Плейбук: сообщение или звонок от имени руководителя в мессенджере
Сотруднику пишут или звонят «от директора» и требуют срочно перевести деньги, назвать код или дать доступ. Не выполняйте и проверьте по известному номеру. Если уже ушёл платёж — поддельное платёжное поручение. Сутки: первые 24 часа. Каталог: каталог плейбуков.
Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Голос и видео бывают синтетическими; по ним одним личность не подтверждаем.
Признаки и что не делать
Новый аккаунт с фото руководителя, срочность и просьба «никому не говорить», код из SMS или доступ в удалённый рабочий стол, перевод на новые реквизиты. Не отвечайте в чате по существу. Не диктуйте коды. Не удаляйте переписку: она нужна. Не проверяйте, перезвонив по номеру из этого же сообщения.
Схема решений
Читайте сверху вниз. Оранжевая рамка — вопрос: «да» уводит вправо, «нет» продолжает путь вниз. Текст ниже ведёт по тем же шагам и добавляет команды и пояснения.
Первые шаги
- Остановите выполнение: платёж, код, доступ. Ничего не пересылайте дальше.
- Сделайте скриншоты чата, номера и аккаунта, время сообщений.
- Позвоните руководителю по номеру из справочника компании, не из сообщения; убедитесь, что запроса не было.
- Сообщите ответственному за ИБ через канал; он предупредит коллег коротким сообщением без ссылки.
- Пожалуйтесь в мессенджер на аккаунт; если назвали коды или дали доступ — отзыв сеансов и смена паролей по плейбуку SIM и MFA.
Приоритет: средний при отказе выполнить; критический, если платёж или код ушли. Эскалация директору и бухгалтерии сразу.
Кто что делает и в какой срок
Первый звонок: директор и бухгалтерия. Ориентир срока первой реакции в малой компании: критический приоритет — сразу и не позже 15 минут, высокий — в течение часа, средний — в течение рабочего дня. Подставьте свои сроки в карточку инцидента; уровень выбирайте по наибольшему возможному ущербу, а не по тому, что видно сейчас (классификация).
| Роль | Кто в малой компании | Что делает в этом сценарии |
|---|---|---|
| Руководитель инцидента | ответственный за ИБ | проверка, предупреждение коллег |
| Получатель сообщения | сотрудник | не выполняет, сохраняет, сообщает |
| Бухгалтерия | главный бухгалтер | стоп платежа, связь с банком |
Если людей двое, руководитель инцидента ведёт и журнал, а администратор делает действия.
Когда считать закрытым
- Просьба проверена по известному номеру, подмена подтверждена
- Если что-то выполнено, меры по соответствующему плейбуку включены
- Коллеги предупреждены одним фактом без ссылки
- Правило двойной проверки напомнено всем
Что сохранить: скриншоты чата и аккаунта; номер и время звонка; жалоба в мессенджер. Ссылки на материалы кладите в карточку инцидента, сами значения секретов и персональные данные в карточку не копируйте.
Разбор: в течение пяти рабочих дней по схеме разбора после инцидента. Типичная первопричина здесь: нет правила проверять срочные просьбы по известному номеру. Допишите в этот плейбук шаг, которого не хватило, и укажите дату правки. Остальные сценарии — в каталоге плейбуков.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Сотрудник выполнил просьбу | Платёж: банк и плейбук поручения. Код: смена паролей и сеансов |
| Звонили по номеру из сообщения | Подтверждение у мошенника. Перепроверьте по справочнику |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Дело здесь в правиле двойной проверки, а не в технике; плейбук делает его привычкой.
Как проверить
- Справочник телефонов руководителей лежит вне чата.
- Правило: платёж и коды только после звонка по известному номеру.
- Каждый сотрудник знает, куда сообщить о подозрительном сообщении.
Источники
- CIS Control 17: cisecurity.org/controls.
- NIST SP 800-61 Rev. 3: csrc.nist.gov. Не закон РФ.
