«Кибердетектив» Авито: как тренируют реакцию на атаки

Раньше обучение информационной безопасности часто сводилось к курсу и тесту: прочитал правило, выбрал правильный ответ, забыл. В Авито решили, что так человек запоминает формулировку, но не поведение. Поэтому безопасность там превратили в игру, где сотрудник не просто читает про атаки, а расследует их сам.

История инцидента

«Кибердетектив» — браузерная игра, которую придумал и собрал специалист по Security Awareness Илья Никифоров. Вымышленная компания Lumi, маскот-медоед Спок, цепочка дел и реальные техники атак — всё это сделано для одной цели: натренировать привычку замечать опасный сигнал раньше, чем он станет проблемой.

У игры есть пролог, расследование и разбор. В одном деле подделывают голос руководителя, в другом счёт приходит с домена, отличающегося на одну букву, в третьем на корпоративную почту летит шквал запросов MFA. Сцены нарочито бытовые, потому что именно на таких мелочах часто и строится атака.

Автор проекта собрал первую версию за 74 дня: после работы, на выходных, с помощью ИИ-агентов, которые помогали с кодом, тестами и ревью. На выходе получился не просто набор задач, а полноценный сценарий с прогрессией, оценкой и несколькими режимами игры.

Что пошло не так в защите

Главная слабость старых форматов обучения — они проверяют знание, но почти не проверяют действие. Человек может помнить правило про фишинг, но в реальной спешке всё равно открыть письмо, поверить звонку «от руководителя» или назвать код из SMS. Между знанием и реакцией — большая дистанция, и именно её пытаются сократить такие тренажёры.

В Авито сознательно ушли от логики «один правильный ответ». В игре оценивают не только финальный выбор, но и сам процесс: проверил ли человек отправителя, перезвонил ли по известному номеру, остановился ли перед тем, как открыть ссылку, сообщил ли в ИБ. Это важный сдвиг: безопасность здесь не про угадывание, а про последовательность действий.

Такой подход хорошо перекликается с реальными атаками, где злоумышленники редко делают ставку на один трюк. Обычно это цепочка из мелких шагов: письмо, звонок, давление по времени, поддельный счёт, запрос кода. Именно поэтому полезно смотреть не только на итог атаки, но и на её этапы — об этом же пишет и наш разбор атак на корпоративные системы.

Ещё одна типичная ошибка в защите — учить людей слишком жёсткой реакции. Если сотруднику внушить, что надо отклонять всё подряд, он начнёт блокировать и нормальные рабочие запросы. В игре это учли: там есть законные действия, которые нужно выполнить, а значит, человек учится не паниковать, а разбираться.

Уроки для читателя

Первый урок простой: безопасность лучше запоминается через сценарий, чем через сухой список правил. Когда человек сам видит, как из мелочи вырастает инцидент, у него появляется не абстрактное «надо быть осторожнее», а конкретный внутренний алгоритм.

Второй урок — проверка важнее интуиции. Знакомый голос ещё не значит, что звонит руководитель. Письмо от «банка» или «подрядчика» нужно сверять не по тону сообщения, а по независимому каналу связи.

Третий урок касается 2FA и рабочих доступов. Шквал запросов на подтверждение входа — это не повод нажать «Да», чтобы шум быстрее закончился. Если вы не начинали вход, ответ должен быть один: остановиться, перепроверить и сообщить в поддержку или ИБ.

Четвёртый урок — минимальные привилегии и внимательность к данным. Если сервису не нужен полный доступ к почте, не стоит его раздавать. Если инструмент просит передать клиентские данные, надо сначала понять, зачем они ему нужны и можно ли обойтись без них.

Похожая логика работает и в бытовых сценариях: если у вас вдруг «не работает мобильный интернет сегодня», не спешите искать волшебную кнопку. Сначала проверьте базовые причины — устройство, сеть, режимы связи, настройки аккаунта, а уже потом делайте выводы.

Практические выводы и чек-лист

Вот что можно взять из этой истории уже сейчас — не только сотрудникам компаний, но и обычным пользователям.

• Не доверяйте одному признаку. Голос, адрес отправителя и оформление письма могут подделать.
• Перепроверяйте срочные просьбы по независимому каналу: позвоните по номеру из справочника, а не из сообщения.
• Не подтверждайте вход, который вы сами не начинали.
• Если видите подозрительную ссылку или вложение, не открывайте его из любопытства.
• Не передавайте коды, пароли и одноразовые подтверждения даже «своим» по виду.
• Давайте сервисам только тот доступ, который им действительно нужен для работы.
• Если вы пользуетесь публичным Wi‑Fi в поездке или кафе, продумайте отдельный слой защиты трафика — например, через приватный канал для открытых сетей как опциональную меру.
• Сохраняйте улики, если уже столкнулись с инцидентом: скриншоты, письма, время звонков, адреса отправителей.
• Сообщайте о подозрительном эпизоде в ИБ или в службу поддержки сразу, а не «когда будет время».

И главное — тренировать надо не память, а реакцию. Именно это и делает «Кибердетектив»: превращает правила в привычку, а привычку — в безопасное поведение.