоб використати доступ керівництва до них з руйнівними наслідками.
Внутрішні ризики та слабкі місця в управлінні
Керівники також можуть зіткнутися з недоліками управління та внутрішніми загрозами, які обходять традиційні засоби захисту. Наведена нижче статистика висвітлює недооцінені слабкі місця, пов'язані з дотриманням політики, зловживанням інсайдерами та прогалинами у підзвітності керівництва.
•83% організацій зазнали внутрішньої атаки за останній рік. Внутрішні загрози часто стосуються привілейованих користувачів з розширеним доступом. Розширений доступ керівників робить їх як цінними цілями, так і потенційними джерелами внутрішнього ризику, коли облікові записи використовуються неналежним чином або скомпрометовані.
•50% організацій витрачають три дні або довше, щоб скасувати доступ після звільнення співробітників, залишаючи облікові дані керівників розкритими під час переходів. Нездатність швидко видалити привілейовані облікові записи створює довготривалі вразливості, пов’язані зі змінами керівництва.
Прогалини у внутрішньому управлінні можуть посилювати зовнішні ризики, які вже тиснуть на керівників. Зловживання інсайдерами, слабкий нагляд та неефективна практика виведення керівників з роботи залишають критичні прогалини в захисті керівництва.
Прогалини у виявленні та реагуванні
Коли йдеться про керівників, багато організацій намагаються встигати за зміною загроз. Можуть бути недоліки в навчанні, підготовці та можливостях реагування, що робить лідерів незахищеними.
•34% організацій називають обмеження в часі або опір керівництва причиною, через яку вони не надають пріоритет навчанню вищої ланки з кібербезпеки. Навіть коли потреба визнається, практичні перешкоди, такі як щільний графік або небажання, можуть створювати прогалини у навчанні.
•Лише 29% рад директорів регулярно переглядають показники кібербезпеки, що стосуються керівників. Без чіткого нагляду на рівні управління, вплив керівництва часто залишається невиміряним та не врахованим.
Половина команд безпеки не впевнена у запобіганні порушенням, спричиненим діпфейками.
Контрольні механізми та методи роботи з маніпульованими медіа залишаються незрілими, навіть попри зростання кількості таких атак.
Ця статистика підкреслює тривожний дисбаланс. Навіть попри те, що атаки множаться, організації все ще відстають у навчанні, моніторингу та впровадженні ефективних заходів безпеки на рівні керівництва.
Ставлення та ризики, зумовлені штучним інтелектом
Зрештою, що самі керівники служб безпеки думають про ризики? У цьому розділі відображено настрої керівників інформаційних систем та інших захисників, підкреслюючи їхні очікування щодо майбутніх атак та людський фактор, який продовжує призводити до порушень.
•70% керівників СУІБ вважають, що протягом 12 місяців вони зіткнуться з суттєвою кібератакою.
•Навіть самі керівники з безпеки очікують, що їхні організації постраждають найближчим часом.
•74% керівників інформаційних систем стверджують, що людська помилка є їхньою найбільшою вразливістю. Консенсус серед керівників у сфері безпеки очевидний: люди, особливо ті, хто має вплив і владу, залишаються найімовірнішим джерелом компрометації.
•80% керівників СУІБ зараз називають кібератаки на основі штучного інтелекту своєю головною проблемою. Загрози, що виникають через штучний інтелект, не дають лідерам безпеки заснути, вимагаючи негайного коригування стратегії, бюджетів та оборонної архітектури.
Найважливіші пріоритети CISO (опитування BCG та GLG CISO)
Точка зору CISO додає важливий завершальний шар: ті, хто найближче до проблеми, бачать основні ризики, що нависають, і погоджуються, що поведінка лідерства є критичною вразливістю.
Що нам говорять ці цифри?
У всіх цих точках даних виділяється кілька тем:
•Керівники залишаються непропорційно високою мішенню. Їхні посади впливу, фінансова влада та публічна видимість роблять їх передбачуваними точками входу для кіберзлочинців. Чи то через крадіжку особистих даних, компрометацію облікових даних, імперсонацію за допомогою дипфейків, чи класичну соціальну інженерію , облікові записи керівників постійно виділяються.
•Захисні механізми відстають. Незважаючи на мільярдні втрати від шахрайства та неодноразові попередження, надто багатьом організаціям досі бракує зрілого навчання керівників, моніторингу та реагування на інциденти.
•Фінансовий та репутаційний вплив незаперечний. Реальні випадки, від переказів коштів за допомогою дипфейків до програм-вимагачів, демонструють, що атаки, спрямовані на керівників, регулярно коштують мільйони та призводять до тривалих збоїв.
•Штучний інтелект посилив як масштаби, так і складність загроз . Від штучного голосу до відеоімперсонації, зловмисники діють швидше, ніж більшість засобів захисту, змушуючи організації впроваджувати нові інструменти та процеси перевірки.
•Управління та культура мають таке ж значення, як і технології . Зловживання інсайдерами, затримка звільнення з роботи та слабкий нагляд з боку ради директорів посилюють зовнішні ризики, показуючи, що залученість керівництва є ключовим фактором стійкості.
Створення стійкої програми безпеки керівників
•Керівники СУІБ та команди безпеки повинні розглядати захист керівництва як проблему стійкості бізнесу, а не лише технічну.
Це означає:
•Проведення регулярних симуляцій фішингу та соціальної інженерії, орієнтованих на керівників.
•Розширення програм захисту, щоб вони охоплювали членів сім'ї та особисті пристрої.
•Забезпечення дотримання суворих протоколів перевірки фінансових та конфіденційних запитів.
•Розгортання можливостей для виявлення та перевірки носіїв у режимі реального часу.
•Посилення процесів управління, таких як швидке скасування доступу та нагляд на рівні ради директорів.
Керівники є одночасно обличчям і ядром прийняття рішень у підприємстві. У 2025 році вони також є його найбільш вразливою передовою. Подолання прогалин у захисті є основоположним для захисту репутації, довіри та фінансової стабільності.Захистіть свого генерального директора, фінансового директора та керівників вищої ланки від кіберризиків за допомогою програм класу threat intelligence
Цифри говорять самі за себе: керівники є головними мішенями для фішингу, діпфейків, шахрайства з використанням інших осіб та впливу даркнету. Їх захист вимагає проактивних, спеціалізованих засобів захисту, які виходять за рамки традиційної безпеки.
Нагадую: в п’ятницю 12.09.2025 року я буду проводити майстер клас «Внутрішній аудит з питань СУІБ».
Якщо Ви міркуєте, що це Вас не стосується, то це не так.
Буде цікаво не тільки внутрішньому аудитору.
Як завжди,
боріться у доброму бою!
Станіслав БичковМістер ISO 27001