Насколько защищена ваша почта: чек-лист и разбор ключевых угроз 2026 года

Электронная почта остаётся главным каналом, через который злоумышленники проникают в корпоративные сети. Фишинг, поддельные счета «от контрагента», вредоносные вложения и BEC-атаки (Business Email Compromise) ежегодно обходятся бизнесу в миллионы рублей — и чаще всего успех атаки объясняется не изощрённостью хакеров, а элементарными пробелами в настройках почты и невнимательностью сотрудников.

Собрали практический чек-лист из девяти пунктов, который поможет быстро оценить уровень защищённости корпоративной почты, и разобрали каждый пункт подробно — от базовой гигиены паролей до продвинутых инструментов проверки вложений.

Быстрый тест: 9 вопросов о вашей почте

Отметьте, что из перечисленного уже реализовано в вашей компании:

1. Настроены DNS-записи SPF, DKIM, DMARC и PTR
2. Сотрудники меняют пароли от почты каждые 30–90 дней
3. Включена двухфакторная аутентификация для корпоративных ящиков
4. Проводится регулярное обучение и учебные фишинговые рассылки
5. Есть отдельный защищённый канал для передачи конфиденциальной информации
6. Настроены белые и чёрные списки адресов
7. Клиенты знают, с каких адресов и номеров вы действительно связываетесь
8. Используется шифрование почты
9. Вложения и ссылки в письмах автоматически проверяются на угрозы

Как считать результат:

• 0–3 балла — «Бумажный замок». Почта практически не защищена, риск компрометации крайне высок.
• 4–6 баллов — «Стена щитов». Базовые меры есть, но их недостаточно для противодействия сложным атакам.
• 7–9 баллов — «Крепость». Уровень защиты хороший, но и здесь есть куда расти — современные угрозы обходят даже сильные периметры.

Если результат вас не порадовал — ничего страшного, ниже разбираем, с чего начать и как усилить каждый пункт.

Пароли и двухфакторная аутентификация — база, о которой все забывают

Самая частая причина взлома почтового ящика — простой или повторно используемый пароль. Рекомендация проста: у каждой учётной записи должен быть уникальный сложный пароль длиной от 12 символов, с буквами разного регистра, цифрами и спецсимволами, а менять его стоит раз в 30–90 дней. Одна скомпрометированная учётная запись способна открыть злоумышленникам доступ ко всей внутренней переписке и, как следствие, к чувствительным данным компании.

Двухфакторная аутентификация закрывает главный недостаток пароля — то, что его можно украсть или подобрать. Даже если логин и пароль оказались у злоумышленника, вход всё равно потребует подтверждения через приложение или код — и это чаще всего останавливает атаку на этапе входа.

Обучение сотрудников и «учебный фишинг»

Технические средства защиты бессильны, если сотрудник сам откроет вредоносное вложение. Поэтому базовые правила цифровой гигиены стоит регулярно напоминать всей команде:

• не открывать вложения и не переходить по ссылкам от незнакомых отправителей;
• разделять рабочую и личную почту;
• не подключаться к рабочей почте через публичный Wi-Fi;
• не отвечать на подозрительные письма.

Но одной теории мало. Учебные фишинговые рассылки показывают реальную картину: кто из сотрудников кликает на подозрительные ссылки и какой отдел нуждается в дополнительном инструктаже. Это дешёвый и наглядный способ проверить, устоит ли компания перед социальной инженерией — методом, который сводит на нет даже самую сильную техническую защиту.

SPF, DKIM, DMARC, PTR: как DNS-записи защищают домен от подделки

Настройка DNS-записей — это способ подтвердить почтовому серверу получателя, что письмо действительно отправлено с вашего домена, а не подделано злоумышленником.

• SPF перечисляет IP-адреса и сервисы, которым разрешено отправлять письма от имени вашего домена. Запись обязательно завершается тегом all: -all требует отклонять письма с неразрешённых адресов (самый безопасный вариант), ~all помечает их как подозрительные, а ?all оставляет решение получателю.
• DKIM — цифровая подпись письма, которая подтверждает, что содержимое не изменялось при пересылке.
• DMARC объединяет проверки SPF и DKIM и задаёт политику: что делать с письмом, если оно не прошло проверку — пропустить, отправить в спам или отклонить.
• PTR-запись дополнительно связывает IP-адрес почтового сервера с доменным именем, снижая вероятность попадания легитимных писем в спам.

Без этих записей злоумышленникам гораздо проще отправлять письма якобы от имени вашей компании — например, поддельные счета на оплату контрагентам или фишинговые письма сотрудникам.

Шифрование: TLS — это база, но не панацея

Протокол TLS шифрует канал между почтовыми серверами и защищает переписку от перехвата. Его поддерживает большинство почтовых сервисов, но есть нюанс: если сервер получателя принимает и незашифрованные письма, злоумышленник может воспользоваться этим и понизить уровень защиты соединения. Дополнительные технологии, такие как MTA-STS и DANE, закрывают эту уязвимость, но пока поддерживаются далеко не всеми почтовыми серверами.

Для передачи действительно чувствительной информации стоит использовать отдельный защищённый канал или специализированные решения шифрования писем — так данные останутся в безопасности, даже если сам почтовый ящик будет скомпрометирован.

Белые и чёрные списки — простой, но не идеальный инструмент

Список доверенных адресов гарантирует, что письма от проверенных отправителей не попадут в спам, а чёрные списки (например, на основе баз вроде SpamHaus) блокируют известных нарушителей. Метод простой в настройке, но у него есть ограничения: в чёрный список иногда попадают легитимные адреса, а новые домены злоумышленников появляются быстрее, чем обновляются базы. Поэтому списки стоит рассматривать как дополнительный, а не единственный рубеж защиты.

Предупредите клиентов о поддельных письмах от вашего имени

Злоумышленники нередко атакуют не саму компанию, а её клиентов — рассылая письма и совершая звонки якобы от лица бренда с «специальными предложениями» или просьбами перейти по ссылке. Простое информационное письмо с указанием официального адреса отправителя и контактного номера для проверки подозрительных обращений снижает эффективность таких атак и защищает репутацию компании.

Почему стандартные фильтры не ловят всё

Современные атаки обходят классические антивирусные проверки. Например:

• письмо содержит архив с паролем, указанным в тексте письма — стандартный сканер не может открыть такой файл для проверки;
• вредоносная ссылка спрятана за промежуточной страницей с кнопкой «Скачать», из-за чего система не распознаёт её как прямую ссылку на файл.

Публичные песочницы позволяют проверить отдельный файл, но несут риск утечки данных, а разработка собственного механизма проверки — долгий и дорогой процесс, требующий постоянного обновления под новые схемы атак.

Итог: защита почты — это система, а не один инструмент

Ни один пункт из чек-листа сам по себе не даёт полной защиты — DNS-записи не спасут от невнимательного клика сотрудника, а обучение не поможет, если домен уязвим для подделки. Реальная устойчивость к атакам достигается только комплексом мер: технической настройкой домена, шифрованием, контролем доступа, регулярным обучением команды и автоматизированной проверкой вложений и ссылок.

Специализированные решения класса Business Email Protection берут на себя большинство этих задач одновременно — анализируют письма поведенческими и сигнатурными методами, проверяют вложения в песочнице, отслеживают переходы по ссылкам и защищают от спама, фишинга, вредоносного ПО и BEC-атак без необходимости вручную настраивать десяток отдельных инструментов.

Хотите проверить, насколько ваша почта готова к сложным угрозам? Пройдите чек-лист выше и оцените результат — а если он оказался ниже «Крепости», разберите каждый пункт рекомендаций и начните с самых простых шагов: смены паролей, двухфакторной аутентификации и настройки SPF/DKIM/DMARC 

Подскажем бесплатные сервисы для проверки надежности защиты почты, также можем провести пилот рещений для защиты почты, обращайтесь.