Исследование

Вы самое слабое звено. Скачайте!

Время чтения 10 минут

Юлия Маринина

Редактор медиа
Цифровые привычки

10 сентября 2026

Хакер в темном капюшоне, молниеносно печатающий сложный код и обходящий все возможные защиты, — фантазия, которую нам продал Голливуд. Реальная атака выглядит куда прозаичнее: например, сотруднику приходит письмо от «директора» с пометкой «СРОЧНО», где он просит перевести деньги контрагенту прямо сейчас, иначе сделка сорвется. Сотрудник не перепроверяет — торопится, переводит деньги, и они уходят в никуда.

Мошеннику не требуется сложный код или взлом системы, нужен только правильно выбранный момент, понимание эмоциональных уязвимостей и человек, у которого нет времени на «подумать». Это и есть типичная кибератака 2026 года.

Цифры, которые сложно игнорировать

Человеческий фактор в кибербезопасности остается одним из ключевых рисков: как показывают исследования последних лет, большинство утечек данных так или иначе связано с действиями людей — речь идет о цифрах в диапазоне 70–85%. Средняя стоимость одной утечки давно перевалила за несколько миллионов долларов и продолжает расти год к году.

Но еще интереснее другое открытие, к которому все чаще приходят аналитики: сотрудники нарушают правила безопасности не потому, что безответственны, а потому что соблюдать эти правила — значит работать дольше и с дополнительными неудобствами.

Люди выбирают не между «безопасно» и «опасно». Они выбирают между «сделать свою работу быстро» и «потратить лишнее время на формальную процедуру». И почти всегда выигрывает первое.

Если дело не в «плохих сотрудниках», то бесконечные тренинги и жесткие ограничения — не решение, а скорее часть проблемы.

Анатомия атаки: как играют на эмоциях

Страх

«Ваш аккаунт заблокируют через 24 часа» — и человек перестает мыслить критически.

Срочность

«Директор ждет перевод прямо сейчас» — дедлайн отключает осторожность.

Доверие

Письмо приходит с адреса, похожего на корпоративный или от имени коллеги — бдительность падает автоматически.

Желание помочь

«Я новенький, не могу войти в систему, помогите» — готовность прийти на выручку тоже становится уязвимостью.

Любопытство

«Вы не поверите, что о вас написали» — и рука сама тянется к ссылке.

Ни один из этих приемов не требует технических знаний. Требуется только понимание психологии людей. Самые опасные киберугрозы сегодня — это режиссура человеческого поведения: продуманный сценарий, где человек делает ровно то, что нужно атакующему, и при этом искренне уверен, что поступает правильно.

Почему строгие правила не спасают

Есть неочевидное наблюдение, которое переворачивает интуитивные представления о защите: чем больше правил — тем охотнее их игнорируют. Исходя их соображений самозащиты, а не из злого умысла.

Представьте: нужно срочно отправить файл клиенту, а корпоративная система требует пять уровней авторизации и двадцать минут времени, которых нет. Итог предсказуем — файл уходит через личную почту или мессенджер — любым каналом, который работает прямо сейчас.

У такой «перегрузки безопасностью» есть три типичных симптома: сотрудники механически нажимают «ОК» на предупреждения, не читая их; создают неофициальные обходные пути — личные устройства, сторонние сервисы; и, самое опасное — перестают сообщать об инцидентах, потому что процедура слишком сложная, а последствия непредсказуемые.

Существует и культурный слой этой проблемы. В организациях и странах с высоким уровнем доверия к авторитетам люди охотнее выполняют «срочную просьбу» от того, кто представляется руководителем, даже если это нарушает все возможные процедуры. Там, где принято помогать друг другу без лишних вопросов, легче поверить в легенду о «коллеге», который просит открыть доступ. Атака, которая провалится в одной среде, вполне может сработать в другой — просто потому, что социальная инженерия подстраивается под контекст жертвы.

Молчание — главный враг безопасности

Когда сотрудник нажал на фишинговую ссылку, первое, что он чувствует, — страх и стыд. И в этот момент делает выбор: сообщить или промолчать.

Культура наказания убивает культуру безопасности. Тот, кто наказывает за ошибку, узнает о ней последним, если вообще узнает.

Тем, кто ошибку воспринимает как повод научиться, а не как повод для выговора, сотрудник сообщает немедленно: команда своевременно реагирует и ущерб минимален.

Сотрудники, как правило, хорошо умеют распознавать фишинг и нажимать на кнопку «пожаловаться». Но на вопрос «что вы сделаете, если столкнетесь с другим типом инцидента» многие ответить не могут — потому что никогда не сообщали ни о чем, кроме подозрительных писем, и даже не знали что это тоже нужно делать. Корпоративные политики информационной безопасности при этом чаще всего лежат непрочитанными: часть сотрудников не знает, где их искать, другая часть знает, но все равно не открывала их ни разу.

Есть и обратная сторона: хорошие результаты в фишинговых симуляциях не всегда говорят о высокой культуре безопасности. Иногда сотрудники просто усваивают формальные признаки потенциальной угрозы и начинают действовать по шаблону — например, считать подозрительным любое письмо со ссылкой или вложением. Такой подход действительно помогает успешно проходить тесты, но не учит оценивать контекст и отличать реальную атаку от обычной рабочей коммуникации. В итоге высокие показатели статистики могут отражать не глобальную осознанность сотрудников, а факт отличного освоения лишь одного правила.

Технологии наступают быстрее, чем усиливается защита

Мошенники давно автоматизировали то, что раньше требовало ручной работы. Голосовые дипфейки имитируют интонации руководителя за несколько секунд воспроизведения аудио с его голосом. Нейросети пишут фишинговые письма без единой грамматической ошибки и с точным попаданием в корпоративный стиль компании. Массовая персонализация атак, которая раньше требовала дорогих ресурсов, теперь доступна любому злоумышленнику с базовым набором инструментов.

Пока технологии атаки эволюционируют экспоненциально, обучение сотрудников часто остается на уровне десятилетней давности. Разрыв между скоростью атакующих и скоростью средств защиты только увеличивается, и закрыть его одними техническими средствами невозможно.

Что действительно работает

Безопасность должна быть удобной

Если выбор между безопасным и небезопасным поведением стоит сотруднику времени и усилий, он почти всегда выберет второе. Задача — сделать правильное действие путем наименьшего сопротивления: менеджер паролей в один клик, кнопка «сообщить о подозрительном письме» прямо в почте, VPN, включающийся автоматически.

Отказ от наказания за ошибку в случае чистосердечного признания — не значит вседозволенность

Стоит помнить, что ошибка, о которой сообщили — управляемый риск, а ошибка, которую скрыли — становится проблемой позже, и куда более серьезной.

Обучение работает лучше, когда оно построено на реальных рабочих ситуациях, а не сводится к ежегодному обязательному курсу. Симуляции эффективны, если за ними следует объяснение и поощрение за заданные вопросы: сотрудник, попавшийся на тренировочный фишинг, может сразу узнать, что пошло не так и как распознать угрозу в следующий раз. Элементы игры и эмоциональная стимуляция заметно поднимают вовлеченность.

«Кибербезопасность перестала быть задачей исключительно ИТ-отдела. Сегодня каждый руководитель, который работает с данными, почтой и цифровыми сервисами, — часть периметра защиты компании. Наша задача — не запугать людей инструкциями, а развить у них навыки, которые можно автоматически применять в повседневной работе».

Владислав Исаев

Руководитель учебного
отдела HeadBridge

Показательный пример — наш проект с одним из агропромышленных холдингов. Служба ИБ компании фиксировала рост инцидентов из-за человеческого фактора среди руководителей, не связанных с ИТ, поэтому мы построили программу вокруг их реальных рабочих ситуаций — работы с почтой, облачными сервисами, персональными данными. Свыше 300 сотрудников управленческой команды прошли обучение, а число зафиксированных нарушений при работе с данными снизилось на 68% за три последующих месяца.

Линейные менеджеры — ключевое звено

С вопросами безопасности сотрудники чаще обращаются не в IT-отдел и не в службу безопасности, а к своему непосредственному руководителю. При этом сами менеджеры зачастую подготовлены не лучше своих команд. Вложения в обучение именно этой категории сотрудников окупаются быстрее всего, ведь именно они формируют отношение всей команды я к правилам безопасности.

Сотрудник как первая линия обороны

Традиционная модель системы безопасности видит в человеке уязвимость, которую нужно ограничивать и контролировать: минимум прав, максимум блокировок, постоянный надзор. Эта модель себя исчерпала.

В защите компании от кибератак сотрудник может быть либо самым слабым звеном, либо лучшим детектором угроз — разница только в культуре ИБ. Человек, который понимает, зачем нужны правила, не боится сообщить об ошибке и знает, что делать не только с фишинговым письмом, но и с любым другим подозрительным сигналом — лучшая профилактика в борьбе с хакерскими атаками.

Экспресс проверка для команды: