Тренер по кибергигиене для сотрудников

Кибергигиена для отдела продаж и бухгалтерии

ООО «Балтфрахт Логистика» · очный семинар, 90 минут

Перед семинаром (для тренера)

Согласуйте с системным администратором и руководством:

1. Единый канал для сообщений о подозрительном. Например, телефон и Telegram сисадмина или адрес security@.... Впишите его в памятку до печати: без него семинар теряет половину пользы.
2. Позицию руководства: «За сообщение об ошибке не наказывают». Лучше, чтобы руководитель сказал это сам в первые 2 минуты.
3. Технические вопросы:
   • Включена ли двухэтапная авторизация в Битрикс24 (приложение Битрикс24 OTP или аналог).
   • Какой менеджер паролей разрешён в компании.
   • Как в «Точке» настроено подтверждение платежей.
4. Правило смены реквизитов. Предложите ввести его до семинара: новые реквизиты контрагента принимаются только после звонка по номеру из договора или CRM и подтверждения вторым сотрудником. Это главная защита от самой дорогой атаки в вашей отрасли.
5. Мини-тест. Перенесите его в Яндекс Формы или Google Forms, QR со ссылкой выведите на экран.

Реквизит: распечатанные памятки на 22 человека и 2–3 распечатки «письма-ловушки» для раздачи.

План сессии

Тем много, поэтому часть вынесена за рамки встречи. Список в конце, раздел «Что вынести за рамки этой сессии».

Открытие (5 мин)

Что сказать своими словами:

«Вы каждый день проводите через свои руки деньги компании: счета, реквизиты, оплаты. Поэтому мошенники охотятся не на сервер в серверной, а на ваш почтовый ящик. Хорошая новость: чтобы их остановить, не нужно быть айтишником. Нужны несколько привычек, каждая занимает секунды. Вы не слабое звено, вы первая линия защиты. У нас один сисадмин на 60 человек, и без вас он просто не успеет ничего заметить.

Главное правило на сегодня: если нажали, ввели или оплатили что-то не то, сразу сообщите. За это не ругают. Ругать можно только за то, что промолчали: каждый час тишины делает проблему дороже.»

Разминка (5 мин)

Попросите поднять руку, если:

• приходило письмо «мы сменили банк, оплатите по новым реквизитам»;
• звонили «из службы безопасности банка»;
• в мессенджере писал «директор» с незнакомого номера;
• рабочая почта открыта на личном телефоне.

Обычно рук много. Скажите: «Значит, всё, о чём будем говорить, — про вас, а не про кого-то абстрактного».

Модуль 1. Фишинг через счета и письма «перевозчиков» (25 мин)

История 1. «Мы сменили банк»

Бухгалтер Ольга получает письмо от «СевЗапТранса», постоянного перевозчика: «Добрый день! С 1-го числа обслуживаемся в другом банке, просим оплату по рейсу №4471 провести по новым реквизитам. Письмо на бланке во вложении. Прошу оплатить сегодня, иначе водитель не выйдет на загрузку».

Имя отправителя то же, подпись та же, номер рейса настоящий. Ольга платит 380 000 ₽. Через неделю настоящий «СевЗапТранс» спрашивает, где деньги.

Как это возможно: мошенники либо взломали почту перевозчика и читают реальную переписку, либо зарегистрировали похожий адрес: sevzap-trans.ru вместо sevzaptrans.ru. Поэтому номер рейса и подпись настоящие.

Признаки:

• просьба изменить реквизиты: это главный сигнал, сам по себе достаточный;
• давление сроком («сегодня», «иначе водитель не выйдет»);
• адрес отличается на символ, дефис или зону (.com вместо .ru);
• «ответить» уходит на другой адрес, не тот, что в поле «От».

Что делать:

• позвонить контрагенту по номеру из договора или карточки в Битрикс24, а не из письма;
• спросить: «Вы меняли реквизиты?»;
• до подтверждения не платить и в карточке ничего не менять.

Правило: Новые реквизиты — только после звонка по старому номеру.

Четыре приёма, на которые ловят чаще всего

1. Срочность и давление «Срочно», «до 15:00», «штраф», «груз встанет», «директор в курсе». Спешка выключает внимательность, на это и расчёт. Что делать: чем сильнее торопят, тем спокойнее проверяйте. Настоящий партнёр переживёт 5 минут на звонок.

2. Поддельный отправитель Почтовик показывает красивое имя «СевЗапТранс Бухгалтерия», а адрес за ним может быть любым.

• buh@sevzaptrans.ru — настоящий
• buh@sevzap-trans.ru — подделка (дефис)
• buh@sevzaptrans.ru.com — подделка (лишняя зона)
• buh@sevzaptrans.ru в имени, а адрес a8723@gmail.com — подделка

Что делать: на компьютере наведите мышь или нажмите на имя, чтобы увидеть полный адрес. На телефоне нажмите на имя отправителя.

3. Опасные вложения и «документы по ссылке»

• Счет_4471.pdf.exe, Акт.zip с паролем в тексте письма, .html, .iso, .js;
• «Документы слишком большие, скачайте с Яндекс.Диска / Google Диска» → ссылка ведёт на страницу, где просят войти в почту.

Что делать: счёт — это PDF, реже Excel или Word. Если «чтобы посмотреть счёт, введите пароль от почты», это всегда ловушка.

4. Звонок «из банка» или «из IT»

«Здравствуйте, служба безопасности банка „Точка“. По вашему счёту подозрительный платёж, чтобы отменить, продиктуйте код из SMS».

Или: «Это из техподдержки Битрикс24 (из IT), переносим портал, назовите код, который сейчас придёт».

Что делать: код из SMS или push-уведомления — это ваша подпись. Его не спрашивает ни банк, ни сисадмин, ни директор. Положите трубку и перезвоните по номеру с сайта или карты банка. Сисадмину напишите по известному вам контакту.

Проверка подозрительного письма за 30 секунд: «Кто — Что — Как — Куда»

Выведите на слайд и повторите вслух:

Итог:

• Если нашли хотя бы один тревожный признак и речь о деньгах или паролях, проверьте другим каналом (звонок по известному номеру).
• Если не уверены, перешлите сисадмину с пометкой «проверь, пожалуйста». Это нормальный рабочий шаг, а не паранойя.

Интерактив (3 мин): раздайте распечатку письма «смена реквизитов». Пары ищут все признаки. Спросите, кто нашёл больше.

Правило модуля: Деньги и пароли — только после проверки другим каналом.

Модуль 2. Пароли и двухэтапная защита (15 мин)

История

Логист Дмитрий использует пароль Baltfr@ht2024 для почты, Битрикс24 и личного маркетплейса. Маркетплейс «утёк», база паролей появилась в сети. Программа мошенников автоматически перебрала этот пароль на других сервисах, и вход в Битрикс24 удался. Месяц чужой человек видел всю клиентскую базу, а потом от имени Дмитрия разослал клиентам «новые реквизиты для оплаты».

Мораль: пароль не «взломали», его переиспользовали. Это самая частая причина взлома рабочих аккаунтов.

Длина важнее сложности

Объяснение на пальцах: программа-подборщик перебирает варианты, как кодовый замок. Каждый лишний символ умножает число вариантов в десятки раз. Каждая «хитрая» замена (a → @) почти ничего не даёт: подборщики её знают.

Как сделать хороший пароль: 4–5 случайных, не связанных между собой слов. Не цитата и не название компании.

Зачем менеджер паролей

Помнить 20 разных длинных паролей невозможно. Поэтому люди и используют один.

Менеджер паролей — это «сейф»:

• помните один длинный пароль от сейфа;
• остальные сейф создаёт и подставляет сам;
• бонус: он подставит пароль от Битрикс24 только на настоящем сайте Битрикс24, а на поддельном промолчит. Это ещё и защита от фишинга.

Какой именно использовать, скажет сисадмин (впишите одобренный вариант). Записать пароль на стикер под клавиатурой — не вариант. Записная книжка дома в ящике — лучше, чем один пароль на всё.

Двухэтапная защита: почему «второй ключ» важнее пароля

Даже если пароль украли, без второго шага вор не войдёт. Но вторые шаги бывают разными по надёжности:

Важная оговорка: код из приложения тоже можно продиктовать мошеннику. Поэтому правило «код никому» действует для любого способа.

Push-подтверждение: если пришёл запрос «Вы входите?», а вы не входили, нажимайте «Нет» и сообщайте сисадмину. Значит, ваш пароль уже у кого-то.

Действие после семинара: включить двухэтапную защиту в почте и Битрикс24 (при необходимости с помощью сисадмина).

Правило модуля: Длинный пароль + свой для каждого сервиса + второй ключ в приложении.

Модуль 3. QR-коды и мессенджеры (10 мин)

История 1. «Отсканируйте, чтобы получить документы»

Менеджеру в WhatsApp пишет «новый клиент»: «Хотим отправить 5 фур в Казань, коммерческое во вложении. Для доступа к документам отсканируйте QR через Telegram». Менеджер сканирует. Этот QR был кодом входа в Telegram Web: менеджер сам «пустил» мошенника в свой аккаунт. Дальше мошенник пишет всем его рабочим контактам от его имени.

История 2. QR в счёте

Приходит PDF-счёт от нового перевозчика, на нём QR «Оплатить по СБП». Реквизиты в тексте счёта одни, а QR ведёт на оплату совсем другому получателю.

История 3. «Директор» в Telegram

С нового аккаунта с фото генерального: «Не звони, я на совещании. Срочно нужно оплатить поставщику, счёт скину. Никому пока не говори». Иногда следом «звонит» голос, похожий на директора: голос сейчас можно подделать.

Признаки:

• QR просят отсканировать внутри мессенджера или «для входа» и «подтверждения»;
• QR в счёте ведёт не туда, куда указывают реквизиты;
• новый аккаунт «знакомого», запрет звонить, «никому не говори», срочность.

Что делать:

• Не сканировать QR из переписки для входа куда-либо. Раздел «Подключить устройство» в Telegram и WhatsApp используйте только сами для своего компьютера.
• Проверьте активные сеансы: Telegram → Настройки → Устройства, WhatsApp → Связанные устройства. Незнакомое — завершить.
• Включите облачный пароль в Telegram (Конфиденциальность → Двухэтапная аутентификация).
• Перед оплатой по QR сверьте на экране банка получателя и сумму со счётом.
• «Директору» с нового номера перезвоните на старый номер или спросите у секретаря.

Правило модуля: QR из чата — не сканирую. Просьба «директора» с нового номера — перезваниваю на старый.

Модуль 4. Удалённая работа и личный телефон (10 мин)

История

Бухгалтер работает из кафе, подключилась к бесплатному Wi-Fi «Coffee_Free». Сеть создал человек за соседним столиком. Вошла в банк-клиент, отошла за кофе, ноутбук остался открытым. Параллельно на её телефоне с рабочей почтой нет блокировки экрана, и через неделю телефон забыт в такси.

Признаки риска:

• открытая сеть без пароля или с «подходящим» названием;
• экран виден окружающим;
• телефон без блокировки, со старой системой, с приложениями «не из магазина».

Что делать.

В кафе и дороге:

• Раздавайте интернет с телефона вместо чужого Wi-Fi.
• Банк-клиент и оплаты в публичных местах не делаем.
• Отошли хоть на минуту — Win + L (Mac: Ctrl + Cmd + Q).

Дома:

• Пароль на Wi-Fi есть и он не заводской с наклейки роутера.
• Рабочий ноутбук — только для работы, дети на нём не играют.

Личный телефон с рабочей почтой:

• Блокировка экрана (PIN от 6 цифр или отпечаток).
• Обновления системы включены.
• Приложения только из официальных магазинов.
• Потеряли телефон — в тот же час сообщите сисадмину. Он завершит сеансы почты и Битрикс24 удалённо.

Правило модуля: Чужой Wi-Fi — не для денег. Отошёл — заблокировал. Потерял — сообщил.

🧪 Мини-тест «Фишинг или нет?» (12 мин)

Как провести: участники открывают форму по QR на экране. На каждое письмо даётся 1 минута и три варианта ответа: А) Фишинг · Б) Всё в порядке · В) Нужно проверить.

После каждого вопроса покажите результаты зала и разберите ответ. Подчеркните, что вариант «Нужно проверить» — это нормальный профессиональный ответ, а не неуверенность.

Письмо 1

От: СевЗапТранс Бухгалтерия <buh@sevzaptrans.ru>
Тема: Счёт по заявке №4471

Добрый день!
Направляем счёт за рейс Санкт-Петербург – Москва по заявке №4471
от 16.09, сумма 142 000 ₽. Реквизиты без изменений.
Вложение: Счет_4471.pdf

Ответ: Б) Всё в порядке.

• Адрес совпадает с тем, что в CRM.
• Номер заявки и сумма совпадают с Битрикс24.
• Обычный PDF, без срочности.
• Хорошая привычка: сверить реквизиты в счёте с прошлыми платежами. Это 10 секунд.

Мысль для зала: большинство писем настоящие. Цель не в том, чтобы подозревать всех, а в том, чтобы проверять ключевые моменты.

Письмо 2

От: СевЗапТранс Бухгалтерия <buh@sevzap-trans.ru>
Тема: СРОЧНО! Изменение реквизитов

Добрый день! В связи со сменой банка просим оплату по заявке №4471
провести по новым реквизитам (письмо на бланке во вложении).
Оплата нужна сегодня до 15:00, иначе водитель не выйдет на загрузку.

Ответ: А) Фишинг (как минимум В: проверить по телефону).

• Дефис в адресе.
• Смена реквизитов.
• Срочность и угроза.
• Номер заявки настоящий. Значит, мошенники, скорее всего, читают переписку перевозчика, и это стоит сообщить и перевозчику, и сисадмину.

Письмо 3

От: Битрикс24 <no-reply@bitrix24-notify.com>
Тема: Ваш пароль истекает через 2 часа

Для сохранения доступа к порталу baltfracht подтвердите учётную запись:
[Войти в Битрикс24] → https://baltfracht-bitrix24.com/login

Ответ: А) Фишинг.

• Адрес ссылки не совпадает с адресом вашего портала.
• Давление временем.
• «Подтвердите пароль по ссылке» — классика.
• Если сомневаетесь, откройте Битрикс24 из закладки, а не из письма. Если что-то действительно нужно сделать, вы это увидите там.

Письмо 4

От: ООО «ВолгаКарго» <info@volgacargo-logistic.ru>
Тема: Заявка на перевозку + документы

Здравствуйте! Мы новый клиент, планируем 8 рейсов в месяц.
Коммерческое предложение и спецификация в защищённом хранилище.
Для просмотра отсканируйте QR-код телефоном и войдите
с помощью рабочей почты.
[изображение QR-кода]

Ответ: А) Фишинг.

• Настоящему клиенту незачем прятать документы за QR.
• Просьба войти рабочей почтой = кража пароля.
• QR специально ведёт на телефон, где адрес ссылки плохо видно, а защиты меньше.
• Приманка — «8 рейсов в месяц»: на выгодного клиента хочется отреагировать быстро.

Письмо 5 (сообщение в Telegram)

Андрей Петрович (генеральный директор) — новый аккаунт, фото из соцсетей
«Добрый день. Я на совещании, не звоните. Нужно срочно оплатить
предоплату новому партнёру, счёт сейчас пришлю. Это конфиденциально,
в бухгалтерии пока никому не говорите.»

Ответ: А) Фишинг.

• Новый аккаунт.
• «Не звоните» + «никому не говорите» + срочность.
• Оплата в обход обычного порядка.
• Правильно: перезвонить директору на известный номер. Если это правда он, он поймёт и оценит.

Итог теста: спросите, кто ответил «Нужно проверить» хотя бы раз, и похвалите этих людей. Это и есть нужная привычка.

✅ Чек-лист самопроверки рабочего места (5 мин)

Пройдите по пунктам прямо в зале: каждый отмечает у себя. Всё, что сразу сделать нельзя, — домашнее задание на неделю.

Компьютер

• Блокирую экран (Win + L), когда отхожу
• Пароль нигде не записан на стикере или под клавиатурой
• Не откладываю обновления системы неделями

Пароли и вход

• Пароль от почты не используется больше нигде
• Пароль от Битрикс24 не используется больше нигде
• Включена двухэтапная защита в почте и Битрикс24
• Знаю, какой менеджер паролей одобрен в компании

Телефон с рабочей почтой

• Блокировка экрана включена
• Система обновлена, приложения только из официального магазина
• В Telegram и WhatsApp проверил список подключённых устройств
• В Telegram включён облачный пароль

Дом и дорога

• Домашний Wi-Fi под паролем, и это не пароль с наклейки роутера
• Оплаты и банк-клиент — не через публичный Wi-Fi

Процессы

• Знаю номер или контакт сисадмина для сообщений (записан в телефоне)
• Знаю, куда звонить в банк, если платёж ушёл не туда
• Реквизиты контрагентов сверяю с данными из договора или CRM

Если вы ошиблись: первые 15 минут

Промолчать — единственная настоящая ошибка. Сообщить через 5 минут — это спасти ситуацию.

📌 ПАМЯТКА: повесьте у рабочего места

┌──────────────────────────────────────────────────────────────┐
│          БАЛТФРАХТ ЛОГИСТИКА · КИБЕРГИГИЕНА ЗА 30 СЕКУНД     │
├──────────────────────────────────────────────────────────────┤
│  ПРОВЕРКА ПИСЬМА: КТО — ЧТО — КАК — КУДА                     │
│  КТО?   Смотрю полный адрес, а не имя. Нет ли дефиса,        │
│         лишней буквы, чужого домена?                          │
│  ЧТО?   Деньги, реквизиты, пароль, код, файл → внимание      │
│  КАК?   «Срочно», «штраф», «никому не говори» → стоп         │
│  КУДА?  Навожу мышь на ссылку. Счёт — это PDF, не .exe/.zip  │
├──────────────────────────────────────────────────────────────┤
│  5 ЗОЛОТЫХ ПРАВИЛ                                             │
│  1. Новые реквизиты — только после звонка по СТАРОМУ номеру  │
│     из договора или Битрикс24                                 │
│  2. Код из SMS/приложения — моя подпись. Никому: ни банку,   │
│     ни IT, ни «директору»                                     │
│  3. QR из чата или письма — не сканирую для входа куда-либо  │
│  4. Длинный пароль из 4–5 слов, свой для каждого сервиса,    │
│     + второй ключ в приложении                                │
│  5. Отошёл — Win+L. Чужой Wi-Fi — не для денег               │
├──────────────────────────────────────────────────────────────┤
│  «ДИРЕКТОР» С НОВОГО НОМЕРА ПРОСИТ ОПЛАТИТЬ?                  │
│  → Перезваниваю на известный номер. Всегда.                  │
├──────────────────────────────────────────────────────────────┤
│  ОШИБСЯ? СООБЩИ СРАЗУ — ЗА ЭТО НЕ НАКАЗЫВАЮТ                 │
│  Сисадмин:  ______________________  (тел. / Telegram)        │
│  Банк «Точка», экстренно: номер с официального сайта или      │
│  из приложения: ____________________                          │
│  Ушёл платёж не туда → СНАЧАЛА БАНК, потом руководитель      │
├──────────────────────────────────────────────────────────────┤
│  Не уверен? Перешли сисадмину: «проверь, пожалуйста».        │
│  Это не паранойя, а профессионализм.                          │
└──────────────────────────────────────────────────────────────┘

Что вынести за рамки этой сессии

За 90 минут всё не уместить. Отдельной встречи в ближайший месяц не будет, поэтому предлагаю форматы, которые не требуют собирать всех вместе.

Для руководства отдельно: правило двойного подтверждения при смене реквизитов (звонок по старому номеру + согласование вторым сотрудником) — не тема обучения, а бизнес-процесс. Его стоит закрепить приказом. Из всех мер он даёт наибольшую защиту от реальных потерь.