Как распознать фишинг и не отдать пароль мошенникам

Фишинг это атака не на сервер, а на человека: вас убеждают самостоятельно ввести пароль, код из СМС или данные карты на поддельной странице. Способ остаётся самым массовым видом взлома по одной причине: он дешёвый. Рассылка тысяч писем не стоит почти ничего, а одна удачная жертва окупает всё. Хорошая новость в том, что защита тоже дешёвая: внимание плюс несколько привычек.

Как выглядит фишинг сегодня

Классика жанра: письмо от «банка» или «почтового сервиса» с просьбой срочно подтвердить аккаунт. К ней добавились мессенджеры и СМС со ссылками на «отслеживание посылки», поддельные страницы входа после рекламных объявлений в поиске, QR-коды на листовках и письма от «коллег» с вложением. Нейросети убрали главный маркер прошлых лет: кривой язык. Текст теперь грамотный, логотипы точные, поэтому смотреть нужно на технические признаки, а не на стиль.

Десять правил, которые закрывают почти всё

1. На важные сервисы заходите по закладке или вводя адрес руками, а не по ссылке из письма.
2. Проверяйте домен в адресной строке перед вводом пароля, букву за буквой.
3. Включите двухфакторную подтверждение везде, где оно есть: украденный пароль без второго фактора почти бесполезен. Как это устроено, мы разобрали в статье о двухфакторной аутентификации.
4. Где возможно, переходите на пасскеи: ключ привязан к домену, и на поддельном сайте он не сработает в принципе.
5. Используйте менеджер паролей. Он подставляет пароль только на настоящем домене, молчание автозаполнения на знакомом сайте само по себе сигнал.
6. Не открывайте вложения, которых не ждали, даже от знакомых адресов: отправителя могли взломать.
7. Код из СМС и пуш-подтверждения читайте целиком: там написано, какое действие вы подтверждаете.
8. Для разовых регистраций и рассылок заведите отдельный ящик, основной держите для банков и документов.
9. Обновляйте браузер: встроенные списки опасных сайтов ловят заметную часть подделок ещё до загрузки страницы.
10. Рассказывайте о приёмах близким: чаще всего жертвой становится не тот, кто читает такие статьи, а его родные.

Фишинг приходит не только почтой

Почта лишь самый старый канал. Те же схемы работают в мессенджерах: «голосование за племянницу», «вам посылка, оплатите доставку», взломанный аккаунт друга с просьбой занять денег. Телефонный вариант: звонок «службы безопасности банка», где вас торопят продиктовать код из СМС. QR-коды на столиках и объявлениях ведут на те же поддельные страницы, только адрес вы не видите вовсе. Отдельная беда: платная реклама в поиске, где подделка стоит выше настоящего сайта. Правило одно для всех каналов: канал связи не удостоверяет собеседника, удостоверяет только домен в адресной строке и второй фактор.

Срабатывает это и на опытных людях, потому что бьёт не по знаниям, а по состоянию: усталость, спешка, страх потерять деньги. Мошенник создаёт дефицит времени, в котором проверка кажется лишней. Поэтому правила ниже построены так, чтобы работать на автомате, без размышлений.

Если письмо подозрительное, но не наверняка

Разберите его технически. Откройте исходник письма и посмотрите служебные заголовки: откуда оно реально ушло и прошло ли проверки подлинности отправителя. Наш разборщик заголовков письма покажет цепочку серверов и результаты SPF, DKIM и DMARC без ручного чтения исходника. Домен из ссылки можно прогнать через проверку DNS: у свежезарегистрированных доменов-однодневок история почти пустая.

Пароль уже введён: первые полчаса

1. Смените пароль на настоящем сайте. Если он использовался ещё где-то, смените и там.
2. Завершите все сессии в настройках безопасности аккаунта: украденный пароль часто используют в первые минуты.
3. Проверьте привязанные почту и телефон, правила пересылки, резервные коды: взломщики любят оставлять себе запасной вход.
4. Если вводили данные карты, заблокируйте её через банк, этого достаточно, перевыпуск решит остальное.
5. Понаблюдайте за аккаунтом несколько дней. Полный список признаков чужого доступа и порядок восстановления собран в статье о взломе аккаунта.

Что фишинг не умеет

Полезно помнить и границы атаки, чтобы не бояться лишнего. Само по себе открытие письма пароль не крадёт: опасность начинается на поддельной странице или в запущенном вложении. Просмотр сайта по HTTPS не отдаёт мошеннику ваши пароли от других сервисов. А пасскей или аппаратный ключ не получится «ввести не туда» даже нарочно: браузер не предъявит его чужому домену. Чем больше ваших аккаунтов закрыто такими способами, тем меньше смысла во всей индустрии поддельных страниц.

Фишинг работает на автопилоте жертвы: письмо давит на срочность, рука тянется к ссылке. Любая пауза на десять секунд с вопросом «а тот ли это домен» рушит всю схему. Привычка дешевле восстановления доступа.