Каждый третий сотрудник переходит по фишинговой ссылке

В среднем 35% сотрудников компаний переходит по фишинговым ссылкам, резюмируют практические тестирования оператора ИТ-решений "ОБИТ".

Социальная инженерия и метод фишинга в частности остаются наиболее эффективным каналом проникновения злоумышленников во внутренние ресурсы организаций. Согласно исследованию Positive Technologies, в 2025 году до 80% атак с применением социальной инженерии начинались с электронной почты, при этом сами фишинговые письма все чаще являются частью комплексной схемы атак — а именно первичным контактом для закрепления злоумышленника в корпоративной инфраструктуре.

Электронная почта сохраняет статус предпочтительного инструмента для атаки благодаря своей универсальности и доступности: она позволяет организовывать массовые рассылки, обходить базовые средства защиты и доставлять реалистичные вложения разных форматов. В дополнение имеет сильный вес привычка сотрудников доверять корпоративной коммуникации и работать с письмами в условиях высокой нагрузки.

ИБ-специалисты "ОБИТ" регулярно организуют в компаниях проекты по имитации фишинговых атак и тестированию осведомленности сотрудников. Сценарии таких проверок максимально приближены к реальным: письма маскируются под уведомления от технической поддержки, заявки от внутренних сервисов, сообщения о смене пароля и финансовые операции. Согласно внутренним данным "ОБИТ" за 2026 год, средние показатели взаимодействия сотрудников с письмами распределяются следующим образом:

• открывают фишинговые письма — 60%;
• переходят по ссылкам — 35%;
• вводят учетные данные — 21%;
• сообщают о подозрительной активности в службу ИБ — лишь 2%.

Кирилл Тимофеев, руководитель ИТ-департамента "ОБИТ", добавляет: "Сотрудник часто не воспринимает фишинг как риск — письмо выглядит правдоподобно, а сценарий коммуникации построен грамотно. Поэтому ключевая задача бизнеса — системно работать с человеческим фактором: регулярно проводить имитационные тесты, осведомлять о рисках и формировать культуру кибербезопасности. При этом одних только обучающих мер недостаточно — защита должна быть комплексной, и только сочетание организационных и технических мер может дать устойчивый результат".