Як розпізнати фішинг і не віддати свій пароль шахраям

Фішинг це атака на людину, сервер тут ні до чого: вас переконують власноруч ввести пароль, код із СМС або дані картки на підробленій сторінці. Спосіб лишається наймасовішим видом зламу з однієї причини: він дешевий. Розсилка тисяч листів не коштує майже нічого, а одна вдала жертва окуповує все. Добра новина в тому, що захист теж дешевий: увага плюс кілька звичок.

Який вигляд має фішинг сьогодні

Класика жанру: лист від «банку» чи «поштового сервісу» із проханням терміново підтвердити акаунт. До неї додалися месенджери й СМС із посиланнями на «відстеження посилки», підроблені сторінки входу після рекламних оголошень у пошуку, QR-коди на листівках і листи від «колег» із вкладенням. Нейромережі прибрали головний маркер минулих років: криву мову. Текст тепер грамотний, логотипи точні, тому дивитися треба на технічні ознаки, а стиль ігнорувати.

Десять правил, що закривають майже все

1. На важливі сервіси заходьте через закладку або вводячи адресу вручну, посилання з листів оминайте.
2. Перевіряйте домен в адресному рядку перед введенням пароля, літеру за літерою.
3. Увімкніть двофакторне підтвердження всюди, де воно є: вкрадений пароль без другого фактора майже марний. Як це влаштовано, ми розібрали у статті про двофакторну автентифікацію.
4. Де можливо, переходьте на пасключі: ключ прив'язаний до домену й на підробленому сайті просто не спрацює.
5. Користуйтеся менеджером паролів. Він підставляє пароль лише на справжньому домені, тож мовчання автозаповнення на знайомому сайті саме по собі сигнал.
6. Не відкривайте вкладення, на які не чекали, навіть від знайомих адрес: відправника могли зламати.
7. Код зі СМС і пуш-підтвердження читайте повністю: там написано, яку дію ви підтверджуєте.
8. Для разових реєстрацій і розсилок заведіть окрему скриньку, основну тримайте для банків і документів.
9. Оновлюйте браузер: вбудовані списки небезпечних сайтів ловлять помітну частину підробок ще до завантаження сторінки.
10. Розповідайте про прийоми близьким: найчастіше жертвою стає родич того, хто читає такі статті.

Фішинг приходить не лише поштою

Пошта лише найстаріший канал. Ті самі схеми працюють у месенджерах: «голосування за племінницю», «вам посилка, оплатіть доставку», зламаний акаунт друга з проханням позичити гроші. Телефонний варіант: дзвінок «служби безпеки банку», де вас квапять продиктувати код зі СМС. QR-коди на столиках і оголошеннях ведуть на ті самі підроблені сторінки, тільки адреси ви взагалі не бачите. Окрема біда: платна реклама в пошуку, де підробка стоїть вище за справжній сайт. Правило одне для всіх каналів: канал зв'язку не засвідчує співрозмовника, це роблять лише домен в адресному рядку і другий фактор.

Це спрацьовує й на досвідчених людях, бо б'є по стану, знання тут не рятують: втома, поспіх, страх втратити гроші. Шахрай створює дефіцит часу, у якому перевірка здається зайвою. Тому правила вище побудовані так, щоб працювати на автоматі, без роздумів.

Якщо лист підозрілий, але напевно не скажеш

Розберіть його технічно. Відкрийте вихідний код листа й подивіться службові заголовки: звідки він насправді пішов і чи пройшов перевірки автентичності відправника. Наш аналізатор заголовків листа покаже ланцюжок серверів і результати SPF, DKIM та DMARC без ручного читання. Домен із посилання можна прогнати через перевірку DNS: у щойно зареєстрованих доменів-одноденок історія майже порожня.

Пароль уже введено: перші пів години

1. Змініть пароль на справжньому сайті. Якщо він використовувався ще десь, змініть і там.
2. Завершіть усі сесії в налаштуваннях безпеки акаунта: вкрадений пароль часто використовують у перші хвилини.
3. Перевірте прив'язані пошту й телефон, правила пересилання, резервні коди: зломщики люблять залишати собі запасний вхід.
4. Якщо вводили дані картки, заблокуйте її через банк, цього досить, перевипуск вирішить решту.
5. Поспостерігайте за акаунтом кілька днів. Повний список ознак чужого доступу й порядок відновлення зібрано у статті про злам акаунта.

Чого фішинг не вміє

Корисно пам'ятати й межі атаки, щоб не боятися зайвого. Саме по собі відкриття листа пароль не краде: небезпека починається на підробленій сторінці або в запущеному вкладенні. Перегляд сайту через HTTPS не віддає шахраю ваші паролі від інших сервісів. А пасключ чи апаратний ключ не вийде «ввести не туди» навіть навмисно: браузер не пред'явить його чужому домену. Що більше ваших акаунтів закрито такими способами, то менше сенсу в усій індустрії підроблених сторінок.

Фішинг працює на автопілоті жертви: лист тисне на терміновість, рука тягнеться до посилання. Будь-яка пауза на десять секунд із питанням «а чи той це домен» руйнує всю схему. Звичка дешевша за відновлення доступу.