Хакери вже приходять в офіс

Соціальна інженерія давно не обмежується лише фішинговими листами. Зловмисники телефонують співробітникам від імені IT-служби, створюють підроблені сторінки входу, переконують користувачів підтвердити доступ — а тепер у деяких випадках буквально приходять до офісу.

Саме так діяла CHATTY SPIDER — фінансово мотивована група, активність якої, за даними CrowdStrike, зросла на 129%. Якщо раніше в її арсеналі переважали фішинг із подальшим телефонним контактом, голосова соціальна інженерія та засоби віддаленого доступу, то тепер до нього додалося і фізичне проникнення.

Фальшивий IT-фахівець прямо в офісі

У листопаді 2025 року CHATTY SPIDER залучила громадянина росії для проникнення до офісу американської юридичної компанії.

Чоловік представився внутрішнім IT-спеціалістом — і цього виявилося достатньо, щоб його допустили до робочої станції. Через неї він допоміг угрупованню розгорнути RMM — Remote Monitoring and Management, тобто легітимне ПЗ для віддаленого адміністрування, яким у звичайній роботі користуються IT-служби.

Після встановлення віддаленого доступу зловмисники спробували вивести дані через хмарні сервіси зберігання.

Як саме йому вдалося пройти внутрішню перевірку невідомо. У звіті немає інформації про те, чи працювала в офісі фізична охорона, чи перевіряли документи та перепустки, чи були використані підроблені посвідчення, а також яку саме легенду він використав, щоб переконати співробітників.

Але результат від цього не стає менш показовим: стороння людина представилася співробітником IT і отримала фізичний доступ до корпоративного комп’ютера.

Під час другої спроби фізично потрапити до компанії цього чоловіка затримали. За даними, які наводить CrowdStrike, протягом 2026 року CHATTY SPIDER використовувала людей, які перебували у США, і в інших спробах фізичного проникнення.

Від дзвінка «з IT» до людини «з IT»

Цікаво, що цей сценарій не виник з нуля. Він виглядає як наступний етап уже добре відпрацьованої соціальної інженерії.

Інші угруповання, які CrowdStrike спостерігала в той самий період — SNARKY SPIDER та CORDIAL SPIDER — діяли дистанційно:

• дзвонили від нібито IT-підтримки
• переконували співробітника виконати певні дії (наприклад, ввести свої облікові дані або підтвердити MFA-запит)
• отримували доступ до облікового запису

CHATTY SPIDER перенесла ту саму логіку у фізичний простір:

• людина під виглядом IT-фахівця потрапила до офісу
• отримала фізичний доступ до робочої станції
• встановила ПЗ для віддаленого доступу

У першому випадку користувач довіряє голосу «з IT». У другому — людині, яка стоїть поруч із його комп’ютером. В обох випадках ключовою вразливістю стала довіра до звичного корпоративного процесу підтримки.

Показово й те, що SNARKY SPIDER та CORDIAL SPIDER атакували одну й ту саму компанію з різницею лише в один місяць. Це показує, наскільки активно різні злочинні групи зараз використовують викрадені облікові записи та довіру до звичних процесів IT-підтримки.

Чотири хвилини на реакцію

Ще одна тенденція, на яку звертає увагу CrowdStrike, — швидкість атак.

В іншому інциденті за участі CHATTY SPIDER зловмисники почали спробу виведення конфіденційних даних лише через чотири хвилини після отримання початкового доступу.

І це вже частина ширшої тенденції.

За даними CrowdStrike Global Threat Report 2026, середній eCrime breakout time — час від початкового доступу до переходу атакуючого на інші системи — скоротився до 29 хвилин, а найшвидший зафіксований випадок становив лише 27 секунд.

Тобто сценарій, у якому команда безпеки отримує алерт, аналізує його, починає розслідування і лише потім бачить розвиток атаки, дедалі частіше просто не вкладається в реальний темп дій зловмисників.

Коли легітимна дія стає частиною атаки

Сам RMM не є шкідливим ПЗ. IT-фахівець, який працює з робочою станцією, теж не виглядає як кіберінцидент. Передача файлів у хмарне сховище може бути абсолютно нормальною корпоративною активністю.

Саме тому окремі елементи такого сценарію можуть не виглядати підозрілими доти, доки не складаються в один ланцюг.

І це не поодинокий виняток. За даними CrowdStrike, 82% виявлених атак у 2025 році відбувалися без використання шкідливого ПЗ. Зловмисники дедалі частіше використовують легітимні облікові дані, штатні інструменти та дозволені функції систем замість того, щоб запускати очевидно шкідливі файли.

У випадку CHATTY SPIDER ця тенденція дійшла до логічного максимуму: замість того щоб лише переконувати користувача телефоном, зловмисники найняли людину, яка фізично прийшла до офісу і стала частиною атаки.

І саме це робить цей кейс показовим: межа між соціальною інженерією, компрометацією облікових записів і фізичним проникненням поступово стирається. Змінюється не мета атаки — змінюється те, наскільки далеко зловмисники готові зайти, щоб отримати перший довірений доступ.