Тренинги по повышению осведомленности часто бывают недорогими, но неэффективными. Ангела Сассе уже много десятилетий призывает адаптировать технологии к потребностям человека, а не наоборот.
Злоумышленнику не потребовались технологии дипфейков или искусственного интеллекта. Достаточного было одного телефонного звонка на нидерландском языке: в начале 2026 года, якобы представляясь сотрудником IT-отдела, мошенник убедил одну из сотрудниц колл-центра компании Odido (оператора мобильной связи) ввести свои учетные данные на поддельной странице авторизации, включая двухфакторную аутентификацию. По данным компании, в результате этой атаки были скомпрометированы данные более шести миллионов клиентов. Предполагается, что за этим нападением стоит преступная группировка ShinyHunters. Нидерландская полиция позже транслировала запись голоса звонившего по телевидению.
Ангела Сассе, в подкасте "They Talk Tech" издательства c't, где она беседовала со Свеей Экерт и Евой Вольфангель, отмечает, что считать подобные случаи простым человеческим просчетом – это слишком упрощенный подход. Психолог и специалист по информатике, работавшая почти 30 лет в University College London, а с 2018 года являющаяся профессором безопасности, ориентированной на человека, в Университете Рура в Бохуме, вместе с Энн Адамс опубликовала в 1999 году статью "Пользователи – не враги", которая до сих пор является одной из самых цитируемых работ в этой области. В ней она исследовала причины, по которым люди часто игнорируют правила информационной безопасности, например, используя легко угадываемые пароли вместо сложных комбинаций букв и цифр.
Высокие затраты, раздраженные сотрудники, отсутствие безопасности.
"Уже тогда было очевидно, что классические меры безопасности в области информатики не работают, потому что они не учитывают человеческий фактор", - говорит Сассе. Вместо того чтобы сделать логичные выводы и разработать системы безопасности, которые были бы удобны для пользователей, многие специалисты в области информационной безопасности рассматривали самих пользователей как проблему.
По сей день Сассе изучает, например, то, как сотрудники компаний, предъявляющих требования к безопасности, справляются с этими требованиями – будь то пароли, популярные сегодня программы повышения осведомленности или тестовые фишинговые письма. Результат: правила перегружают человеческую память, их обходят, и это отнимает много рабочего времени. "В итоге возникают большие затраты, недовольные пользователи и отсутствие реальной безопасности", – резюмирует Сассе. Однако эти затраты часто остаются незамеченными. Простейший принцип Ангелы Сассе звучит так: тот, кто устанавливает правило безопасности, должен определить, сколько времени потребуется каждому сотруднику для его соблюдения. "К сожалению, это происходит лишь примерно в 90 процентах компаний."
Рекомендуемый редакционный контент.
С вашего разрешения будет загружен внешний подкаст (компания Podigee GmbH).
Я согласен на то, чтобы мне отображался контент из внешних источников. Это может привести к передаче персональных данных на сторонние платформы (Podigee GmbH). Подробнее об этом в нашей политике конфиденциальности.
Пароли, по ее мнению, – это пережиток эпохи 1960-х годов, когда лишь немногим специалистам предоставлялся доступ к компьютерам. Сегодня многие люди имеют сотни учетных записей. С точки зрения Сассе, использование ключей (passkeys) представляет собой один из значительных прорывов последних лет: вместо паролей обмениваются криптографическими ключами, которые невозможно украсть с поддельной страницы входа.
Понимание бизнес-модели.
Однако, по ее словам, возникают новые проблемы, которые решаются с использованием того же подхода, что и раньше. Например, фишинговые письма становятся не только более изощренными, но и все чаще служат основой для кибератак. "Первая мысль, которая приходит в голову: 'Тогда нужно просто больше обучать сотрудников'," – говорит Сассе. Но это приводит к тем же самым проблемам и трудностям, что и в случае с паролями. Ведь невозможно критически проверять каждое письмо, приходящее ежедневно на электронную почту. "Если мы будем это делать, у нас не останется времени на работу", – отмечает она.
Многие из этих проблем можно решить техническими средствами: например, с помощью криптографических методов можно сортировать электронные письма таким образом, чтобы в папку входящих попадали только те сообщения, которые действительно отправлены указанным отправителем. В этом случае необходимо тщательно проверять лишь небольшое количество непроверенных сообщений. Сарре объясняет, почему такие решения используются редко, бизнес-моделью компаний, занимающихся повышением осведомленности: обучение персонала, по крайней мере в краткосрочной перспективе, обходится дешевле технических мер, поэтому руководители компаний склонны верить обещаниям о том, что обученный персонал может предотвратить кибератаки. Однако это не работает. "Мы уязвимы именно потому, что игнорируем технические меры", - объясняет Сарре. "В конечном итоге, обучение оказывается значительно дороже". Это связано не только с тем, что оно отвлекает людей от работы, но и с тем, что просто невозможно безошибочно распознавать каждое фишинговое письмо в повседневной рабочей обстановке.
Сассе с опасением относится к применению искусственного интеллекта в разработке программного обеспечения. "Если компании сейчас полагают, что могут сократить штат разработчиков на половину, это усугубит существующие проблемы", - предупреждает она. Дело в том, что код, созданный с помощью ИИ, может содержать уязвимости, которые не будут замечены непрофессионалами. Тот факт, что ИИ также помогает выявлять уязвимости, не компенсирует этого. "Найти уязвимости – это просто. Устранить их – гораздо более сложная и трудоемкая задача."
Подкаст "They Talk Tech" выходит каждую среду и доступен на всех платформах для прослушивания подкастов. Свеа Экерт и Ева Вольфангель обсуждают темы, связанные с технологиями, а также беседуют с вдохновляющими женщинами из мира технологий и за его пределами.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале