ESKA

29/07/2026

Фішинг-симуляція показує не просто, хто клікнув. Вона показує, наскільки компанія готова до реальної атаки на людей.

Під час симуляції можна побачити, хто переходить за посиланням, вводить дані, як швидко співробітники реагують на повідомлення та хто розпізнає атаку й повідомляє про неї.

Результати фішинг-симуляцій показують, що для успішної атаки зловмиснику не потрібно обманути всю компанію — достатньо одного співробітника.

Близько 1,4% співробітників переходять за фішинговим посиланням, а у сценаріях із SMS та телефонними дзвінками цей показник сягає близько 2%.

При цьому рішення часто приймається за секунди: медіанний час до переходу за посиланням 21 секунда, а до введення даних після переходу ще 28 секунд.

Саме тому важливо перевіряти не лише кількість кліків, а й те, чи розпізнають співробітники атаку та чи повідомляють про неї службі безпеки.

Фішинг-симуляція має бути не одноразовою перевіркою після навчання з кібербезпеки, а регулярним процесом. Сценарії також потрібно змінювати: email-фішинг, SMS, QR-фішинг, голосові дзвінки та компрометація корпоративної пошти (BEC).

Результати варто порівнювати між кампаніями: чи менше співробітників взаємодіють із фішингом, чи більше повідомляють про підозрілі повідомлення, які сценарії спрацьовують найчастіше та які групи співробітників потребують додаткового навчання.

Детальніше про результати фішинг-симуляцій, групи ризику, ключові показники та те, як проводити такі перевірки й працювати з результатами, розглянули в нашій новій статті.

Дізнайтеся, що показують результати фішинг-симуляцій: скільки співробітників переходять за посиланнями, хто входить до групи ризику, як впливає навчання та що роб....

27/07/2026

ЦПБ визначає заходи захисту, а не конкретні продукти. І це важлива різниця.

Одне з поширених непорозумінь щодо БПБ і ЦПБ - очікування знайти в профілі конкретну систему шифрування, антивірус чи інший інструмент безпеки.

Але профілі побудовані як каталог заходів захисту за моделлю NIST SP 800-53 і є технологічно нейтральними. Вони визначають, що саме має бути забезпечено, а не називають продукт, за допомогою якого це потрібно реалізувати.

Наприклад, SC-28(1) встановлює вимоги до захисту інформації у стані спокою, а SI-3 - до захисту від шкідливого програмного забезпечення. Конкретного рішення чи виробника профіль не визначає.

Водночас це не означає, що для реалізації заходу можна обрати будь-який продукт, який функціонально відповідає вимозі.

Під час вибору засобу необхідно окремо враховувати нормативні вимоги до його застосування. Зокрема, для КЗІ — засобів криптографічного захисту інформації, наприклад засобів шифрування дисків, перевіряється відповідність вимогам у сфері КЗІ та наявність передбачених законодавством документів, зокрема чинного позитивного експертного висновку Держспецзв’язку — cip.gov.ua.
Для антивірусного захисту перевіряється перелік перевірених релізів Центру антивірусного захисту інформації — cazi.gov.ua/uk/verified-releases.

Тому тут важливо розділяти два рівні:

🔸ЦПБ визначає, що потрібно захистити і які заходи реалізувати.
🔸Нормативні вимоги визначають умови, яким має відповідати обраний спосіб реалізації.

І вже на перетині цих двох рівнів обирається конкретне технічне рішення.

24/07/2026

Більшість компаній робить одну з двох речей: навчає співробітників кіберобізнаності або проводить фішинг-симуляції. Але окремо вони дають лише частину картини.

Саме тому ми об’єднали ці два підходи в одну комплексну послугу Фішинг-симуляція та навчання з кіберобізнаності, щоб значно підвищити ефективність і результативність навчання..

Чому комплексний підхід працює краще?

🔸 Спочатку ми оцінюємо реальний рівень кіберобізнаності співробітників.
🔸 Проводимо навчання, адаптоване до актуальних ризиків і потреб компанії.
🔸 Перевіряємо отримані знання за допомогою реалістичних фішинг-симуляцій без попередження.
🔸 Аналізуємо результати та надаємо звіт із порівнянням показників до і після навчання, розбивкою за відділами та рекомендаціями для HR і служби інформаційної безпеки.

Такий підхід дозволяє не просто пройти курс, а реально змінити поведінку співробітників: навчити їх розпізнавати підозрілі повідомлення, правильно реагувати на загрози та не ставати точкою входу для атаки.

Регулярне навчання у поєднанні з практичними перевірками допомагає поступово знижувати ризик успішних фішингових атак і формувати стійку культуру кібербезпеки в компанії.

Послуга Фішинг-симуляція та навчання з кіберобізнаності доступна у вигляді готових пакетів для компаній різного розміру. Кожен пакет поєднує навчання з кіберобізнаності, симуляції фішингових атак, аналітичну звітність і практичні рекомендації щодо подальшого підвищення рівня захищеності.

Людський фактор залишається однією з головних причин успішних кібератак. Але за правильного підходу співробітники можуть стати однією з найсильніших ланок захисту.

Дізнайтеся більше про сервіс Фішинг-симуляція та навчання з кіберобізнаності: https://eska.global/service/phishing-and-awareness-service

17/07/2026

Більшість компаній інвестують у захист власної інфраструктури, але часто забувають про тих, хто має доступ до неї.

Підрядник, MSP, SaaS-платформа, розробник, бухгалтерський сервіс чи маркетингова агенція — кожен із них може стати точкою входу для атаки.

Саме так працюють Supply Chain Attacks.

⚠️ Один скомпрометований партнер може призвести до:
• витоку конфіденційних даних;
• компрометації корпоративних акаунтів;
• поширення шкідливого ПЗ;
• зупинки бізнес-процесів.

Захист починається не лише з ваших систем, а й з контролю ризиків третіх сторін.

Як зменшити ризик атаки через підрядників та сторонніх постачальників?
🔸Перевіряйте рівень кібербезпеки критичних підрядників.
🔸Надавайте лише мінімально необхідні доступи.
🔸Регулярно переглядайте права доступу та інтеграції.
🔸Вимагайте від партнерів дотримання базових вимог безпеки та наявності плану реагування на інциденти.

У новій статті розповідаємо, як працюють Supply Chain Attacks, чому вони стають дедалі поширенішими та як бізнесу мінімізувати цей ризик.

https://eska.global/blog/sho-take-supply-chain-ataka-i-chomu-vash-pidryadnik-mozhe-buti-vashoyu-vrazlivistyu

Атака на ланцюг постачання — це злам не самої цільової організації, а одного з її постачальників, підрядників або програмних компонентів. Зловмисник компрометує д...

15/07/2026

Маємо чудову новину! 🎉
Наш спеціаліст Red Team успішно здобув міжнародну сертифікацію GREM (GIAC Reverse Engineering Malware) - одну з найавторитетніших сертифікацій у світі з аналізу шкідливого програмного забезпечення та reverse engineering.

Ми дуже пишаємося цим досягненням 🫶 .

Сертифікація охоплює:
🔸 статичний і динамічний аналіз malware;
🔸 reverse engineering виконуваних файлів;
🔸 аналіз .NET-застосунків і шкідливих документів;
🔸 дослідження технік обфускації, пакування та anti-analysis;
🔸 роботу з Assembly і налагодження шкідливого коду.

Це не просто ще один сертифікат, GREM вважається однією з найскладніших технічних сертифікацій у галузі, яка перевіряє реальні практичні навички, необхідні для дослідження сучасних атак.

Для нас це ще один крок до розвитку експертизи команди, а для наших клієнтів - ще більше впевненості, що їхні проєкти виконують фахівці, які постійно підтверджують свої знання на міжнародному рівні.

Вітаємо нашого колегу з цим професійним досягненням! 👏

10/07/2026

Плануючи бюджет на кібербезпеку, компанії часто стикаються з двома крайнощами: або розпорошують кошти на окремі рішення, які не забезпечують комплексного захисту, або взагалі відкладають інвестиції, вважаючи, що ефективна кібербезпека потребує надто великих витрат.

Насправді проблема не в розмірі бюджету, а в тому, що його формують без розуміння пріоритетів. Щоб інвестувати ефективно, достатньо спочатку відповісти на кілька ключових запитань:

Які активи є критичними для бізнесу?
Які кіберризики можуть завдати найбільших збитків?
Які засоби захисту вже є, а яких бракує?
Які інвестиції дадуть найбільший ефект саме зараз?

Інвестуйте не лише в технології, а й у процеси та людей:
🔸 аудит і оцінка безпеки;
🔸 захист кінцевих точок;
🔸 резервне копіювання;
🔸 моніторинг (SOC/SIEM);
🔸 навчання співробітників;
🔸 реагування на інциденти.

✅ Передбачте резерв
Кіберзагрози постійно змінюються, тому бюджет має враховувати нові ризики та непередбачені витрати.

Головне правило: вартість правильно спланованої системи кібербезпеки майже завжди значно менша за вартість одного успішного інциденту.

У новій статті https://eska.global/blog/yak-klasti-byudzhet-na-kiberbezpeku ми детально розбираємо, як побудувати бюджет на кібербезпеку, які статті витрат врахувати та яких помилок уникати.

08/07/2026

Що отримує бізнес від vCISO за перші 90 днів роботи?

Не просто набір політик і документів, а зрозумілий план, як зменшити кіберризики та побудувати керовану систему безпеки.

За перші три місяці роботи vCISO допомагає бізнесу:

✅ зрозуміти реальний стан кібербезпеки, а не припущення;
✅ визначити найбільш критичні ризики та їхній вплив на бізнес;
✅ побудувати дорожню карту розвитку безпеки з пріоритетами;
✅ впровадити базові процеси управління інформаційною безпекою;
✅ підготувати компанію до вимог клієнтів, партнерів або сертифікацій (ISO 27001, SOC 2, GDPR тощо).

В новій статті https://eska.global/blog/sho-otrimuye-biznes-vid-vciso-za-pershi-90-dniv-roboti розібрали покроково, що відбувається протягом першого місяця, другого та третього, які результати отримує керівництво і чому саме цей період є найважливішим для подальшого розвитку програми кібербезпеки.

Що таке vCISO і за що він отримує гроші в перші три місяці? Конкретний план дій — від аудиту до перших результатів. Для власників бізнесу та CEO, які розглядають послугу ...

06/07/2026

Більшість компаній вважають, що їхня інфраструктура достатньо захищена. Але практика показує інше.

Під час кожного другого пентесту наші фахівці знаходять одні й ті самі критичні проблеми, які можуть стати точкою входу для зловмисників:

1. Слабкі або повторно використані паролі;
2. Помилки в налаштуванні прав доступу;
3. Застаріле програмне забезпечення з відомими вразливостями;
4. Відсутність багатофакторної автентифікації;
5. Неправильні конфігурації вебзастосунків та інфраструктури.

Ці вразливості не є складними, саме тому їх найчастіше використовують під час реальних атак.

У новій статті https://eska.global/blog/5-vrazlivostej-yaki-eska-znahodit-u-kozhnomu-drugomu-pentesti розповідаємо, чому ці проблеми залишаються настільки поширеними, які ризики вони створюють для бізнесу та як їх усунути до того, як ними скористаються зловмисники.

Які вразливості найчастіше виявляють пентестери в українських компаніях? Відкритий RDP, відсутність MFA, дефолтні паролі — найбільш часті знахідки під час пентесту. ...

18/06/2026

Кібергігієна та захист від соціальної інженерії більше не є рекомендацією — для багатьох організацій це вже нормативна вимога.

З 2026 року державні органи, об'єкти критичної інфраструктури та організації, що працюють з важливою інформацією, мають приділяти особливу увагу навчанню працівників основам кібербезпеки та протидії соціальній інженерії.

Чому це важливо?

Тому що більшість успішних кібератак починаються не зі складного злому систем, а з помилки людини. Фішинговий лист, підроблений дзвінок, повідомлення від «керівника», небезпечне посилання або вкладення, саме через такі сценарії зловмисники отримують доступ до корпоративних систем і даних. Соціальна інженерія використовує людські емоції: довіру, страх, бажання допомогти або терміновість.

Ефективний захист вимагає не лише технічних засобів, а й регулярного навчання персоналу. Дослідження та практика показують, що систематичні тренінги, перевірка знань і симуляції фішингових атак значно знижують ризик успішних атак через людський фактор.

Особливо це актуально для державних установ, об'єктів критичної інфраструктури, фінансового сектору та організацій, які працюють із чутливою інформацією.

Ефективна програма навчання має охоплювати:

✔️ розпізнавання фішингових листів, повідомлень та підроблених вебресурсів;
✔️ безпечну роботу з електронною поштою та корпоративними сервісами;
✔️ правила створення та використання паролів;
✔️ захист облікових записів за допомогою багатофакторної автентифікації;
✔️ безпечну роботу з конфіденційною інформацією;
✔️ дії працівника у разі підозри на кіберінцидент.

Важливо, щоб навчання не обмежувалося лише теорією. Найкращі результати демонструють організації, які регулярно проводять тестування знань та симуляції фішингових атак. Це дозволяє перевірити реальну готовність персоналу та виявити слабкі місця до того, як ними скористаються зловмисники.

Інвестиції в обізнаність персоналу — це один із найдоступніших і водночас найефективніших способів зменшити ризик кіберінцидентів. Навіть найкращі засоби захисту не допоможуть, якщо співробітник добровільно передасть доступ зловмиснику.

Детальніше читайте у статті:

Постанова КМУ №1281 та наказ Держспецзв’язку №661 зобов’язують держсектор проводити регулярні тренінги з кібергігієни. Дізнайтесь, як організувати навчання персо....

09/06/2026

«Чистий звіт сканування вразливостей» не означає, що ваша компанія захищена.

Сканер вразливостей призначений для виявлення відомих вразливостей, помилок конфігурації, відкритих сервісів та незастосованих оновлень на основі бази відомих сигнатур. Це корисний інструмент для постійного моніторингу, управління оновленнями та пошуку типових слабких місць в інфраструктурі.

Проте сканери не здатні виявити:
🔸помилки бізнес-логіки застосунків
🔸складні багатокрокові сценарії атак
🔸недоліки автентифікації та управління сесіями
🔸повторне використання паролів у різних системах
🔸людський фактор та ризики соціальної інженерії

Сканер знаходить лише те, що його навчили розпізнавати.

Саме тому звіт сканування без критичних вразливостей не є доказом безпеки. Він лише підтверджує, що на момент перевірки інструмент не виявив збігів із відомими сигнатурами вразливостей.

Щоб зрозуміти, чи може зловмисник реально скомпрометувати середовище, організаціям необхідно періодично проводити тестування на проникнення.
На відміну від автоматизованого сканера, фахівець мислить як зловмисник, поєднує окремі слабкі місця в єдиний сценарій атаки та знаходить ризики, які залишаються непомітними для автоматизованих інструментів.

Сканування вразливостей та пентест не замінюють одне одного, доповнюють.

Саме тому регулярне проведення пентестів залишається актуальним навіть тоді, коли звіт сканера виглядає «ідеально чистим».

В нашій новій статті https://eska.global/blog/chomu-zvit-pro-skanuvannya-vrazlivostej-bez-kritichnih-znahidok-ne-oznachaye-sho-vasha-kompaniya-zahishena розглядаємо, чому звіт про сканування вразливостей без критичних знахідок ще не означає, що ваша компанія дійсно захищена, та які ризики можуть залишатися непоміченими.

Завдання закрили, керівництво заспокоїлося, а спеціалісти переключилися на інші проєкти.