Социальная инженерия

Социальная инженерия (social engineering) — психологическое воздействие, с помощью которого злоумышленник побуждает человека раскрыть сведения или выполнить нужное ему действие. В финтехе целью могут быть передача пароля, подтверждение входа или перевод денег.

Актуально на сентябрь 2026 года. Разбор стандарта выполнен по первой редакции проекта и будет сверен с официальным изданием.

Кратко:

• Нарушитель выдаёт себя за доверенного собеседника и побуждает человека раскрыть сведения или выполнить действие.
• Фишинг, звонок и SMS часто работают в одной схеме.
• Первая редакция проекта ГОСТ прямо упоминает социальную инженерию при описании ИА-1, ИА-8 и АФЗ-1.
• Проверка личности в KYC не показывает, действует ли клиент по своей воле.
• Риск снижают независимая проверка запросов, стойкая аутентификация и контроль операций.

Как работает социальная инженерия?

Злоумышленник подаёт опасное действие как обычную проверку, помощь или служебную задачу. Взламывать систему ему не нужно: пользователь сам сообщает пароль, подтверждает вход или переводит деньги.

В звонке «из банка» нарушитель изображает защитника денег. В письме «от поставщика» просит срочно заменить реквизиты. В чате поддержки выдаёт себя за владельца аккаунта и добивается восстановления доступа.

Срочность оставляет меньше времени на проверку. Запрет обсуждать происходящее с коллегами или родственниками изолирует адресата. Настоящие подробности о сделке делают обращение убедительным, хотя полномочий собеседника не подтверждают. Американское агентство CISA перечисляет эти приёмы в памятке о социальной инженерии и фишинге.

Обман не всегда заканчивается захватом аккаунта. Клиент может сам войти в подлинное приложение банка и сам подтвердить перевод на счёт мошенника.

Какие методы социальной инженерии используют мошенники?

Письмо с поручением «от руководителя» бывает одновременно спир-фишингом и претекстингом, поэтому границы между методами условны. CISA различает фишинг, вишинг и смишинг по каналу: электронная почта или сайт, голосовой звонок, SMS.

Подменённый номер телефона или адрес отправителя поддерживает легенду. Поток SMS с кодами иногда предшествует звонку «из службы безопасности»; как устроена такая атака, объясняет статья о СМС-бомбинге. Дипфейк в разговоре обманывает человека, поддельное изображение при биометрической проверке обманывает систему распознавания, и защищаться от них приходится по-разному.

Как социальная инженерия отражена в проекте ГОСТа?

В первой редакции проекта методы социальной инженерии названы среди способов реализации отдельных угроз. Собственного кода у социальной инженерии в перечне нет.

Росстандарт утвердил ГОСТ Р 70262.3-2026 14 сентября 2026 года, регистрация № 1136-ст; стандарт вводится в действие с 1 декабря 2026 года, следует из уведомления об утверждении. Текст приложений в уведомлении не приводится, поэтому цитаты ниже даны по первой редакции проекта.

Проект использует понятия доказывающей и проверяющей стороны. Доказывающая сторона подтверждает свою идентичность, например пользователь при входе. Проверяющая сторона проверяет предъявленные сведения; при фишинге её роль играет подделка.

Где методы названы прямо?

Способ реализации угрозы ИА-1 «Фишинг» в таблице Б.2 проекта описан так:

Для ИА-8 «Хищение (повреждение) аутентификатора» в той же графе сказано:

Уязвимость АФЗ-1 в приложении А называется «Низкая стойкость секрета к хищению». Среди способов её эксплуатации проект называет подбор ответа на контрольный вопрос и разгадывание секрета с помощью социальной инженерии. Там же упомянуто подглядывание за вводом пароля, для которого психологическое воздействие не требуется.

Какие угрозы могут сочетаться?

АФЗ-2 обозначает невозможность однозначно установить факт хищения секрета. АФВ описывает низкую стойкость предмета или устройства к хищению либо повреждению, а АФБ относится к копированию биометрической характеристики.

Готового набора мер защиты от социальной инженерии проект не содержит. Раздел 7 предлагает брать перечни угроз и уязвимостей за основу для конкретной системы и дополнять их угрозами её программной и программно-аппаратной реализации.

Чем социальная инженерия отличается от фишинга и спуфинга?

Социальная инженерия всегда направлена на человека. Фарминг и спуфинг могут обойтись без обмана, а захватом аккаунта называют результат, к которому ведут разные пути.

Захват аккаунта часто объединяет несколько угроз: письмо выманивает пароль (ИА-1), затем нарушитель входит под чужим именем (ИА-7). Как мошенники используют чужие данные при регистрации и входе, разобрано в статье о подмене личности.

Почему KYC не всегда выявляет социальную инженерию?

Проверка паспорта, лица или контактов подтверждает личность заявителя, но не показывает, действует ли он по своей воле. Настоящий документ и живой человек перед камерой не исключают внешнего управления.

Человеку предлагают подработку: нужно зарегистрироваться в финансовом сервисе. Он предъявляет собственный паспорт и проходит видеопроверку. После регистрации «работодатель» просит передать доступ или выполнять переводы по его инструкциям. Все сведения о личности достоверны, но аккаунтом фактически распоряжается другой человек.

Для организаций, на которые распространяется 115-ФЗ, статья 7 требует также выяснять цели деловых отношений, оценивать риск и принимать меры по его снижению. Результаты проверок сопоставляют с обстоятельствами заявки и последующими действиями клиента. Один сигнал сам по себе мошенничества не доказывает.

Как бизнесу снизить риск социальной инженерии?

Обучение сотрудников снижает риск, но не заменяет правил. Запрос на смену реквизитов или восстановление доступа проходит проверку, как бы убедительно он ни звучал.

• Подтверждайте смену реквизитов по заранее согласованному номеру телефона или адресу. Контакт из самого сообщения о смене реквизитов для проверки не подходит.
• Выделите отдельную процедуру восстановления доступа и смены телефона. Срочность обращения не отменяет проверку заявителя.
• Используйте многофакторную аутентификацию; для критичных доступов планируйте фишинг-устойчивые методы.
• Разделите полномочия на подготовку и подтверждение крупных платежей.
• Дайте сотрудникам простой способ сразу сообщить о подозрительном обращении или собственной ошибке.

Проверять запрос по заранее известному контакту советует и CISA. В памятке Implementing Phishing-Resistant MFA, октябрь 2022 года агентство относит к фишинг-устойчивым методам FIDO/WebAuthn. SMS-код к ним не относится: его выманивают вместе с паролем.

Мера ЗЭП.4 «Защита от фишинга» из методического документа ФСТЭК России от 12 апреля 2026 года касается электронной почты. Она предусматривает контроль текста и ссылок, фильтрацию по отправителю и содержимому, ретроспективный анализ писем. При усилении добавляются блокирование или карантин, репутационная фильтрация, проверка в «песочнице» и выявление подделки легитимного отправителя.

Набор обязательных требований зависит от конкретной информационной системы. Почтовый фильтр не остановит звонок «из службы безопасности», поэтому для голосовых сценариев нужны свои правила.

Какие проверки IDX помогают оценить риск подмены личности?

Проверки IDX дают заказчику сведения о личности и признаки риска. Решение о дополнительной проверке, ограничении доступа или ручном рассмотрении принимает сама организация.

Проверки объединены в антифрод-решении IDX, отдельные сервисы собраны в разделе подтверждения личности. Даже подтверждённая связь телефона с человеком не защищает его от звонка мошенника.

Что обязан делать банк при признаках перевода без добровольного согласия?

Антифрод-контроль переводов регулирует закон № 161-ФЗ. По части 3.1 статьи 8 к переводам без добровольного согласия относятся и те, согласие на которые получено обманом или злоупотреблением доверием.

Приказ Банка России от 5 ноября 2025 года № ОД-2506 расширил перечень признаков таких переводов до 12. Обновлённый перечень применяется с 1 января 2026 года; признак, связанный с государственной информационной системой противодействия правонарушениям с использованием ИКТ, действует с 1 марта 2026 года.

Банк проверяет перевод на признаки до списания денег или при приёме распоряжения. Если признаки найдены, статья 8 предписывает приостановить приём распоряжения или отказать в операции; порядок и сроки различаются для разных видов переводов. Операторы по переводу денежных средств, платёжных систем, услуг платёжной инфраструктуры и электронных платформ сообщают Банку России о случаях и попытках переводов без добровольного согласия. Обязанность установлена частью 6 статьи 27, часть 9 распространяет её на филиалы иностранных банков.

Возврат денег не гарантирован. Статья 9 связывает возмещение с уведомлениями банка и клиента и с тем, как клиент пользовался средством платежа. Часть 3.13 статьи 8 добавляет отдельное основание: банк получил из базы Банка России сведения о получателе, но всё же исполнил перевод клиента-физического лица с нарушением установленных требований.

В 2025 году банки предотвратили 134,16 млн мошеннических операций на 13 895,4 млрд рублей, а клиентам вернули 5,9 % объёма операций без добровольного согласия, следует из обзора Банка России. Долю социальной инженерии обзор отдельно не приводит.

Как действовать после подозрения на социальную инженерию?

Прекратите разговор и позвоните в банк или сервис по номеру из официального приложения или с сайта. Номер, ссылку или мессенджер, которые дал собеседник, не используйте.

1. Рассказать банку о случившемся. Назовите, какие сведения вы передали и что успели сделать по просьбе собеседника.
2. Ограничить доступ и сменить пароль. Выполните инструкции банка по блокировке. Смените раскрытый пароль и такой же пароль в других сервисах.
3. Проверить операции и уведомить банк. Просмотрите последние операции. Если нашли операцию без добровольного согласия, направьте банку уведомление в форме, предусмотренной договором.
4. Сохранить сведения об инциденте. Сохраните переписку, номер звонившего и данные об операции; при хищении обратитесь в полицию.

Срок уведомления устанавливает часть 11 статьи 9 закона № 161-ФЗ: банк нужно известить незамедлительно после обнаружения операции, но не позднее дня, следующего за получением уведомления банка о ней. Отсчёт идёт от обнаружения операции или от уведомления банка; момент звонка на срок не влияет.