Whaling: целевой фишинг против топ-менеджмента. Как защитить руководство компании

2026.07.12

📋 Кратко

Whaling — целевые фишинговые атаки на топ-менеджмент компаний. Злоумышленники тратят недели на подготовку: собирают OSINT-данные, подделывают домены, используют deepfake-голос для звонков. Ущерб от BEC-атак в 2025 году превысил $3,5 млрд. Защита требует комбинации DMARC-аутентификации, многофакторной аутентификации, правила «четырех глаз» и регулярных антифишинговых тренингов руководства.

⏱ 9 минут чтения

Генеральный директор получает письмо от своего же финансового директора: срочно оплатить счёт поставщика, сумма — 12 млн рублей. Реквизиты в письме. Всё выглядит безупречно: подпись, стиль письма, даже история переписки в теме. Через три дня выясняется, что почта финдиректора была взломана, а счёт ушёл мошенникам в Казахстан. Реальные деньги — вернуть почти невозможно.

Это не гипотетический сценарий. Это whaling — целевая фишинговая атака на первое лицо компании или топ-менеджмент. В отличие от массового фишинга, где злоумышленники рассылают тысячи однотипных писем в надежде поймать одного невнимательного сотрудника, whaling — это высокоточный удар. Атакующие тратят недели на подготовку: изучают оргструктуру, собирают OSINT-разведку по каждому руководителю, подделывают доверенные домены и даже имитируют голоса с помощью deepfake.

Руководители компаний — самые ценные и одновременно самые уязвимые цели. У них есть доступ к финансам, подписи на документах, полномочия на перевод средств. При этом именно топ-менеджмент чаще всего считает себя «достаточно умным, чтобы не попасться на удочку» — и именно поэтому становится идеальной жертвой. По данным ФБР за 2025 год, атаки на руководство компаний (Business Email Compromise — BEC) нанесли ущерб в размере более $3,5 млрд. И эта цифра растёт на 30% ежегодно.

    ⚠ Ключевая статистика: BEC-атаки (Business Email Compromise) — самый дорогостоящий вид киберпреступлений после ransomware. Средняя сумма одного перевода — $125 000, а в 15% случаев — более $1 млн. По данным IC3 (FBI Internet Crime Complaint Center), за 2025 год зарегистрировано 88 000 инцидентов BEC с совокупным ущербом $3,56 млрд.

Цифровой кит над корпоративным небоскребом под дождём

Что такое whaling и чем он отличается от обычного фишинга

Термин whaling (от англ. whale — «кит») описывает фишинговые атаки, нацеленные исключительно на «крупную рыбу»: генеральных и финансовых директоров, президентов компаний, членов советов директоров. В русскоязычном контексте прижилось также название «охота на китов». От массового фишинга whaling отличается по всем параметрам.

Теневая фигура собирает цифровое досье в дата-центре

Цель атаки — не учётные данные рядового сотрудника, а прямой доступ к финансам или конфиденциальной информации высшего уровня.
Подготовка — от нескольких дней до месяцев: злоумышленники изучают оргструктуру, деловые связи, привычки руководителя, его круг общения.
Персонализация — письмо содержит имя, должность, отсылки к реальным проектам и переговорам, подпись подчинённого или партнёра.
Техническая сложность — подмена доменов (lookalike), подделка заголовков SPF/DKIM, перехват существующих цепочек писем (reply-chain phishing).
Канал атаки — не только email, но также мессенджеры (Telegram, WhatsApp, Signal), звонки с deepfake-голосом и даже поддельные Zoom-конференции.

Кто в зоне риска

Хотя номинально whaling нацелен на C-level, на практике под ударом оказываются любые сотрудники с финансовыми полномочиями: финансовые директора (CFO), главные бухгалтеры, руководители закупок, операционные директора (COO). Отдельная категория — сотрудники отдела кадров, имеющие доступ к персональным данным всех работников компании. Чем выше уровень доступа к деньгам и данным — тем выше риск стать жертвой whaling.

Разведка цели: как злоумышленники собирают информацию

Whaling-атака начинается задолго до отправки первого письма. Современные атакующие используют методику OSINT (Open Source Intelligence) — разведку по открытым источникам. Инструменты вроде Maltego, Recon-ng, theHarvester и SpiderFoot позволяют собрать досье на руководителя за несколько часов. Но большая часть данных находится в открытом доступе и не требует специального ПО.

Хакер управляет арсеналом фишинговых инструментов в командном центре

LinkedIn и профессиональные сети. Профиль руководителя на LinkedIn — золотая жила для злоумышленника. Должность, структура подчинения, круг контактов, упоминания о проектах, участие в конференциях — всё это используется для персонализации атаки. Исследование Proofpoint показало, что 73% whaling-атак содержат информацию, взятую исключительно из профессиональных соцсетей.

Корпоративный сайт. Раздел «О компании», страница руководства, пресс-релизы — из них атакующие узнают, кто кому подчиняется, кто подписывает контракты, какие партнёры и поставщики у компании.

Утечки данных. Базы слитых паролей (HaveIBeenPwned, коллекции с форумов вроде RaidForums) позволяют проверить, не использовал ли кто-то из руководителей корпоративный email на сторонних сервисах. Единожды скомпрометированный пароль может стать входной точкой.

Социальные сети и блоги. Фотографии с мероприятий, посты о командировках, рассказы о хобби — всё это даёт атакующим контекст для построения доверия. Если злоумышленник знает, что CEO только что вернулся из командировки в Шанхай, письмо с темой «Счёт за проживание в отеле Shanghai Marriott» вызовет гораздо меньше подозрений.

    ⚠ Факт: В 2025 году Group-IB зафиксировала рост whaling-атак на российские компании на 67% по сравнению с 2024 годом. Основные цели — компании из сектора ритейла, финансов и логистики. Среднее время подготовки одной атаки — 14 дней.

Основные техники whaling-атак

Арсенал whaling-атак постоянно расширяется. Помимо классического BEC (поддельные счета от имени поставщиков), злоумышленники используют несколько ключевых техник.

Разгромленный зал совещаний после кибератаки на миллиарды

Подмена доменов (Lookalike Domains)

Атакующие регистрируют домены, визуально неотличимые от домена жертвы. Вместо company.com используется c0mpany.com (с нулём вместо o), company.co или company-holding.com. Письмо с такого домена, оформленное в корпоративном стиле, проходит все базовые проверки — SPF для нового домена может быть настроен корректно. По данным Barracuda Networks, в 2025 году 43% whaling-атак использовали lookalike-домены.

Перехват цепочек писем (Reply-Chain Phishing)

Одна из самых опасных техник. Злоумышленники либо взламывают почтовый ящик одного из участников переписки, либо внедряются в существующую цепочку писем. Получатель видит всю историю переписки, знакомые адреса и контекст — и доверяет новому письму, которое в конце цепочки предлагает оплатить счёт. В марте 2026 года компания Pathé (Франция) потеряла €19 млн именно через reply-chain-атаку: злоумышленники перехватили переписку между финансовым отделом и поставщиком.

Deepfake-звонки и аудио

С развитием генеративных нейросетей whaling вышел за пределы email. Злоумышленники используют deepfake-голос для звонков руководителю от имени партнёра или подчинённого. Инструменты вроде Respeecher, ElevenLabs или открытой библиотеки Coqui TTS позволяют синтезировать голос человека по 30-секундной записи его речи (видео с YouTube, подкаст, запись совещания). В 2025 году зафиксирован случай, когда злоумышленники синтезировали голос финансового директора и позвонили главному бухгалтеру с указанием перевести ₽45 млн на «новые реквизиты поставщика».

Фальшивые судебные запросы и регуляторные письма

Отдельная категория whaling — атаки через поддельные письма от имени регуляторов, налоговых органов или правоохранителей. Руководитель получает письмо с бланком Центробанка, ФНС или Роскомнадзора с требованием срочно предоставить данные или оплатить штраф. Стресс и страх перед юридическими последствиями снижают критическое восприятие. Такие атаки особенно эффективны против компаний, которые недавно проходили проверки или имеют незакрытые предписания.

Реальные кейсы whaling-атак

Ubiquiti Networks ($46 млн). В 2015 году (один из первых задокументированных крупных whaling-кейсов) мошенники, представившись руководством материнской компании, отправили поддельные запросы на перевод средств. Инцидент вскрылся через три недели, но вернуть удалось лишь часть суммы. Этот кейс стал хрестоматийным для индустрии.

Защитный энергетический купол над офисом кибербезопасности

Toyota Motor Corporation (2019, €37 млн). Атака на европейский филиал Toyota: злоумышленники выдали себя за поставщика запчастей и убедили финансовый отдел изменить реквизиты для оплаты. Ущерб составил €37 млн. Средства были переведены на счета в немецком банке, часть удалось заблокировать.

Pathé (2026, €19 млн). Как уже упоминалось, reply-chain-атака на французскую кинокомпанию — злоумышленники перехватили переписку с поставщиком оборудования и подменили счёт. Инцидент расследуется французской киберполицией.

Российские компании (2025–2026). По данным Positive Technologies, в 2025 году в России зафиксировано не менее 42 крупных whaling-инцидентов с ущербом от 5 до 150 млн рублей. Наиболее активные атакующие группировки — Silence (с 2016 года атакует банки и финтех) и Cobalt (известна атаками на финансовый сектор СНГ).

Методы защиты: как защитить компанию от whaling

Защита от whaling требует комбинации технических, организационных и поведенческих мер. Ни один инструмент не даёт стопроцентной гарантии — только многоуровневый подход снижает риск до приемлемого уровня.

ИИ-агент атакует цепочку поставок в городе 2027

Технические меры

DMARC, DKIM, SPF. Настройка email-аутентификации — базовая защита от подмены доменов. Без DMARC (Domain-based Message Authentication, Reporting and Conformance) злоумышленники могут отправлять письма с любого адреса в вашем домене. Режим p=reject блокирует подозрительные письма на уровне почтового сервера. По данным M3AAWG, переход на DMARC p=reject снижает количество успешных фишинговых атак на 92%.
Многофакторная аутентификация (MFA). Обязательное требование для всех учётных записей с финансовыми полномочиями. Приоритет — аппаратные ключи (YubiKey, FIDO2/WebAuthn) вместо SMS-кодов, которые уязвимы к SIM-swap-атакам.
SIEM и поведенческий анализ. Внедрение систем класса EDR/XDR (например, Positive Technologies MaxPatrol, Kaspersky Symantec EDR) и SIEM для выявления аномалий: необычное время входа, доступ к нехарактерным разделам почты, массовое скачивание писем.
Защита от deepfake. Внедрение кодовых фраз для голосового подтверждения финансовых операций. Система: любой запрос на перевод средств должен быть подтверждён личной встречей или звонком с кодовым словом, известным только участникам процесса.

Организационные меры

Правило «четырех глаз». Ни один перевод на сумму свыше установленного порога не должен выполняться единолично. Подпись руководителя + подтверждение финансового контролёра — минимально необходимый рубеж.
Протокол верификации платёжных реквизитов. Любое изменение реквизитов поставщика должно подтверждаться по независимому каналу связи (телефонный звонок по номеру из договора, а не из письма; личное обращение; верификация через корпоративный мессенджер с подтверждением кодом).
Anti-whaling-тренинги для руководства. Топ-менеджмент должен регулярно проходить обучение с практическими симуляциями атак. По данным KnowBe4, после первого симулированного whaling-письма «кликабельность» у руководителей составляет 52% — выше, чем у рядовых сотрудников. После трёх тренингов показатель снижается до 7%.
Регламент инцидентов. Чёткая инструкция: что делать, если вы заподозрили whaling-атаку. Немедленная блокировка платёжного поручения, изоляция почтового ящика, оповещение службы безопасности, обращение в CERT (например, CERT-GIB или ФинЦЕРТ Банка России).

Чек-лист для руководителя

Не доверяйте письмам с просьбой срочно оплатить. Любой срочный запрос на перевод денег — проверять по второму каналу связи.
Проверяйте адрес отправителя. Откройте поле «From» — lookalike-домены заметны при внимательном рассмотрении (замена букв, лишние дефисы, нестандартная зона).
Не кликайте по ссылкам в подозрительных письмах. Даже если письмо выглядит внутренним — перейдите вручную через браузер или корпоративный портал.
Установите кодовое слово для финансовых операций. Используйте его при любом голосовом или письменном запросе на перевод.
Включите многофакторную аутентификацию на всех аккаунтах. Особенно на почтовых ящиках с доступом к финансам и персональным данным.
Требуйте регулярные отчёты от службы ИБ. Аналитика whaling-атак и результаты симулированных фишинговых рассылок должны обсуждаться на правлении.

Будущее whaling: что ждёт нас в 2026–2027 годах

Whaling будет эволюционировать вместе с технологиями искусственного интеллекта. Уже сейчас злоумышленники активно используют мультимодальные модели (GPT-4o, Claude) для генерации безупречных фишинговых писем без грамматических ошибок. Следующий шаг — полностью автономные агенты для whaling, которые самостоятельно собирают OSINT-данные, генерируют персонализированные письма и ведут переписку с жертвой, подстраиваясь под её стиль общения.

Три столпа киберзащиты возвышаются над городом на рассвете

Deepfake-видео для видеозвонков — технология уже доступна, хотя требует вычислительных ресурсов. В 2026–2027 годах можно ожидать первых whaling-атак, где злоумышленники не только имитируют голос руководителя по телефону, но и показывают его лицо в Zoom или Teams. Инструменты вроде DeepFaceLab и Sync Labs делают синтез лиц всё более доступным.

Ещё один тренд — атаки на цепочки поставок. Вместо прямой атаки на крупную компанию злоумышленники будут whaling-атаковать её подрядчиков и поставщиков, чтобы через них добраться до конечной цели. Это сложнее технически, но даёт доступ через «слабое звено» в защите.

Выводы

Whaling — не случайность и не разовая кража. Это системный бизнес, в котором работают профессиональные группы с бюджетом, командами разведки и специалистами по социальной инженерии. Каждая компания, независимо от размера и отрасли, рано или поздно становится целью такой атаки. Вопрос не в том, нападут ли на вас, а в том, будете ли вы готовы.

Ключевой принцип защиты от whaling — сочетание трёх элементов: технических барьеров (DMARC, MFA, SIEM), жёстких организационных процедур (правило «четырех глаз», верификация по второму каналу) и постоянного обучения руководства. Только в этом комплексе защита работает. Если хотя бы один элемент отсутствует — whaling-атака имеет все шансы на успех.

📚 Читайте также

📖 Термины

APT · Социальная инженерия · Фишинг