Плейбук: массовый фишинг на сотрудников, что делать

Одно и то же письмо получили десятки сотрудников: сначала уберите его из ящиков и узнайте, кто нажал, потом разбирайтесь с источником. Одна взломанная учётка — это сценарий в обзоре пяти. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Образцы вложений не открываем и не запускаем.

Признаки и что не делать

Несколько человек сообщают об одинаковом письме; шлюз показывает всплеск однотипных писем; в журнале входов много обращений к странице входа с одного адреса. Не просите всех «проверить, нет ли у вас такого»: пусть каждый сообщает через канал. Не пересылайте письмо в общий чат. Не наказывайте тех, кто нажал: они расскажут больше, если не боятся.

Схема решений

Читайте сверху вниз. Оранжевая рамка — вопрос: «да» уводит вправо, «нет» продолжает путь вниз. Текст ниже ведёт по тем же шагам и добавляет команды и пояснения.

Ответ «да» уходит вправо, «нет» продолжает путь вниз.

Первые шаги

Определите отправителя, тему и время первого письма; сохраните один экземпляр целиком, с заголовками.
Удалите письмо из всех ящиков средствами почтового сервера и отключите ссылку или домен в прокси: почтовый шлюз.
Получите список получателей и список нажавших или открывших; опросите их без обвинений.
Тем, кто ввёл пароль или открыл вложение: сброс пароля с чистой машины, завершение сеансов, проверка правил пересылки; станцию проверьте как при вредоносе на станции.
Предупредите остальных коротким фактом без полной ссылки, чтобы не повторили.

Приоритет: высокий, если кто-то ввёл пароль или открыл вложение; средний, если письмо удалили до первого клика. Эскалация директору при бухгалтерии или руководстве среди нажавших.

Кто что делает и в какой срок

Первый звонок: ответственный за ИБ. Ориентир срока первой реакции в малой компании: критический приоритет — сразу и не позже 15 минут, высокий — в течение часа, средний — в течение рабочего дня. Подставьте свои сроки в карточку инцидента; уровень выбирайте по наибольшему возможному ущербу, а не по тому, что видно сейчас (классификация).

Роль	Кто в малой компании	Что делает в этом сценарии
Руководитель инцидента	ответственный за ИБ	координация, список нажавших, предупреждение
Администратор почты	ИТ	удаление писем, блокировка домена, журналы
Руководитель отдела	руководитель	передаёт слова сотрудников без обвинений

Если людей двое, руководитель инцидента ведёт и журнал, а администратор делает действия.

Когда считать закрытым

Письмо удалено из всех ящиков, домен и ссылка заблокированы
Каждому нажавшему сброшен пароль, станции проверены
Остальные сотрудники предупреждены коротким сообщением
Шаблон письма добавлен в обучение

Что сохранить: письмо с заголовками; список получателей и откликнувшихся; журнал входов за период. Ссылки на материалы кладите в карточку инцидента, сами значения секретов и персональные данные в карточку не копируйте.

Разбор: в течение пяти рабочих дней по схеме разбора после инцидента. Типичная первопричина здесь: нет быстрого пути удалить письмо у всех и список получателей. Допишите в этот плейбук шаг, которого не хватило, и укажите дату правки. Остальные сценарии — в каталоге плейбуков.

Диагностика

Симптом	Причина и что делать
Письмо удалили, пароли не меняли	Тем, кто нажал, сброс обязателен. Ищите по журналу страницы входа
Источник — чужой ящик партнёра	Сообщите партнёру по независимому каналу, не отвечайте на письмо

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Фишинг ловит почта и обучение; плейбук говорит, что делать в первый час, когда письмо уже у многих.