Точка входа

Социальная инженерия — это атака, в которой мошенник добивается своего не взломом систем, а убеждением человека: звонком, письмом, сообщением «от руководителя» или поддельным документом. Цель — чтобы сотрудник сам перевел деньги, назвал код из SMS или открыл доступ. По данным Positive Technologies, с июля 2024 по сентябрь 2025 года социальную инженерию применяли в 60% успешных атак на организации в России, а по оценке F6, более 94% случаев, когда клиенты российских банков теряли деньги в 2025 году, связаны именно с ней.

В мире человек участвует в 62% утечек данных: так посчитал Verizon в отчете DBIR 2026 по 22 000+ утечек из 145 стран. Первым по частоте способом входа там стали уязвимости (31%), поэтому корректно говорить именно об участии человека. В России и СНГ картина прямее: по данным BI.ZONE, 64% целевых атак на компании в 2025 году начинались с фишингового письма, а через уязвимости в публичных приложениях — только 7%.

Нет. По данным МВД, за 2025 год и первое полугодие 2026 года в России зарегистрировали 18 мошенничеств, где дипфейк установлен следствием, а в США, по отчету ФБР IC3 за 2025 год, AI упоминается лишь примерно в 1% ущерба от подмены реквизитов. Главное оружие — обычный звонок, переписка и давление. AI делает их дешевле и убедительнее, поэтому проверять нужно процедуру, а не качество картинки.

Это созвон, где лица и голоса «руководителей» сгенерированы. В 2024 году сотрудник гонконгского офиса Arup после такого созвона сделал 15 переводов на пять счетов на HK$200 млн (около $25,6 млн), хотя системы компании никто не взламывал. Надежнее всего не всматриваться в картинку, а проверить просьбу по второму каналу: перезвонить по номеру из справочника, задать вопрос, ответа на который нет в открытом доступе, и не проводить платеж без второго согласования.

Для узнаваемого клона в массовом сервисе хватает минуты-двух чистой речи: столько рекомендует для быстрого клона ElevenLabs, и обычно это есть в любом интервью, вебинаре или голосовых в открытом чате. Цифра «3 секунды» — из лабораторных демо (Microsoft VALL-E) и теста McAfee 2023 года, где речь шла о 85% сходства тембра. Поэтому голос больше не доказывает личность: срочные просьбы проверяют перезвоном по известному номеру или заранее оговоренным кодовым словом.

Это текст, спрятанный в письме, документе, резюме, приглашении или на странице сайта так, что человек его не видит, а AI-ассистент читает и выполняет как команду. Например, ассистент пересказывает акт сверки и «вдруг» советует оплатить счет по новым реквизитам. OWASP ставит промпт-инъекцию на первое место среди рисков LLM-приложений, а OpenAI в 2025 году написала, что ее, как и социальную инженерию, вряд ли удастся победить полностью. Совет AI про деньги и доступы проверяют по первоисточнику.

Это один рабочий день в вымышленной компании: сообщения коллег, письма, звонки, фото, чеки и подсказки AI-ассистента, часть из которых настоящие, а часть подделка. Экспресс — 5 заданий примерно за 3 минуты, полный тест — 12 заданий и необязательный финал, где вы сами пробуете выведать код из SMS у AI-бухгалтера. Перед каждым ответом вы ставите 5, 10, 25, 50 или 90% банка: верный ответ приносит ставку, неверный ее забирает. Так тест меряет не только знания, но и то, насколько вы уверены там, где правы.

Это итог теста: карточка, которую на вас завел бы колл-центр мошенников, со статусом от «Не звонить» до «Приоритетный контакт», устойчивостью от 0 до 100 и пометкой оператора. Устойчивость складывается из точности ответов (70%) и честности ставок (30%). Формат не выдуман: в утечке Scam Empire (OCCRP, 2025) нашлись CRM колл-центров, где операторы вели 32 000+ жертв с пометками.

Регистрации, имени и почты не нужно: в рейтинге вы — робот с позывным. Сервер хранит ответы партии, а IP-адрес — только в виде хеша с солью. Яндекс.Метрика включается лишь после вашего согласия в плашке cookie, а переписка в финальном чате сохраняется для разбора и публикуется только в обезличенном агрегированном виде. Подробности — на странице «Политика».

Тест сделали AppCraft и Specter Consulting Group. Все компании, люди и банки в заданиях вымышлены, а реальные случаи и цифры в разборах взяты из первоисточников: отчетов регуляторов, полиции, компаний-жертв и исследований с методикой. Полный список фактов с источниками — на странице «Социальная инженерия в цифрах».

Да, и это измеряется. По данным KnowBe4 за 2026 год (42 млн симуляций), без тренировки на фишинговое письмо попадается 33,2% сотрудников, через 90 дней регулярных тренировок — 20,1%, через год — 4,2%. Работает не лекция, а повторяющаяся практика на реалистичных сценариях с разбором ошибок.

Оставьте заявку через форму «Обсудить проверку компании» внизу страницы. AppCraft и Specter Consulting Group проводят проверку на сценариях вашей компании: письма «от поставщиков», звонки «от руководства», подмена реквизитов, AI-ассистенты. В итоге вы видите не только, кто ошибается, но и в каких процессах атака проходит без препятствий.

Сразу звонить в свой банк по номеру с сайта или карты и просить приостановить и отозвать платеж, затем подать заявление в полицию: первые часы решают. По отчету ФБР IC3, в 2025 году группа по возврату активов заморозила 58% денег по делам, которые к ней поступили. В России банк обязан на два дня приостановить перевод получателю из базы ЦБ о мошеннических операциях.

Каждый факт в тесте и на странице «Социальная инженерия в цифрах» — с годом и ссылкой на первоисточник: регулятор, полицию, суд, компанию-жертву, исследование с методикой или крупное СМИ со ссылкой на них. Цифры не округляются в сторону эффекта, а популярные мифы вроде «трех секунд голоса хватает для клона» разобраны отдельно. Факты проверены в октябре 2026 года.