Представьте небольшую типографию в 18:40 в пятницу. Приходит письмо от поставщика бумаги, которому типография платит каждый месяц, в той же переписке, что и заказ прошлого месяца. В нём написано «Исправленный счёт во вложении, просим провести до выходных», а вложение называется Invoice_4471.zip. Поставщик настоящий, переписка настоящая. Но этот поставщик всегда присылал обычные PDF, никто в типографии не ждал исправления, а бухгалтеры этой компании обычно не пишут в пятницу вечером.
Правильно будет оставить этот файл закрытым, пока кто-то у поставщика не подтвердит его по телефону, который у типографии уже есть. Вообще вложение можно считать достаточно безопасным, если вы его ждали, отправитель проверен, а тип файла соответствует истории. Серьёзное подозрение оно заслуживает, если не выполняется хотя бы одно из этих условий, а опасность обычно начинается в момент, когда вы запускаете, распаковываете или «включаете» что-то, а не когда читаете письмо. Большая часть этой статьи о том, как быстро сделать эти три оценки и как ограничить ущерб, если не получается.
Разбираем пятничный счёт
Этот пример полезен тем, что обычный совет в нём не работает. «Не открывайте файлы от незнакомцев» не помогает, когда отправитель — тот, кому вы платите. Поэтому посмотрите, что на самом деле изменилось. Изменился формат: вместо PDF сжатый архив. Изменилось время. Письмо подталкивает к действию перед выходными, когда никто не может легко всё проверить. У каждого из этих отличий может быть безобидное объяснение, но вместе их достаточно, чтобы остановиться и проверить.
Далее идёт возможность, о которой владелец может не подумать: письмо действительно могло прийти из ящика поставщика. Преступники, получившие доступ к одному аккаунту, часто отвечают внутри существующих переписок, потому что старая переписка вызывает доверие, которого нет у холодного письма. Это называется перехватом переписки. Из этого следует, что правильный адрес отправителя и знакомая тема ничего не решают, и поэтому последняя проверка должна происходить вне электронной почты.
Разумная последовательность для владельца такая:
- Не отвечайте на письмо с вопросом, настоящее ли оно. Если ящик взломан, ответ уйдёт тому, кто ведёт мошенничество.
- Найдите номер поставщика на старом бумажном счёте, в договоре или в контактах телефона. Не пользуйтесь номером из подписи в письме.
- Задайте простой вопрос: «Вы сегодня вечером присылали исправленный счёт?» Если офис закрыт, счёт подождёт до понедельника. Настоящий поставщик согласится на оплату в понедельник гораздо охотнее, чем преступник.
- Если у поставщика есть онлайн-портал, войдите на него, набрав адрес самостоятельно, и посмотрите, появился ли там счёт.
- Если ответ отрицательный, предупредите поставщика, что его ящик, возможно, взломан, затем сообщите о письме и удалите его.
У того же примера есть более тихий вариант, который не поймает ни один сканер. Вложением может быть чистый, обычный PDF с совершенно настоящим счётом, в котором изменена одна деталь: банковский счёт. Вредоносной программы нет, файл безвреден для вашего компьютера, а деньги всё равно уйдут не туда. Любое изменение платёжных данных заслуживает такого же телефонного звонка, каким бы ни был формат файла.
Чего добивается вредоносное вложение
Вложения остаются популярными у злоумышленников по простой причине. Почтовые сервисы не могут отклонять все файлы, ведь людям нужно обмениваться счетами, резюме, договорами и фотографиями, а получатель открывает файл по собственному выбору. Вредоносный файл обычно стремится к одному из четырёх результатов, и знать, какой из них допускает тот или иной формат, — это уже большая часть навыка.
- Он запускает код напрямую. Программа или скрипт стартует при двойном щелчке и имеет те же права, что и вы.
- Он убеждает другое приложение запустить код с помощью макросов, встроенных объектов или уязвимости в программе.
- Он отправляет вас в другое место. В PDF или документе есть только кнопка, ведущая на поддельную страницу входа, так что файл может быть чистым, а атакой является адрес назначения.
- Он собирает то, что вы вводите. HTML-вложение открывается в браузере как локальная страница, имитирующая экран входа, и отправляет ваш пароль кому-то другому.
Фото в формате JPEG в обновлённой программе просмотра не может сделать ничего из первых трёх пунктов само по себе. Ярлык Windows может запустить командную строку, показывая значок документа. Эта разница между форматами объясняет таблицу ниже.
Типы файлов в порядке возможностей
Оценки исходят из того, что файл пришёл от неизвестного или неожиданного отправителя. Это суждение на основе того, на что способен каждый формат, и контекст может поднять или опустить файл в рейтинге. Таблица .xlsm от вашего бухгалтера в налоговый сезон — это нормально. Тот же файл с неизвестного адреса о недоставленной посылке — нет.
| Расширения | Что это | Риск | Почему |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Программы и установщики Windows | Очень высокий | Запускают код с вашими правами. «Заставка» .scr — обычная программа. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Скрипты | Очень высокий | В Windows для них есть встроенные интерпретаторы. У незнакомца почти никогда нет веской причины отправлять такой файл. |
| .lnk | Ярлык Windows | Очень высокий | Может запустить команду с аргументами за безобидным значком. |
| .iso, .img, .vhd, .vhdx | Образы дисков | Высокий | Двойной щелчок подключает их как диск, и в них упаковывали программы и ярлыки. |
| .docm, .xlsm, .pptm, .xlam | Файлы Office с макросами | Высокий | Буква «m» означает, что файл может нести макросы VBA. Законное применение бывает, но от незнакомцев встречается редко. |
| .doc, .xls | Старые форматы Office | От среднего до высокого | Могут содержать макросы без подсказки в имени, и их давно используют во зло. |
| .zip, .rar, .7z, .gz, .tar | Архивы | Зависит от содержимого | Могут содержать всё из этой таблицы. Зашифрованные проверить нельзя. |
| .html, .htm, .svg | Веб-страницы и векторные изображения | От среднего до высокого | Открываются в браузере и могут показывать поддельные формы входа, запускать скрипты или собирать файл на месте. |
| .one | Блокнот OneNote | От среднего до высокого | Использовался для сокрытия скриптов за поддельной кнопкой «нажмите, чтобы посмотреть». |
| Переносимый документ | От низкого до среднего | В основном пассивен, но может содержать ссылки, встроенные файлы и скрипты. | |
| .docx, .xlsx, .pptx | Современные файлы Office | От низкого до среднего | Не могут хранить макросы VBA, но могут содержать ссылки, внешние обращения и встроенные объекты. |
| .jpg, .png, .gif, .webp | Растровые изображения | Низкий | Пассивные данные. Риск — редкая уязвимость программы просмотра, которую закрывают обновления. |
| .txt, .csv | Текст и данные | Низкий, с одной оговоркой | Текст не может запуститься сам, но CSV, открытый в таблице, может содержать формулы, поэтому отказывайтесь включать внешнее содержимое. |
Часть этой сортировки за вас делают почтовые сервисы. Gmail, например, отклоняет список типов файлов, куда входят .exe, .js, .lnk и .iso, а также заглядывает внутрь архивов, когда может. Outlook тоже блокирует многие типы программ и скриптов. Поэтому преступники предпочитают форматы, которые фильтры вынуждены пропускать, и необычный контейнер часто говорит больше, чем явно опасное имя.
Как скрывают настоящий тип файла
Windows по умолчанию скрывает известные расширения, из-за чего старейший трюк по-прежнему работает. Файл invoice.pdf.exe отображается как invoice.pdf. Выключите это один раз, и так и останется. В Windows 11 откройте Проводник и выберите Вид, Показать, Расширения имён файлов. В Windows 10 это флажок на вкладке Вид. На Mac откройте Finder, Настройки, Дополнения и отметьте Показывать все расширения имён файлов.
Другие маскировки требуют большего внимания. Длинные имена, дополненные пробелами, например statement.pdf .js, выталкивают настоящее окончание за пределы узкого столбца. Управляющий символ Unicode, переопределение направления письма справа налево (U+202E), может менять порядок отображения конца имени, так что файл, который на самом деле заканчивается на .exe, будет выглядеть как заканчивающийся на .pdf. Программы и ярлыки также могут нести любой значок, включая значок PDF или Word, поэтому значок ничего не доказывает.
Лгать может и само письмо. Каждое вложение сопровождается заявленным типом содержимого, например application/pdf, но эту метку выбирает отправитель. То, что произойдёт на вашем устройстве, зависит от настоящего формата файла и его расширения. Поэтому смотрите столбец Тип или Свойства файла в Windows, Свойства (Get Info) на Mac и подробный вид файлового менеджера на телефоне.
Документы Office и две цветные полосы
Файлы Office заслуживают отдельного раздела, потому что они повсюду и десятилетиями используются злоумышленниками. Макрос — это небольшая программа на Visual Basic for Applications, хранящаяся внутри документа, и она может автоматизировать полезную работу или скачать и запустить что-то другое. Формат файла частично подсказывает: .docx и .xlsx не могут хранить макросы VBA, а .docm и .xlsm могут, как и старые .doc и .xls, причём без каких-либо пометок.
Когда вы открываете в Office для Windows файл из интернета или из письма, вам обычно встретится одна из двух полос. Жёлтая принадлежит режиму Защищённый просмотр: он открывает документ только для чтения в ограниченном режиме и предлагает Разрешить редактирование. Пока вы остаётесь в защищённом просмотре, возможности файла гораздо более ограничены. Вы можете его читать, а если документ нужно только прочитать, выходить из этого режима незачем.
Красная полоса — это баннер безопасности. Microsoft изменила Office для Windows (развёртывание началось в 2022 году) так, что макросы VBA в файлах из интернета по умолчанию блокируются в Word, Excel, PowerPoint, Access, Project, Publisher и Visio. В баннере сказано, что макросы заблокированы, потому что источник файла ненадёжен. По документации Microsoft, это изменение не распространяется на Office для Mac, Android, iOS и веб-версию, поэтому не считайте, что везде всё работает одинаково.
Блокировка зависит от Mark of the Web — метки, которую Windows добавляет файлам из ненадёжного источника, например из браузера или вложения письма. Человек может удалить метку, отметив Разблокировать в свойствах файла, и это даёт чёткий предупреждающий знак. Если документ или «заботливое» письмо советует щёлкнуть файл правой кнопкой, поставить флажок «Разблокировать» и открыть заново, вас проводят мимо защиты. Закройте файл.
Злоумышленники ответили убеждением. Типичный документ-ловушка показывает размытую страницу и строку вроде «Этот документ создан в более новой версии. Включите редактирование и содержимое для просмотра». Ни одному настоящему документу макросы не нужны, чтобы его просто прочитать. Если файл пришёл от того, кого вы не можете проверить, считайте это сообщение ответом на ваш вопрос о безопасности.
История этой игры в кошки-мышки объясняет некоторые странные форматы в таблице. Образы дисков стали популярны отчасти потому, что файлы внутри ISO не получали Mark of the Web, пока Microsoft не исправила это в ноябре 2022 года (CVE-2022-41091). Затем выросло число злоупотреблений файлами OneNote со скриптами и ярлыками за поддельными кнопками, и в 2023 году Microsoft объявила, что OneNote для Microsoft 365 и розничного Office будет блокировать встроенные файлы с опасными расширениями. Каждое исправление толкает злоумышленников к следующему контейнеру, так что незнакомый формат от незнакомца — достаточная причина остановиться.
PDF, веб-страницы и картинки
Подавляющее большинство PDF безвредны, и реальный риск редко заключается в хитром эксплойте. Гораздо чаще это одностраничный PDF с логотипом и большой кнопкой «Посмотреть защищённый документ», ведущей на поддельную страницу входа. PDF может нести и собственные встроенные файлы, которые программа просмотра предложит открыть, и содержать JavaScript. В программах для PDF за годы находили уязвимости, поэтому держите свою обновлённой. Открывать неожиданный PDF во встроенном просмотрщике современного браузера — разумный вариант по умолчанию, а если вы пользуетесь Adobe Acrobat Reader и редко нуждаетесь в сценариях, можно снять флажок Включить Acrobat JavaScript в разделе Редактирование, Установки, JavaScript. PDF, существующий только для того, чтобы сказать «ваш документ готов, нажмите здесь», — это дверь, а не документ.
HTML-вложения хуже, чем кажутся. Такой файл открывается в браузере как локальная страница и может показать идеальную копию экрана входа с уже подставленным адресом вашей почты. Поскольку в письме никогда не было подозрительного веб-адреса, сканеры ссылок в вашем почтовом сервисе могут его вообще не увидеть. HTML-файл также может собрать файл внутри браузера из закодированных данных и предложить его как загрузку, этот приём называется HTML smuggling, и он способен пройти фильтры, проверяющие только вложения. Ни одной настоящей компании не нужно, чтобы вы входили в аккаунт из файла, приложенного к письму. Считайте любую такую страницу фишингом и заходите в сервис, набрав его адрес.
Файлы SVG выглядят как изображения, но описаны на XML, а значит, могут включать скрипты и ссылки. В программе просмотра картинок они ведут себя как рисунок, а в браузере — как веб-страница. Неожиданный SVG от незнакомца вызывает такое же недоверие, как HTML-файл.
Обычные файлы JPEG, PNG, GIF и WebP — пассивные данные, а теоретический риск уязвимости в программе просмотра закрывают обновления системы. Практический риск другой: картинка может быть просто приманкой, например «скриншот» счёта с призывом позвонить по номеру. Файл безопасен, а инструкции в нём — нет.
Архивы: оценивайте содержимое, а не обёртку
ZIP-файл не безопасен и не опасен сам по себе. Он ровно настолько безопасен, насколько безопасно то, что внутри. Архивы удобны злоумышленникам, потому что в письме виден только «documents.zip», а настоящий тип файла остаётся скрытым, и потому что архив внутри архива или менее распространённый формат могут сбить с толку некоторые сканеры.
Шифрование добавляет ещё одну проблему. Средства защиты почты не могут заглянуть в архив, защищённый паролем, поэтому письмо, содержащее зашифрованный архив вместе с паролем, — классическая схема. Подумайте, чего добивается такая комбинация: тайны она не даёт, потому что у каждого, у кого есть письмо, есть и пароль, и единственное, что она надёжно делает, — ослепляет сканер. Настоящий отправитель, шифрующий файл, обычно сообщает пароль другим способом, например по телефону или в отдельном чате.
Если вы убедились, что архив должен существовать, и всё же хотите посмотреть, что внутри:
- Откройте архив, чтобы увидеть список файлов, ничего не распаковывая. Список покажут Проводник Windows и архиваторы вроде 7-Zip. На Mac по умолчанию двойной щелчок обычно распаковывает архив, поэтому используйте там архиватор.
- Прочитайте каждое имя и расширение. Один-единственный
.lnk,.js,.exeили.isoв том, что описывали как бумаги, ставит точку, так что удалите архив. - Проверьте, что содержимое соответствует истории. «Руководство в PDF» должно быть PDF, а не папкой с ярлыком.
- Распакуйте только тот файл, который вам нужен, затем примените к нему те же проверки.
Коротко о проверке отправителя
Файл — половина атаки, а правдоподобная история вокруг него — вторая половина. Наше руководство о том, как распознать фишинговое письмо, разбирает это подробно, поэтому здесь только проверки, самые важные для вложений.
Начните с настоящего адреса, потому что отображаемое имя кто угодно может задать любым. «Бухгалтерия» может оказаться billing@example-pay.example. На компьютере наведите курсор на имя или нажмите на него, а на телефоне коснитесь строки отправителя. Ищите домены с добавленными словами, дефисами или заменёнными буквами («rn» вместо «m»), бесплатные почтовые адреса, выдающие себя за отдел счетов или юристов компании, и домен, не совпадающий с известным вам сайтом.
Затем посмотрите, куда пойдёт ответ. Письмо может прийти с одного адреса, а ответы отправлять на другой. Списки рассылки и системы заявок, а также рассылки, на которые вы подписались, иногда делают так по обычным причинам, но личная записка о срочном платеже так делать не должна.
Техническая проверка занимает минуту. В Gmail откройте меню с тремя точками и выберите Показать оригинал. В веб-версии Outlook выберите Просмотр, Просмотреть источник сообщения. Найдите spf=pass, dkim=pass и dmarc=pass. SPF перечисляет серверы, которым разрешено отправлять почту от имени домена, DKIM — криптографическая подпись, показывающая, что домен разрешил это письмо и оно не было изменено, а DMARC связывает эти результаты с видимым доменом в строке «От» и сообщает получателям, что делать при неудаче. Читайте результаты только в одну сторону. Провал проверки для письма, якобы пришедшего из вашего банка, — серьёзное предупреждение. Успех не делает письмо безопасным, потому что преступники могут зарегистрировать домен-двойник и правильно его настроить, а взломанный ящик проходит все проверки.
Остаётся вопрос, на который не ответит ни один заголовок: вписывается ли это в настоящий разговор? Вы должны быть в состоянии сказать, что ждали этот файл от этого человека на эту тему и что в нём есть подробности, которые можно проверить в вашем аккаунте. Давление работает против этого. Спешка, секретность и страх («судебный иск», «никому не говорите», «аккаунт будет закрыт сегодня») вместе с файлом — обычная схема. Если сомневаетесь, свяжитесь с отправителем по данным, которые были у вас до этого письма. Если счёт настоящий, он будет и в вашем аккаунте.
Когда файл от нового человека всё же нужно открыть
Иногда файл — это главное: резюме соискателя, первое предложение поставщика, ответ на то, что вы выставили на продажу. Тогда цель — увидеть содержимое, дав файлу как можно меньше власти. Эти варианты идут от самого простого к самому трудоёмкому, и большинство людей остановятся на втором или третьем.
Спросите себя, нужно ли открывать вообще. Если файл неожиданный, а история шаблонная, удалить его почти ничего не стоит: настоящие отправители напишут снова.
Воспользуйтесь предпросмотром вашего почтового сервиса. Веб-почта часто отображает PDF, изображения и документы Office на своих серверах, так что файл показывается, а не запускается на вашем устройстве. Сначала просмотрите, а скачивайте, только если необходимо. Это самая полезная привычка для всех, кто по работе получает файлы от незнакомцев.
Открывайте документы только для чтения. Защищённый просмотр или открытие файла в веб-версии офисного пакета ограничивает его возможности. Не трогайте Разрешить редактирование и Включить содержимое.
Проверьте его антивирусом. В Windows можно щёлкнуть сохранённый файл правой кнопкой и проверить его в Microsoft Defender, то же предлагают и другие защитные программы. Для файла, не содержащего ничего личного, второе мнение даст онлайн-сканер с несколькими движками вроде VirusTotal. Файлы, загруженные в такие сервисы, могут передаваться охранным компаниям и исследователям, поэтому никогда не загружайте договоры, документы, удостоверяющие личность, счета и вообще ничего конфиденциального. Чистый результат тоже не гарантия, потому что новый или специально изменённый файл мог ещё не попасть ни в одну базу.
Попросите другой формат. Настоящий соискатель может прислать резюме обычным PDF. Клиент может вставить текст в тело письма. Просить ничего не стоит, а тот, кто хочет доставить конкретный файл, обычно сопротивляется.
Для всего необычного используйте изолированную среду. Windows Sandbox доступна в выпусках Windows Pro, Enterprise и Education, включается в окне Включение или отключение компонентов Windows и требует включённой виртуализации. Она даёт одноразовый рабочий стол, и всё внутри отбрасывается при закрытии. По умолчанию у неё есть доступ к сети, если не отключить его в файле конфигурации, поэтому файл, запущенный внутри, может выйти в интернет, и входить там в какие-либо аккаунты не следует. Виртуальная машина или запасное устройство служат той же цели.
Быстрый тест перед двойным щелчком
Пройдитесь по этим вопросам, если что-то кажется неправильным. Двух и более тревожных ответов достаточно, чтобы удалить письмо или сначала его проверить.
- Знаю ли я этого отправителя и ждал ли я этот файл именно сейчас?
- Совпадают ли настоящий адрес и домен с тем, за кого он себя выдаёт?
- Тот ли это тип файла, которого я ожидал бы по этой теме?
- Лежит ли файл внутри контейнера, особенно защищённого паролем?
- Давит ли письмо спешкой, секретностью, оплатой или требованием войти?
- Просит ли документ включить редактирование, содержимое или макросы?
- Могу ли я сначала подтвердить это по другому каналу?
Телефоны и Mac отличаются, но не защищены полностью
Программы и скрипты Windows просто не запускаются на iOS и Android, а мобильные системы ограничивают приложения строже, чем традиционные настольные. Это убирает целый класс угроз. Но у телефонов есть свои слабые места, а фишинг работает как минимум так же хорошо на маленьком экране, где полные адреса скрыты, а поддельная кнопка входа выглядит как любая другая.
На Android главный файловый риск — APK, пакет приложения, присланный во вложении. Установить его можно, только если вы разрешили открывшему его приложению устанавливать неизвестные приложения. Проверьте это в разделе Настройки, Приложения, Специальный доступ, Установка неизвестных приложений, хотя точный путь у разных производителей отличается. Держите эту возможность выключенной для почтового приложения и браузера и устанавливайте приложения только из официальных магазинов. На iPhone и iPad остерегайтесь профилей конфигурации: они могут менять такие настройки, как VPN и доверенные сертификаты. Установленные профили видны в разделе Настройки, Основные, VPN и управление устройством. Не устанавливайте профиль только потому, что об этом попросило письмо.
Почтовые приложения на телефонах также склонны скрывать полный адрес отправителя и расширение файла, поэтому нужно коснуться, чтобы их увидеть. Если файл кажется важным, а прочитать его данные удобно нельзя, подождите, пока окажетесь за большим экраном. Очень мало честных вложений не могут подождать час.
У Mac есть собственная защита — Gatekeeper, который проверяет загруженные приложения перед первым запуском и предупреждает о программах не от установленного разработчика. Мошеннические инструкции порой советуют обойти это предупреждение, открыв файл другим способом или вставив команду в Терминал. Относитесь к таким инструкциям так же, как к «Включить содержимое» в документе Word. Остерегайтесь файлов .dmg, .pkg, .app и .command от незнакомцев: это эквиваленты на Mac первых строк таблицы.
Настройки, которые меняют шансы
Ни для одной из них не нужны специальные инструменты. Пройти этот список один раз — примерно как выпить кофе, и большую часть повторять не придётся.
| Настройка | Где | Чем помогает |
|---|---|---|
| Показывать расширения имён файлов | Меню «Вид» Проводника; Finder, Настройки, Дополнения | Двойные расширения и замаскированные файлы |
| Автоматические обновления | Настройки системы и магазина приложений | Известные уязвимости в программах просмотра, браузерах и Office |
| Включённая защитная программа | Безопасность Windows или выбранный вами продукт | Известные вредоносные программы при сохранении или открытии файлов |
| Защищённый просмотр и блокировка макросов | Office: Файл, Параметры, Центр управления безопасностью, Параметры центра управления безопасностью (обычно включены) | Документы, запускающие код без вашего решения |
| Запрет установки неизвестных приложений | Android: Специальный доступ | APK-файлы, полученные по почте |
| Обычная учётная запись без прав администратора для повседневной работы | Настройки учётных записей в системе | Вредоносная программа легко получает права во всей системе |
| Многофакторный вход в важных аккаунтах | Страница безопасности каждого аккаунта | Захват аккаунта после кражи пароля |
| Отдельный адрес для регистраций | Второй адрес, псевдоним или временный ящик | Основной ящик становится мишенью |
Типичные вложения и как они обычно подводят
Ситуации ниже — примеры часто встречающихся схем. В каждой важен разрыв между тем, как настоящее письмо обычно приходит, и тем, что перед вами.
| Что заявлено | Как выглядит настоящее | Что должно вас остановить | Что делать |
|---|---|---|---|
| Счёт от компании, услугами которой вы не пользуетесь | У вас был бы аккаунт или заказ | Нет никаких отношений, а часто ещё и архив, HTML-файл или документ с макросами | Удалить |
| Счёт от компании, услугами которой вы пользуетесь | Виден в вашем аккаунте, в привычном формате | Новый формат, новые банковские реквизиты, странное время | Войти напрямую или позвонить по известному номеру |
| «Предпросмотр» документа в общем доступе | Ссылка от сервиса, открывающаяся там, где вы уже вошли | Приложенный HTML-файл со страницей входа | Зайти в сервис самому и поискать там доступ |
| Резюме или портфолио | Обычный PDF или документ | Архив, документ с макросами или ссылка на странный сайт загрузки | Просмотреть и попросить стандартный формат |
| Голосовое сообщение или уведомление о факсе | Многие телефонные системы присылают аудиофайл, например WAV или MP3 | HTML, архив или программа | Проверить портал своей телефонной системы |
| Срочный файл от «руководителя» | Обычные каналы и обычный тон | Секретность, спешка, просьба об оплате | Подтвердить по телефону или лично |
| Новое вложение в старой переписке | Написано голосом самого человека и по теме | Шаблонное «см. вложение», тип файла, который он никогда не присылает | Связаться с ним отдельно до открытия |
Строка про соискателя заслуживает пары слов для тех, кто нанимает людей. Найм — это именно тот случай, когда незнакомые люди должны присылать вам файлы, поэтому злоумышленники его и имитируют. Опубликованное правило «только PDF, без архивов и ссылок» не стоит настоящим соискателям ничего и убирает большую часть риска ещё до получения чего-либо.
Для небольших команд
Если вы отвечаете за почту команды, несколько мер уменьшают зависимость от суждения одного человека в загруженный день. Настройте почтовый сервис так, чтобы он полностью блокировал рискованные типы вроде программ и скриптов, а защищённые паролем архивы извне задерживал для проверки. Опубликуйте SPF, DKIM и DMARC для своего домена, чтобы вашу фирму было труднее подделать, и читайте отчёты DMARC, чтобы видеть, кто отправляет почту от вашего имени. Заметный баннер на письмах из-за пределов организации помогает людям замечать, что «начальник» пишет откуда-то ещё.
Внутри лучше делиться ссылками с надёжной платформы, чем вложениями, ведь тогда любое вложение извне бросается в глаза. Договоритесь о письменном правиле: изменение банковских реквизитов всегда подтверждается по телефону, по номеру, который уже есть в записях, кто бы ни просил и как бы срочно это ни выглядело. Дайте сотрудникам способ пожаловаться на подозрительное письмо в один клик и благодарите тех, кто им пользуется, в том числе тех, кто уже нажал на ссылку. Тот, кого смущение заставило молчать, даёт злоумышленнику несколько лишних часов.
Если вы уже открыли файл
Осторожные люди тоже совершают эту ошибку, обычно когда устали или заняты. Первые минуты решают многое, а что делать, зависит от того, что именно произошло.
Вы открыли изображение или PDF в обновлённой программе и ничего не нажимали. Реальный риск низкий. Выполните проверку и продолжайте, оставаясь внимательными к последующим письмам.
Вы что-то запустили, распаковали или включили макросы. Действуйте по порядку:
- Закройте файл и перестаньте отвечать на его запросы. Не вводите никаких паролей.
- Отключите Wi-Fi или выдерните сетевой кабель. Это может помешать вредоносной программе загрузить дополнительные компоненты или отправить данные наружу.
- На рабочем устройстве сразу сообщите об этом с другого устройства и не пытайтесь очистить его сами. Раннее сообщение позволяет сотрудникам IT или безопасности локализовать проблему, пока она не распространилась.
- Выполните полную проверку. В Безопасности Windows откройте Защита от вирусов и угроз, Параметры сканирования, где Автономная проверка Microsoft Defender перезагружает компьютер и сканирует его до загрузки Windows.
- С другого, чистого устройства смените важные пароли, начиная с почты, ведь через почту сбрасывается всё остальное. Затем банковские и всё, куда вы недавно входили на заражённой машине.
- Проверьте недавние входы в почтовый аккаунт, правила пересылки, фильтры и подключённые приложения. Злоумышленники иногда добавляют скрытое правило, чтобы продолжать получать вашу почту и после смены пароля.
- Включите многофакторный вход или убедитесь, что он всё ещё включён, для важных аккаунтов.
Вы ввели пароль на странице, которую открыло вложение. Считайте этот пароль украденным. Смените его на настоящем сайте, набрав адрес самостоятельно, и смените везде, где вы его использовали.
Вы ввели данные карты. Позвоните в банк или платёжной системе по номеру на карте и попросите её заблокировать.
Устройство по-прежнему ведёт себя странно. Новые программы, отключённые средства защиты и перенаправления в браузере — признаки того, что проверки было недостаточно. Надёжное решение — восстановление из заведомо чистой резервной копии или переустановка системы, и поэтому хранение автономной или версионной резервной копии на практике часть безопасности вложений.
Где уместен временный ящик, а где нет
Всё сказанное выше действует после того, как рискованное письмо уже до вас дошло. Приватность ящика работает раньше, ограничивая, кто вообще может писать на ваш важный адрес. Каждый сайт, где хранится ваш настоящий адрес, может его потерять, продать или быть взломанным. Снижая такой риск, вы получаете меньше неизвестных отправителей в будущем, а это упрощает замечать и редкий неожиданный файл. В нашей статье о том, как организовать личную почту, объясняется, как разделить адреса по уровню доверия.
Временный ящик — один из инструментов для самого низкого уровня. Если вы используете его для разового скачивания или одного вопроса на форуме там, где это допускают правила сайта, этот отправитель не узнает ваш основной адрес. Наше руководство о том, как зарегистрироваться без настоящей почты, объясняет, когда это уместно и когда лучше постоянный адрес. Разработчики также используют временные ящики, чтобы проверить, правильно ли их приложение отправляет вложения, не засоряя личную почту.
Чётко понимайте границы. Временный адрес защищает ваш адрес, а не устройство. Как только вы скачали файл, все проверки из этой статьи действуют в полной мере. Временные ящики не предназначены для договоров, документов, удостоверяющих личность, медицинских и финансовых записей, не подходят для банков, государственных услуг и любых аккаунтов, которые вам нужно восстанавливать. Любой, кто знает или угадает адрес, может открыть этот ящик, поэтому случайный адрес безопаснее, а ничего конфиденциального там быть не должно.
В VookMail адрес готов при загрузке страницы, без регистрации. Вложения работают в пределах ограничений по размеру, а ящик показывает письмо и список файлов, ничего не выполняя. Распространённые файлы программ вроде .exe, .bat и .apk отклоняются, а для архивов вроде .zip показывается предупреждение, которое хорошо напоминает применить описанные выше шаги для архивов. Наши домены принимают почту через сервис доставки почты, который пересылает её нам по HTTPS. Письма и вложения удаляются примерно через сутки, поэтому скачивайте нужное сразу и не считайте ящик хранилищем. Подробнее об обработке рассказывают политика конфиденциальности и страница о методологии.
Кнопка QR тоже может пригодиться для осторожности с вложениями. Она показывает ваш адрес как код, который можно отсканировать на другом устройстве, где «Новый» и тот же адрес и домен открывают этот ящик, так что если вы предпочли бы смотреть сомнительный файл на телефоне или запасном устройстве, а не на основном компьютере, это возможно. Файл, который вы скачали намеренно, всё равно должен соответствовать обещанному. Если сайт предлагал PDF-руководство, а вы получили ZIP с ярлыком, удалите его.
Ошибки, от которых стоит отучиться
- Пересылать подозрительный файл коллеге «для проверки». Так риск распространяется. Используйте путь сообщения о проблемах, принятый в вашей организации.
- Распаковывать архив, чтобы посмотреть, что внутри, когда об этом сказал бы просто список содержимого.
- Использовать пароль, присланный в том же письме. Это отдаёт злоумышленнику то, чего он хотел, — файл, которого не видел ваш сканер.
- Нажимать Разрешить редактирование по привычке. Для документа, который нужно только прочитать, это ничего не даёт.
- Считать чистую проверку доказательством. Она означает лишь, что ни один сканер сегодня не узнал этот файл.
- Загружать конфиденциальные файлы в публичные сканеры, которые могут передавать частные данные третьим лицам.
- Откладывать обновления. Многие эксплойты для вложений нацелены на уязвимости, уже исправленные в актуальных версиях Office, программ для PDF, браузеров и операционных систем.
- Молчать после неудачного клика. В рабочем аккаунте час молчания не выгоден никому, кроме злоумышленника.
Вопросы, которые часто возникают
Можно ли подхватить вирус, просто открыв письмо?
В обновлённом почтовом приложении открытие и чтение письма вряд ли заразит устройство. Опасность обычно начинается, когда вы открываете или запускаете вложение, включаете макросы или нажимаете ссылку. Загрузка изображений, однако, может сообщить отправителю, что вы открыли письмо, но это вопрос приватности, а не заражения.
Защищает ли антивирус от всех вредоносных вложений?
Нет. Антивирусы и почтовые фильтры ловят большую долю известных угроз, но новые или специально изменённые файлы могут пройти, а поддельная страница входа может вовсе не содержать вредоносных программ. Проверка — один из уровней наряду с проверкой отправителя, знанием типов файлов, заблокированными макросами и обновлениями.
Стоит ли доверять вложению, потому что оно пришло от друга?
Доверяйте человеку, но всё равно проверяйте письмо. Аккаунты взламывают, поэтому странный файл от друга с необычно короткой запиской стоит быстрого сообщения с вопросом, отправлял ли он его.
Безопаснее ли открыть подозрительный файл на телефоне?
Может быть, если речь о программах Windows, которые там не запустятся. От поддельных страниц входа это не защищает, а они более вероятная угроза в PDF или HTML-файле. Телефон — это другой риск, и если нужно настоящее разделение, лучше запасное устройство или песочница.
Безопасно ли получать вложения во временном ящике?
Получение ничем не отличается от любого другого ящика, потому что сервис хранит и показывает файл, а не запускает его. Важно, что происходит после скачивания. Применяйте те же проверки и не оставляйте ничего конфиденциального в ящике, который могут открыть другие, если угадают адрес.