Найбільший кіберінцидент у вашій компанії може статися не через хакерську атаку, а через банальну…звичку 

Коли ми говоримо про кібератаки та витоки даних, то найчастіше уявляємо хакера, який обходить захист, використовує вразливість у програмному забезпеченні або запускає програму-вимагач у корпоративній мережі. 

Такі атаки справді трапляються. Однак існує інша, менш очевидна і водночас значно складніша для викорінення проблема — повсякденні звички співробітників. 

Хтось надсилає файл із даними клієнта на неправильну електронну адресу. Хтось повторно використовує той самий пароль у різних системах, тому що так простіше його запам’ятати. Інший співробітник зберігає конфіденційні документи в особистому хмарному сховищі. Хтось переходить за посиланням, не перевіривши, куди воно веде. А обліковий запис адміністратора залишається без багатофакторної автентифікації, тому що «ним майже ніхто не користується». Жодна з цих дій сама по собі не схожа на кібератаку. Проте саме такі, на перший погляд, невинні дії можуть створити вразливість, якою скористається зловмисник. 

Проблема не завжди полягає у відсутності знань. Часто вона полягає в тому, що знати правило і дотримуватися його — не одне й те саме. Тому ефективна кібербезпека має враховувати не лише правила, яким має слідувати команда, а й те, як чи справді вони слідують ним. 

Реальний стан справ із витоком внутрішніх даних 

 Небезпечні робочі звички — це не просто дрібні порушення внутрішніх правил; вони є однією з головних причин витоку корпоративних даних. Коли співробітники нехтують протоколами безпеки заради швидшого виконання завдань, вони наражають на ризик конфіденційну інформацію про клієнтів, фінансові звіти та внутрішнє листування, роблячи їх доступними для сторонніх осіб. 

 Галузеві дослідження та порівняльні звіти демонструють справжні масштаби внутрішніх ризиків: 

•  Недбалість — причина більшості інцидентів: Згідно зі звітом Ponemon Institute щодо вартості внутрішніх ризиків (Cost of Insider Risks Report), 55% інцидентів, пов’язаних із внутрішньою безпекою, стаються через недбалість співробітників, а не через зловмисний намір. 

•  Зростання фінансових втрат: Глобальний звіт Ponemon Institute та DTEX за 2026 рік свідчить, що середньорічні витрати, пов’язані з інцидентами витоку внутрішніх даних, сягнули 19,5 млн доларів на організацію, що на 123% більше порівняно з 2018 роком. 

•  Тривалий час локалізації: Дані досліджень у сфері кібербезпеки вказують на те, що виявлення та локалізація інциденту внутрішньої безпеки займають у середньому від 67 до 81 дня. Вирішення інцидентів, що тривають понад 91 день, коштує організаціям у середньому 18,7 млн доларів. 

 Хоча хакерські атаки часто потрапляють у заголовки новин, повсякденні звички персоналу непомітно виснажують корпоративні ресурси та наражають на небезпеку цінні активи. 

Проблема не завжди полягає в недостатній обізнаності 

Більшість компаній навчають співробітників не переходити за підозрілими посиланнями, використовувати надійні паролі та бути обачними під час передачі конфіденційної інформації. 

 Проблема в тому, що знати правило й щоразу його дотримуватися — це різні речі. 

 Це підтверджує дослідження компанії Verizon, щодо крадіжок облікових даних. Згідно з аналізом за 2025 рік, скомпрометовані облікові дані стали вектором початкового проникнення у 22% проаналізованих випадків порушення безпеки. Крім того, Verizon виявила, що серед користувачів, чиї системи були інфіковані шкідливим програмним забезпеченням для викрадення даних (інфостілерами), лише 49% паролів були унікальними. 

 Висновок: заходи безпеки повинні враховувати реальні дії людей. 

Чотири поширені робочі звички, які наражають дані на ризик 

Щоб зменшити внутрішні ризики для безпеки, варто насамперед визначити, у яких ситуаціях зручність регулярно перемагає встановлені правила. 

1. Пересилання робочих документів на особисту пошту 

Співробітники нерідко пересилають конфіденційні таблиці, договори з клієнтами чи важливі документи на особисту електронну пошту, щоб попрацювати вдома або у вихідні. 

Особисті поштові сервіси можуть не мати необхідного для бізнесу рівня захисту, централізованого керування доступом і корпоративного логування дій. Щойно файл потрапляє в особисту поштову скриньку, компанія значною мірою втрачає контроль над тим, де він зберігається, хто має до нього доступ і що з ним відбувається далі. 

2. Обмін файлами через неперевірені хмарні сервіси 

Коли корпоративна система обміну файлами здається незручною або розмір вкладення перевищує ліміти, співробітники можуть завантажувати документи до особистих акаунтів у хмарних сервісах. 

На перший погляд, це просте рішення проблеми. Але в результаті конфіденційні дані опиняються за межами корпоративного середовища, де компанія не може повною мірою контролювати доступ до них, відстежувати дії користувачів або застосовувати власні правила безпеки. 

3. Повторне використання паролів у різних акаунтах 

Коли співробітники використовують однакові або дуже схожі паролі для робочих систем і особистих сайтів, один скомпрометований обліковий запис може поставити під загрозу інші. 

Наприклад, якщо дані для входу до стороннього сервісу потраплять до рук зловмисників після витоку, вони можуть спробувати використати ті самі облікові дані для доступу до корпоративних систем. Такий тип атаки називається credential stuffing — автоматизована перевірка викрадених паролів на інших сервісах. 

4. Ігнорування багатофакторної автентифікації 

Багатофакторна автентифікація може здаватися незручною, особливо коли співробітнику доводиться підтверджувати вхід кілька разів на день. 

Але коли працівники використовують спільні адміністративні облікові записи або механічно підтверджують запити на вхід, не перевіряючи, звідки вони надійшли, один із ключових рівнів захисту втрачає сенс. 

MFA  найкраще працює тоді, коли кожен користувач має власний обліковий запис, а кожен запит на автентифікацію перевіряється перед підтвердженням. 

Система безпеки має враховувати людські помилки 

Ефективна кібербезпека не повинна будуватися на припущенні, що співробітники ніколи не помиляються. Навпаки, варто виходити з того, що помилки траплятимуться, і заздалегідь продумати, що станеться, якщо хтось припуститься помилки. 

Це змінює сам підхід до безпеки. Замість того щоб запитувати: «Як навчити людей не помилятися?», варто запитати: «Що захистить компанію, якщо помилка все ж таки станеться?» 

Наприклад, багатофакторна авторизація може зменшити ризик у разі викрадення облікових даних. Контроль доступу обмежує те, до чого можна отримати доступ через скомпрометований обліковий запис. Інструменти запобігання витоку даних допомагають виявляти або блокувати спроби передавання певних типів конфіденційної інформації за межі організації. Шифрування захищає дані в разі втрати пристрою або файлу, а журнали допомагають виявляти незвичну активність. 

Показовим є випадок із британською юридичною фірмою DPP Law, яка у 2025 році стала об’єктом кібератаки. За даними британського Information Commissioner’s Office (ICO), зловмисники отримали доступ через рідко використовуваний обліковий запис адміністратора, для якого не була ввімкнена багатофакторна автентифікація. Після цього вони отримали доступ до застарілої системи керування справами та викрали понад 32 ГБ даних. ICO оштрафував фірму на £60 000. 

Йшлося про атаку з боку зовнішніх зловмисників, однак у висновках регулятора також були зазначені недоліки в заходах безпеки фірми, зокрема відсутність MFA для облікового запису адміністратора. 

Цей випадок добре ілюструє важливий принцип: зловмиснику не обов’язково подолати всі рівні захисту компанії. Іноді достатньо одного слабкого місця, щоб отримати шлях до системи та даних. 

Саме тому кібербезпека має бути побудована так, щоб одна людська помилка або забутий обліковий запис не перетворилися на масштабний інцидент. 

Нові технології формують нові звички 

Той самий принцип стосується і штучного інтелекту. Співробітники дедалі частіше використовують генеративні ШI-інструменти, щоб узагальнювати документи, аналізувати інформацію, писати електронні листи та автоматизувати і пришвидшити рутинні завдання. 

Коли компанія не має чітких правил щодо використання таких інструментів або співробітники не знають, які сервіси дозволено використовувати, вони можуть звертатися до особистих ШI-акаунтів чи інших несанкціонованих платформ. Так виникає ще один формат тіньового IT — використання працівниками програм, сервісів або технологій без відома та контролю ІТ-відділу. 

У Data Breach Investigations Report 2026 від Verizon зазначено суттєве зростання використання співробітниками несанкціонованих ШI-інструментів. За даними звіту, частка організацій, у яких було зафіксовано так зване «тіньове ШI», зросла втричі — до 45% серед досліджених організацій. Звіт також відзначає зростання кількості атак із використанням соціальної інженерії на мобільних пристроях, що свідчить про те, що зловмисники продовжують адаптувати свої методи в міру того, як користувачі краще розпізнають традиційний фішинг. 

Тому компаніям потрібні чіткі правила використання ШI: яку інформацію дозволено вводити, які сервіси схвалені для роботи, хто має до них доступ і що повинен робити співробітник, якщо він не впевнений, чи можна використовувати певний інструмент або передавати йому конкретні дані. 

Технології змінюються швидко. Тому правила безпеки мають змінюватися разом із ними, а не залишатися прив’язаними до того, як компанія працювала кілька років тому. 

Зробіть безпечний вибір найпростішим 

Якщо ваша стратегія кібербезпеки передбачає, що співробітники щоразу мають зупинятися й самостійно приймати правильне рішення з погляду безпеки, рано чи пізно така модель дасть збій. 

Набагато ефективніше побудувати робоче середовище таким чином, щоб безпечна поведінка була природним і найпростішим вибором. 

• Увімкніть обов’язкову багатофакторну автентифікацію, а не покладайтеся на те, що співробітники самостійно подбають про її налаштування. 

• Використовуйте менеджери паролів замість того, щоб очікувати від людей запам’ятовування десятків унікальних паролів. 

• Обмежуйте доступ до конфіденційної інформації відповідно до робочих обов’язків кожного співробітника. 

• Використовуйте захищені системи обміну файлами, а не покладайтеся на електронну пошту як на стандартний спосіб передавання документів. 

• Запровадьте процедури погодження або додаткової перевірки для конфіденційних запитів, пов’язаних із фінансовими операціями та даними клієнтів. 

• Відстежуйте незвичну активність під час входу в системи та передавання даних. 

• Створіть простий і зрозумілий спосіб інформувати про підозрілі повідомлення або випадкове розголошення інформації, не побоюючись, притягнення до відповідальності за помилку. 

Регулярно переглядайте встановлені правила кібербезпеки. Процес, який добре зарекомендував себе два роки тому, сьогодні може бути вже застарілим, адже за цей час могли змінитися співробітники, застосунки, постачальники та способи роботи з даними. 

Ваші співробітники — ваша перша лінія захисту 

Називати співробітників «найслабшою ланкою» може здаватися влучним порівняннім, але такий підхід здатен сформувати неправильну культуру всередині компанії. Люди, які бояться визнавати свої помилки, менш охоче повідомлятимуть про них одразу. А під час інциденту швидкість реакції може суттєво вплинути на його наслідки. 

Федеральна торгова комісія США (FTC) рекомендує компаніям після виявлення витоку даних діяти одразу: захистити уражені системи, з’ясувати, що сталося, визначити, яка саме інформація була скомпрометована, та належним чином повідомити про інцидент. Виконати ці кроки значно простіше, коли співробітники не бояться одразу повідомити про підозрілий лист, випадкове розголошення інформації або втрату пристрою. 

Тому сильна культура безпеки — це не культура, у якій люди бояться помилитися. Це культура, у якій кожен співробітник знає, що робити, якщо щось пішло не так. 

Зробіть кібербезпеку сильнішою за звички 

Кібербезпека має захищати ваш бізнес, коли працівники роблять усе правильно, але вона також повинна мінімізувати шкоду, коли хтось припускається звичайної людської помилки. 

Якщо ви не впевнені, у яких саме щоденних звичках криються непотрібні ризики, зверніться до Klik Solutions. Ми проведемо аудит вашого ІТ-середовища та запропонуємо практичні кроки для усунення ризиків. 

Часті запитання (FAQ)