1. Как работает фишинг
Фишинг - это обман, при котором злоумышленник выдаёт себя за знакомого человека, компанию или службу поддержки. Цель - получить пароль, код входа, деньги, доступ к данным или убедить вас установить программу.
Он встречается в почте, SMS, мессенджерах, звонках, рекламе и QR-кодах. Сообщение может прийти из взломанного аккаунта знакомого. Правильный логотип, грамотный текст и знакомое имя не доказывают, что запрос настоящий.
- Доставка или банк: "Доплатите за посылку" или "Подтвердите операцию" с переходом на поддельную страницу.
- Работа: неожиданный документ с просьбой войти заново или срочно оплатить счёт.
- Знакомый: просьба перевести деньги, проголосовать или передать код.
- Поддержка: предложение установить программу удалённого доступа для "проверки безопасности".
2. Что должно насторожить
- Давление: "Аккаунт удалят через час", угроза штрафа, требование действовать без обсуждения.
- Неожиданный запрос: вы не оформляли доставку, не ждали файл и не начинали вход.
- Секреты: просят сообщить пароль, код 2FA, код восстановления или подтвердить вход, который вы не запускали.
- Смена привычного процесса: новые реквизиты, перевод на личную карту, отключение защиты или установка неизвестного приложения.
- Несоответствие адресов: имя отправителя знакомое, но адрес почты или сайт не совпадает с ожидаемым.
Ошибки в тексте бывают у мошенников, но их отсутствие ничего не гарантирует. Оцените сам запрос: должен ли этот человек или сервис просить такое действие?
Подробные примеры: памятка Microsoft о фишинге.
3. Как проверить адрес сайта
Посмотрите полный адрес в адресной строке браузера. Текст кнопки и адрес ссылки могут различаться. На компьютере предварительный адрес часто виден при наведении; на телефоне используйте просмотр ссылки без перехода, если приложение его поддерживает.
В обычном HTTPS-адресе имя сайта находится после https:// и до первого /, ? или #. Если в этой части есть @, имя сайта начинается после него; порт после : не является частью домена. Сравнивайте полное имя с известным адресом сервиса, а не только знакомое слово.
Учебные адреса, не ссылки для перехода:
https://account.example/profile- имя сайтаaccount.example.https://account.example.login-check.invalid/- имя сайтаaccount.example.login-check.invalid, это другой адрес.https://login-check.invalid/account.example- имя сайтаlogin-check.invalid; знакомое слово находится в пути.https://account.example@login-check.invalid/- имя сайта тожеlogin-check.invalid.
Похожие буквы, лишний дефис, другая доменная зона и сокращённый адрес затрудняют проверку. Если адрес непонятен, откройте сервис самостоятельно. Не нужно переходить по подозрительной ссылке ради исследования.
HTTPS защищает соединение, но не подтверждает честность сайта. У поддельной страницы тоже может быть сертификат. Предупреждения браузера о небезопасном сайте не обходите.
MDN: части адреса и Google: что означает защищённое соединение.
4. Проверьте запрос другим способом
- Не используйте контакты из подозрительного сообщения. Откройте знакомое приложение, закладку или вручную введите известный адрес. Реклама в поиске тоже не служит подтверждением подлинности.
- Проверьте, есть ли проблема в самом сервисе. Посмотрите заказы, уведомления и историю операций. Если ничего не совпадает, обратитесь в поддержку через приложение.
- Подтвердите просьбу отдельно. Позвоните знакомому по сохранённому номеру. Новые банковские реквизиты для рабочего платежа проверьте по принятой процедуре, через независимый канал.
- Не открывайте неожиданный файл. Уточните у отправителя, что он прислал. Не включайте макросы, не запускайте команды и не отключайте защиту по инструкции из сообщения.
QR-код - ещё один способ передать ссылку. Посмотрите адрес до открытия. Наклейка на привычном месте или просьба "сканировать для получения выплаты" сами по себе не подтверждают подлинность.
5. Настройте защиту заранее
Используйте отдельный случайный пароль для каждого сервиса и менеджер паролей. Если менеджер неожиданно не предлагает сохранённый пароль, проверьте адрес: это повод остановиться, хотя причина может быть и в настройках автозаполнения.
Включите дополнительную аутентификацию, прежде всего для почты. SMS и коды из приложения можно выманить и использовать для входа. Не передавайте их человеку, который представился поддержкой, и не подтверждайте неожиданные запросы.
Если сервис поддерживает ключи доступа (passkeys) или аппаратный ключ FIDO2/WebAuthn, рассмотрите их: проверка привязана к настоящему сайту. Это защита от поддельной формы входа, но она не исключает заражение устройства или обман при выдаче доступа приложению.
Проверьте способы восстановления, сохраните резервные коды, включите уведомления о входах. Обновляйте ОС и браузер, оставляйте включённой защиту от опасных сайтов.
Экран "Войти через Google" или другой сервис тоже требует внимания. Даже на настоящей странице входа вам могут предложить разрешить неизвестному приложению читать почту или файлы. Проверьте название приложения и запрошенные права; ненужный доступ не выдавайте.
NIST: устойчивость аутентификации к фишингу. Google: доступ сторонних приложений.
6. Если уже взаимодействовали с сообщением
Не вините себя и не продолжайте разговор с отправителем. Действия зависят от того, что произошло. Если подходят несколько ситуаций, выполните рекомендации для каждой.
Только открыли ссылку, ничего не вводили и не скачивали
Закройте страницу. Не разрешайте уведомления, загрузки или установку. Проверьте список загрузок и следите за уведомлениями аккаунта. Один переход не доказывает взлом; если появились предупреждения защиты или необычное поведение, проверьте устройство.
Скачали файл, но не открывали его
Не запускайте и не пересылайте файл. На личном устройстве удалите его и выполните проверку защитным средством. Если файл открылся автоматически или вы включили макросы, действуйте как после запуска программы. Для рабочего устройства сначала сообщите IT-службе.
Ввели пароль, код входа или подтвердили чужой запрос
- С доверенного устройства откройте настоящий сервис и смените пароль. Если он повторялся, замените его в других аккаунтах.
- Завершите посторонние сеансы, а при сомнении все остальные. Одна смена пароля не всегда прекращает уже выданный доступ.
- Проверьте адреса и телефоны восстановления, способы входа и подключённые приложения. Для почты проверьте переадресацию и фильтры.
- Если доступа уже нет, используйте официальное восстановление аккаунта. Предупредите контакты, если от вашего имени отправляли сообщения.
Считайте пароль переданным, даже если не нажали кнопку отправки: страница может получать текст во время ввода.
Запустили программу или предоставили удалённый доступ
Отключите устройство от сети и прекратите сеанс удалённого доступа. Для рабочих устройств сразу обратитесь в IT-службу. На личном устройстве проведите проверку и очистку, при необходимости с помощью специалиста. До восстановления доверия к устройству не вводите на нём новые пароли; защитите аккаунты с другого устройства.
Разрешили неизвестному приложению доступ к аккаунту
В настройках настоящего сервиса отзовите разрешения приложения и проверьте активность. Простая смена пароля может не отозвать этот доступ. Если приложение успело скопировать данные, отзыв разрешения не удаляет полученные копии.
Передали данные карты или перевели деньги
Сразу свяжитесь с банком через официальное приложение или номер на карте. Сообщите о мошенничестве, заблокируйте карту по инструкции банка и уточните, можно ли остановить или оспорить операцию. Сохраните сообщение, чек и время платежа. Не платите посредникам, которые обещают гарантированно вернуть деньги.
Использовали рабочую почту или устройство
Сообщите IT-службе или ответственному за безопасность, что открыли, ввели или запустили и когда это произошло. Не скрывайте случай и не удаляйте возможные свидетельства до получения инструкций. Быстрое сообщение помогает защитить остальных сотрудников.
Инструкции: NCSC: действия после фишинга, восстановление аккаунта и проверка скомпрометированного Google-аккаунта.
7. Как сообщить о фишинге
Используйте кнопку жалобы на фишинг в почте или мессенджере. О поддельной странице сервиса сообщите его поддержке через официальный сайт или приложение. При рабочем инциденте действуйте по внутреннему порядку.
Сохраните адрес отправителя, текст, время и скриншот. Не пересылайте опасную ссылку знакомым без контекста и не отправляйте пароли, коды или полные платёжные данные в жалобе. Для неизвестного файла используйте способ передачи, который предложит специалист.
Если пострадали деньги или документы, обратитесь в банк и правоохранительные органы вашей страны. Конкретные процедуры зависят от сервиса и места проживания.