Фишинг сотрудника: что делать в первый час

Фишинг попадает в компанию через обычное письмо: «счёт», «доставка», «служба безопасности просит подтвердить ящик». В первый час ещё можно ограничить ущерб. Через сутки ящик уже разослал ту же ссылку коллегам, а в почте появились правила пересылки, которые никто не ставил.

Порядок, если пароль уже ввели

• Сменить пароль этого ящика и выкинуть чужие сессии. Не с телефона, на котором только что открывали ссылку, если есть сомнение.
• Посмотреть правила пересылки и фильтры. Чужое правило «копия на внешний адрес» - частая находка.
• Предупредить тех, кому с ящика уже ушли письма, коротким своим текстом, без вложения исходного фишинга.
• Проверить, не тот ли пароль стоит на хостинге, рекламе и банке. Повторное использование здесь и делает из письма инцидент.
• Не устраивать общий чат с криком. Один человек собирает факты: кто, во сколько, какой адрес отправителя.

Если ссылку только открыли и пароль не вводили, всё равно имеет смысл сказать об этом вслух. Молчание «чтобы не выглядеть глупо» как раз оставляет компании слепое пятно. Разбор без наказания за сообщение работает лучше плаката.

Lexora помогает выстроить этот час заранее: что считать инцидентом, кого звать, как не разнести письмо дальше. Когда событие уже идёт, подключаемся к реагированию, а не к поиску виноватого сотрудника.