Вот выдуманный пример, написанный специально для этой статьи. Адреса в нём недоступны, и он нужен только для того, чтобы вы потренировались его читать.
Пример фишингового сообщения, не настоящего
От: "Поддержка почты" <helpdesk@mail-storage-notice.example>
Тема: Ваш ящик заполнен на 98%, письма задерживаются
Уважаемый пользователь, 14 входящих писем не удалось доставить, потому что ваше хранилище заполнено. Подтвердите аккаунт в течение 24 часов, чтобы получить их и избежать блокировки.
[Получить мои письма]
Выдают его домен отправителя, который не принадлежит никому из тех, с кем вы имеете дело, обращение, не знающее вашего имени, срок, подкреплённый угрозой, и кнопка, требующая войти в аккаунт. Орфографических ошибок здесь нет, и сейчас это обычное дело. Фишинговые письма распознают так: проверяют настоящий адрес отправителя, смотрят, куда на самом деле ведут ссылки, с подозрением относятся к неожиданным просьбам сообщить пароль, перевести деньги или открыть файл, а всё важное подтверждают через канал, которому уже доверяете, а не через само письмо.
Фишинг — это сообщение, которое выдаёт себя за доверенного человека или организацию, чтобы вы передали учётные данные, заплатили, установили вредоносную программу или раскрыли сведения, полезные для будущей атаки. Советы, построенные на плохой грамматике и неуклюжих логотипах, сильно устарели: скопировать оформление бренда легко, а переводчики и инструменты для написания текстов доступны всем. Надёжными остаются две вещи: чего письмо от вас хочет и что техническая информация говорит о его происхождении.
На какие признаки стоит обращать внимание
Предупреждающие признаки неравнозначны. Этот рейтинг — оценка, основанная на том, как работают атаки, а не измеренная статистика, но он показывает, на что потратить несколько секунд внимания.
| Признак | Насколько он показателен | Почему |
|---|---|---|
| Ссылка ведёт на домен, не принадлежащий заявленной организации | Очень высоко | Несоответствие — суть фишинга учётных данных |
| Письмо просит пароль, одноразовый код или полный номер карты | Очень высоко | Настоящие сервисы не собирают это по почте |
| Платёжные реквизиты «срочно» поменялись по электронной почте | Очень высоко | Стандартная схема мошенничества с деловой перепиской |
| Домен отправителя не совпадает с организацией | Высоко | Домены-двойники и бесплатные почтовые адреса встречаются часто |
| Неожиданный архив, HTML-файл или документ с макросами | Высоко | Распространённые способы доставить вредоносную программу или поддельную страницу входа |
| DMARC не пройден для заявленного домена | Высоко | Серьёзное доказательство подделки, хотя успешная проверка мало что доказывает |
| Сильная спешка или угрозы | Средне | Типично для фишинга, но настоящие оповещения о безопасности тоже бывают срочными |
| Безличное обращение | Средне | Его используют массовые рассылки, а целевые обращаются по имени |
| Орфографические и грамматические ошибки | От низкого до среднего | Современный фишинг часто написан грамотно, а в настоящих письмах бывают опечатки |
| Логотип или вёрстка выглядят странно | Низко | Скопировать оформление бренда можно за минуты |
Обратите внимание: верх таблицы — это про адрес назначения и просьбу, а низ — про внешний вид. Самое полезное изменение в мышлении — перестать спрашивать «похоже ли это на настоящее?» и начать спрашивать «чего это письмо от меня хочет и как это проверить, не пользуясь самим письмом?»
Как правильно читать ссылку
Если вы освоите из этой статьи один технический навык, пусть это будет именно этот, ведь видимый текст ссылки и её настоящий адрес — совершенно разные вещи. Кнопка «Войдите в свой аккаунт» может вести куда угодно. На компьютере наведите курсор на ссылку, не нажимая, и прочитайте адрес в строке состояния или во всплывающей подсказке. На телефоне нажмите на ссылку и удерживайте, чтобы увидеть предпросмотр, а затем отмените переход.
Большинство людей читают веб-адреса слева, и злоумышленники на это рассчитывают. Принадлежность определяется правым концом имени хоста: зарегистрированным доменом с окончанием, прямо перед первой одиночной косой чертой. Всё слева от него — поддомен, и владелец может назвать его как угодно. Всё после косой черты — путь, и там тоже можно написать что угодно. Возьмите четыре примера, из которых второй, третий и четвёртый вымышленные:
https://accounts.google.com/signinпринадлежит Google, потому что домен здесьgoogle.com.https://accounts.google.com.secure-login.example/signinпринадлежитsecure-login.example. Название бренда — всего лишь поддомен.https://secure-login.example/accounts.google.com/тоже принадлежитsecure-login.example, а бренд стоит в пути.https://www.paypal.com@203.0.113.7/использует старый трюк. Всё до знака@считается именем пользователя, а настоящий адрес назначения — IP-адрес после него.
Ещё несколько видов ссылок должны вас замедлить. Сервисы сокращения ссылок в письме от крупного бренда выглядят странно: ему незачем прятать собственный домен. Ссылки на конструкторы форм или файлообменники с просьбой «войти, чтобы посмотреть документ» очень любимы мошенниками, потому что фишинговые страницы часто размещают на настоящих облачных платформах. Поэтому известное название хостинга в адресе не означает, что страница безопасна. Вопрос в том, принадлежит ли домен организации, с которой вы, как вам кажется, имеете дело.
Значок замка тоже не помогает ни в ту, ни в другую сторону. HTTPS говорит лишь о том, что соединение зашифровано, а бесплатные сертификаты доступны всем, в том числе преступникам. Поддельная страница банка со значком замка — это зашифрованное соединение с вором.
Остерегайтесь и международных двойников. В доменах могут использоваться символы других алфавитов, неотличимые от латинских букв, например кириллическая «а» вместо латинской «a». Браузеры часто показывают такие адреса в закодированном виде, начинающемся с xn--, и если вы видите этот префикс там, где ожидали знакомый бренд, это полезный признак.
Как читать отправителя
Почтовые приложения крупно показывают отображаемое имя и часто скрывают адрес, а отображаемое имя — произвольный текст, который выбирает отправитель. Письмо с подписью «Команда учётных записей Microsoft» может прийти с постороннего домена или с первого попавшегося взломанного ящика. На компьютере наведите курсор на имя или нажмите на него. На телефоне коснитесь, чтобы развернуть. Затем посмотрите на часть после @, держа в голове такие приёмы (домены здесь приведены для примера):
- Подмена символов, например
rnвместоmили цифра1вместо буквыl. - Добавленные слова, например
netflix-billing.example. Бренды редко используют названия с дефисом для писем об аккаунте. - Другое окончание, например
yourbank.coтам, где вы ожидаетеyourbank.com. - Бесплатный личный ящик, выдающий себя за банк, юридическую фирму или вашего генерального директора.
Затем проверьте адрес для ответа. В письме может стоять правдоподобная строка «От», а в Reply-To указан ящик злоумышленника, и ваш ответ уйдёт в другое место. Многие приложения показывают адрес назначения, когда вы нажимаете «Ответить», поэтому посмотрите, прежде чем отправлять.
У проверки отправителя есть чёткое ограничение: она ничего не говорит о перехваченных аккаунтах. Если настоящий ящик коллеги или поставщика захвачен, адрес будет безупречным. Тогда единственный сигнал — сама просьба, и это подводит нас к следующему пункту.
Просьбы, с которыми честный отправитель по почте не обращается
Некоторые просьбы подозрительны независимо от того, насколько хорошо выглядит остальное письмо. Ваш пароль или PIN-код. Одноразовый код, который вы только что получили по SMS или в приложении. Полный номер карты с кодом безопасности. Оплата подарочной картой или криптовалютой или перевод на новый счёт. Удалённый доступ к вашему компьютеру из-за проблемы, о которой вы не сообщали. Конфиденциальные файлы или данные сотрудников, отправленные на сторонний адрес «для аудита».
Просьбу о коде стоит понять отдельно, потому что она кажется такой безобидной. Злоумышленник, у которого уже есть ваш пароль, запускает вход, и вам приходит настоящий код от настоящего сервиса. Затем он пишет вам, представляясь службой поддержки, и просит «подтвердить» этот код. Любой, кто просит назвать полученный вами код, пытается войти в ваш аккаунт.
Прикрываются и государственными органами. Налоговая служба США (IRS), например, заявляет, что не начинает общение с налогоплательщиками по электронной почте с просьбой сообщить личные или финансовые сведения, и во многих других странах налоговые органы публикуют похожие предупреждения. Если вы думаете, что возврат или штраф могут быть настоящими, введите адрес ведомства сами и войдите там.
Почему даже осторожные люди попадаются
Фишинг нацелен скорее на поведение, чем на программы. Хорошо составленные письма стремятся вызвать быструю эмоциональную реакцию, чтобы вы сначала действовали, а потом думали. Самый очевидный рычаг — спешка («аккаунт будет закрыт через 24 часа»), затем страх («необычный вход», «готовится судебный иск») и авторитет, когда в качестве отправителя выступает руководитель, банк или служба IT-поддержки. Работают и награда с любопытством: возвраты, призы, «узнайте, кто смотрел ваш профиль». А ещё обычная готовность помочь, например когда коллеге срочно нужно проверить файл.
Самым сильным фактором может быть рутина. Поддельный счёт, уведомление о доставке или документ в общем доступе выглядят как десятки настоящих, с которыми вы имеете дело каждую неделю, а меньше всего мы внимательны к тому, что делаем на автопилоте. Поэтому цель — не подозревать каждое письмо, этого никто не выдержит. Цель — заметить момент, когда письмо просит о чём-то важном, и в этот момент перейти от реакции к проверке.
Виды атак и что каждая из них меняет
Названия важны меньше, чем понимание того, как каждый вариант влияет на изложенные выше советы. Некоторые из них обходят обычные проверки.
| Тип | Что это | Что меняется для вас |
|---|---|---|
| Массовый фишинг | Типовое письмо огромным спискам, например про заполненный ящик или застрявшую посылку | Самый простой для обнаружения, потому что редко подходит к вашей жизни |
| Целевой фишинг (spear phishing) | Составлен лично для вас, с именами и подробностями из соцсетей или утечек | Личные подробности ничего не доказывают |
| Китобойный фишинг (whaling) | Целевой фишинг, направленный на руководителей или тех, кто распоряжается деньгами | Высокая должность делает вас мишенью |
| Компрометация деловой почты | Выдача себя за руководителя, поставщика или коллегу либо захват их ящика, чтобы перенаправить деньги | Часто нет ни ссылки, ни вложения, поэтому сканеры ничего не видят |
| Клонирующий фишинг | Настоящее прежнее письмо копируется и отправляется снова с подменённой ссылкой или файлом | Знакомое содержание ничего не доказывает |
| Перехват переписки | Ответ внутри настоящего разговора из взломанного ящика | Проверка отправителя проходит |
| Квишинг | Вместо ссылки используется QR-код | Переносит вас на телефон, в обход защиты на компьютере и сканеров ссылок |
| Фишинг согласия | Вредоносное приложение просит доступ на настоящем экране «Разрешить» | Пароль не крадут, а страница входа настоящая |
| Фишинг с обратным звонком | Поддельный счёт или продление содержит номер телефона, по которому нужно позвонить | Нечего нажимать, мошенничество происходит во время звонка |
| Фишинг с кодом устройства | Вас просят ввести код на настоящей странице входа, и это авторизует устройство злоумышленника | Проверка домена проходит, поэтому подсказка — неожиданная просьба |
К последним трём стоит добавить по одному практическому совету. Читайте список разрешений на любом экране «Разрешить доступ» и отказывайте, если неизвестное приложение хочет читать вашу почту. Никогда не звоните по номеру из неожиданного счёта. И никогда не вводите код на странице входа только потому, что вам так сказали в письме или чате, если только вы сами не начали этот процесс на устройстве, которое у вас перед глазами.
Примеры писем с разбором
Все примеры ниже придуманы на основе широко описанных схем. Имена и домены вымышлены.
Пример: документ в общем доступе
Только пример
От: "Jordan (via Docs)" <jordan.m@partnerfirm-mail.example>
Тема: Jordan предоставил(а) вам доступ к файлу «График платежей, 3 кв.»
Открыть в Документах
Письмо подражает уведомлению о доступе, но отправитель — посторонний адрес, который вы не знаете, а кнопка ведёт на страницу, запрашивающую пароль от вашей почты, часто с рядом логотипов почтовых сервисов. Настоящие уведомления приходят с домена самой платформы и открываются в сеансе, где вы уже вошли. Если вы знаете человека по имени Jordan, спросите его. В любом случае не вводите пароль на странице, на которую попали из письма о «файле в общем доступе».
Пример: новый банковский счёт поставщика
Только пример
От: "Accounts Receivable" <ar@supplier-co.example>
Тема: RE: Счёт 4471
Обратите внимание: наши банковские реквизиты изменились в связи с аудитом. Просим использовать новые реквизиты из вложения для этого и всех будущих платежей. Оплата просрочена, поэтому проведите её сегодня.
Ссылки здесь может не быть, а письмо может прийти из настоящего взломанного ящика поставщика внутри настоящей переписки. Все технические проверки могут пройти. Тревожный сигнал — сама просьба: смена платёжных реквизитов по почте, да ещё срочно. Прежде чем что-либо платить, позвоните поставщику по номеру, который у вас уже есть, а не по тому, что указан в письме или подписи. Если деньги уже ушли, немедленно позвоните в банк и спросите об отзыве платежа, а в США сообщите об этом на ic3.gov.
Пример: плата за посылку
Только пример
Тема: Ваша посылка задержана: не оплачен таможенный сбор
Мы пытались доставить вашу посылку. Для повторной доставки нужен небольшой сбор. Оплатите сейчас, чтобы посылку не вернули отправителю.
Небольшая сумма притупляет бдительность, а цель — полные данные вашей карты, которыми затем можно воспользоваться для более крупного мошенничества. Отслеживайте доставки по номеру на странице заказа в магазине или в официальном приложении службы доставки.
Пример: руководитель, который «на совещаниях»
Только пример
От: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Тема: небольшая услуга
Вы на месте? Мне нужно, чтобы вы незаметно решили один вопрос для клиента. Я на совещаниях, поэтому только по почте.
Личный ящик, просьба о секретности и «только по почте» вместе образуют знакомую схему, а следом обычно просят коды подарочных карт или перевод. В самом письме нечего сканировать. Свяжитесь с руководителем через корпоративный справочник, чат или телефон и сообщите в IT-отдел.
Пример: QR-код
Только пример
Тема: Требуется обновить многофакторную аутентификацию
Срок действия ваших настроек MFA истекает сегодня. Отсканируйте QR-код ниже телефоном, чтобы зарегистрироваться заново.
Настройки многофакторной аутентификации по почте не истекают. Код переносит вас на телефон, где адрес сложнее проверить, а корпоративная защита может не действовать. Не сканируйте его. Уточните у IT-отдела или откройте настройки безопасности аккаунта напрямую.
Пример: возврат налога
Только пример
Тема: Вам положен возврат налога
По итогам ежегодного расчёта вашей деятельности вам положен возврат. Отправьте форму в течение 48 часов.
Неожиданный подарок плюс форма с запросом удостоверяющих данных и данных карты. Перейдите на официальный государственный портал, набрав его адрес самостоятельно, или позвоните по опубликованному номеру ведомства.
Пример: оповещение об аккаунте, отчасти правдивое
Только пример
От: "Account Security" <no-reply@secure-acct-center.example>
Тема: Требуется действие: необычная активность при входе
Мы обнаружили попытку входа с нового устройства. Чтобы ваш аккаунт остался активным, подтвердите личность в течение 24 часов. [Подтвердить]
Настоящие сервисы действительно присылают оповещения о входе, поэтому эта категория требует большей осторожности, чем остальные. Здесь домен безликий, а письмо даже не называет сервис. Не рассуждайте об этом, оставаясь внутри письма. Откройте приложение сервиса или наберите его адрес и посмотрите страницу недавней активности. Если там ничего нет, письмо было поддельным. Эта привычка работает и для настоящих оповещений, ведь они тоже там появятся.
Проверка заголовков, когда нет уверенности
В заголовках хранятся технические сведения о том, откуда пришло письмо. В Gmail откройте меню с тремя точками и выберите Показать оригинал: сверху вы увидите ещё и краткую сводку. В веб-версии Outlook выберите Просмотр, Просмотреть источник сообщения. В Apple Mail выберите Вид, Сообщение, Все заголовки.
За результатами, которые вы увидите, стоят три стандарта. SPF позволяет домену публиковать, каким серверам разрешено отправлять его почту, а получатель сверяет отправляющий сервер с этим списком. DKIM добавляет криптографическую подпись, которую проверяют по открытому ключу в DNS подписывающего домена; она показывает, что подписанные части не изменены и что домен взял на себя ответственность. DMARC связывает эти проверки с доменом в видимой строке «От» (это свойство называется выравниванием) и сообщает получателям, что делать при неудаче: ничего, отправить в карантин или отклонить. С 2024 года Google и Yahoo требуют от массовых отправителей публиковать запись DMARC, из-за чего такие результаты стали встречаться чаще.
Найдите строку, которая начинается с Authentication-Results:. Она может выглядеть так, в вымышленном примере:
Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example
Здесь все проверки пройдены и все домены совпадают. Поддельное письмо может показать dmarc=fail или успешную проверку для совершенно другого домена, не того, что в строке «От». Как понимать увиденное, показывает эта таблица.
| Результат | Что он означает | Чего он не означает |
|---|---|---|
| DMARC пройден для настоящего домена бренда | Отправлено самим доменом или от его имени | Не исключает взломанный аккаунт в этой компании |
| DMARC пройден для домена-двойника | Злоумышленник владеет этим доменом и правильно его настроил | Письмо небезопасно, и в фишинге это обычное дело |
| DMARC не пройден для домена бренда | Серьёзный признак подделки или пересылка, нарушившая проверку | Списки рассылки и пересылка иногда ломают настоящие письма |
| Записи DMARC нет | Домен не опубликовал политику | Сам по себе ничего не доказывает, но подделать такой домен проще |
Вывод в том, что проверка подлинности говорит о том, кто отправил письмо, а честность — отдельный вопрос. Письмо с идеальными результатами с домена bank-resolution-center.example всё равно остаётся фишингом. Нужная вам комбинированная проверка такова: прошедший проверку домен должен быть тем, за кого вы его принимаете.
Строки Received: фиксируют каждый сервер на пути письма, самый новый сверху. Они могут показать, что письмо «местного банка» началось на постороннем сервере, но всё ниже точки, где письмо принял ваш провайдер, может быть подделано, поэтому доверяйте только записям, добавленным серверами вашего провайдера. Большинству людей достаточно строки проверки подлинности и проверки домена.
Вложения и изображения в фишинговом письме
Вложения доставляют вредоносные программы или ведут на поддельную страницу входа. Больше всего осторожности требуют архивы и образы дисков вроде .zip, .rar, .7z, .iso и .img, HTML-файлы, открывающие локальную поддельную страницу входа, документы Office, просящие «Включить содержимое» или «Включить редактирование», двойные расширения вроде invoice.pdf.exe, скрипты и ярлыки, например .js, .vbs, .lnk и .bat, а также PDF, в которых только кнопка или QR-код. Как оценить каждый тип и как открыть сомнительный файл с меньшим риском, объясняет наше руководство по безопасности вложений.
Изображения действуют тише. Внешняя картинка может сообщить отправителю, что ваш адрес действует, так и составляют списки «проверенных» адресов. Как это работает и какие настройки это останавливают, мы объясняем в статье об отслеживающих пикселях в письмах. Это небольшая причина настроить почтовое приложение так, чтобы оно спрашивало перед показом внешних изображений.
Особая осторожность на телефоне
На телефоне всё это сложнее. Экран маленький, адреса по умолчанию скрыты, а для предпросмотра ссылки нужно долгое нажатие. Несколько привычек помогут это компенсировать. Прежде чем доверять письму, коснитесь имени отправителя, чтобы увидеть адрес. Нажимайте на ссылки и удерживайте, а не просто касайтесь. Для банков, магазинов и соцсетей открывайте официальное приложение, а не переходите по чему-либо из письма. К QR-кодам в письмах относитесь с особым недоверием, ведь вы сканируете их тем же устройством, на котором читаете. Если камера показывает предпросмотр адреса перед открытием, читайте его так же, как любую ссылку.
Те же приёмы приходят и по SMS и в мессенджерах, это обычно называют смишингом, а следом за письмом может последовать телефонный звонок, чтобы оно выглядело убедительнее, это называется вишингом. Звонящий, упомянувший письмо, которое вы только что получили, ничего не подтвердил, ведь письмо мог отправить он сам. Положите трубку и позвоните по номеру, который у вас уже есть.
Что делать с подозрительным письмом
- Не нажимайте, не скачивайте, не сканируйте код и не отвечайте. Ответ с вопросом «это правда?» попадёт к злоумышленнику, который скажет «да».
- Проверьте адрес отправителя и адреса назначения ссылок так, как описано выше.
- Проверьте независимо. Откройте официальное приложение или наберите адрес. Позвоните по номеру на обороте карты, на счёте, который у вас уже есть, или из справочника компании.
- Сообщите своему почтовому сервису. В Gmail в меню с тремя точками есть пункт Сообщить о фишинге. В Outlook в меню Сообщить выберите Фишинг. На работе нажмите кнопку жалобы или следуйте указаниям службы безопасности и не пересылайте письмо коллегам с вопросом, это распространяет приманку.
- Сообщите организации, от имени которой писали, если она публикует адрес для жалоб на фишинг на своей странице безопасности. Apple, например, использует reportphishing@apple.com.
- Воспользуйтесь государственной службой приёма жалоб, если она есть. В Великобритании Национальный центр кибербезопасности принимает пересланные письма по адресу report@phishing.gov.uk. В США FTC принимает сообщения на reportfraud.ftc.gov. Рабочая группа по борьбе с фишингом (Anti-Phishing Working Group) принимает пересланные письма по адресу reportphishing@apwg.org. В других странах работают похожие службы, обычно через ведомство по защите прав потребителей или борьбе с киберпреступностью.
- Удалите письмо после того, как пожаловались.
Если вы уже нажали на ссылку
Это случается часто и обычно поправимо. Не позволяйте неловкости тормозить вас: здесь скорость важнее всего. Найдите ниже случай, подходящий к тому, что произошло.
Вы нажали и ничего не ввели
Закройте вкладку и ничего не скачивайте с предложенной страницы. Проверьте, что браузер и система обновлены, и запустите проверку на вирусы, если что-то скачалось само. Ждите новых писем, потому что клик мог подтвердить, что ваш адрес читают. В большинстве случаев на этом всё заканчивается.
Вы ввели пароль
- Перейдите на настоящий сайт, набрав его адрес, и сразу смените пароль.
- Смените его везде, где использовали такой же или похожий пароль. Если украденный пароль был от почты, действуйте срочно, ведь через почту сбрасывается всё остальное.
- Завершите другие сеансы. В аккаунте Google на странице безопасности можно просмотреть Ваши устройства и выйти на всех незнакомых, а сведения Последние действия в аккаунте внизу ящика Gmail показывают недавние входы. В других сервисах есть похожая функция.
- Включите двухфакторную аутентификацию, желательно с ключом доступа (passkey), ключом безопасности или приложением-аутентификатором.
- Поищите изменения, которые мог внести злоумышленник: резервный адрес и телефон, правила пересылки и фильтры, подключённые приложения, незнакомые устройства.
- Если это рабочий аккаунт, немедленно сообщите в IT-отдел. Злоумышленники нередко используют захваченный ящик, чтобы за считаные часы рассылать фишинг вашим коллегам.
Очистку паролей подробнее разбирает наше руководство о том, что делать после утечки данных, ведь шаги пересекаются.
Вы ввели код или подтвердили запрос
Считайте, что у злоумышленника может быть действующий сеанс. Смените пароль, завершите все сеансы, проверьте настройки безопасности и для рабочего аккаунта предупредите IT-отдел. Современные наборы «противник посередине» передают ваш вход на настоящий сайт, пока вы его вводите, и перехватывают файл cookie сеанса, который при этом появляется. Поэтому одних одноразовых кодов недостаточно, чтобы их остановить.
Вы ввели платёжные данные
Немедленно позвоните в банк или эмитенту карты по номеру на карте. Попросите заблокировать карту и следить за мошенническими операциями, а в ближайшие недели проверяйте выписки. Если вы вводили и данные, удостоверяющие личность, узнайте, что предлагает ваша страна. В США IdentityTheft.gov даёт план восстановления, а заморозку кредитной истории можно оформить в кредитных бюро.
Вы открыли вложение или включили макросы
Если подозреваете вредоносную программу, отключите устройство от сети, выполните полную проверку, а на работе сначала свяжитесь с IT-отделом. Важные пароли меняйте с другого, чистого устройства.
Вы дали приложению доступ
Откройте настройки безопасности аккаунта, найдите список сторонних приложений с доступом и удалите незнакомое. Одна смена пароля может не отрезать приложение, которому доступ уже выдан, поэтому сначала удаление. Затем в качестве меры предосторожности смените пароль и проверьте правила в ящике.
Как настроить всё так, чтобы одна ошибка стоила меньше
Вы не заметите всё и всегда, особенно в тяжёлый день. Хорошие настройки по умолчанию делают так, что одна оплошность наносит меньше вреда, а некоторые из них частично берут распознавание на себя.
Самые надёжные из них — ключи доступа (passkeys) и аппаратные ключи безопасности. CISA, американское агентство по кибербезопасности, называет многофакторную аутентификацию, устойчивую к фишингу, золотым стандартом и указывает FIDO и WebAuthn как её широко доступную форму. Эти учётные данные привязаны к настоящему домену, поэтому на поддельном сайте они просто не сработают, даже если он идеальная копия. Приложения-аутентификаторы останавливают большинство атак, нацеленных только на пароль, но слабее против ретрансляции в реальном времени, так что это хороший шаг, а не последний. Если ваш банк или почтовый сервис предлагает ключи доступа, их включение — пожалуй, самое ценное, что вы можете сделать после прочтения этой статьи.
Менеджер паролей даёт вторую, более тихую проверку. Он хранит точный домен для каждого пароля. Когда вы попадаете на страницу-двойник и он не предлагает сохранённый вход, это молчание — предупреждение, и оно срабатывает на страницах, неотличимых до пикселя. Не обходите его копированием и вставкой пароля. Есть небольшая оговорка: менеджеры паролей иногда не узнают настоящий сайт, сменивший домен входа. Поэтому молчание означает «остановитесь и перейдите на сайт, набрав его адрес», а не «это точно подделка».
| Защита | Что она делает | Усилия |
|---|---|---|
| Ключи доступа или аппаратные ключи | Останавливают фишинг учётных данных и ретрансляцию в реальном времени, потому что учётные данные привязаны к настоящему домену | От низких до средних |
| Менеджер паролей с автозаполнением | Отказывается заполнять поля на поддельных доменах и не даёт повторно использовать пароли | Низкие после настройки |
| Приложение-аутентификатор | Останавливает большинство атак, нацеленных только на пароль | Низкие |
| Защита в браузере | Safe Browsing в Chrome и SmartScreen в Edge предупреждают о многих известных опасных страницах | Обычно уже включена |
| Обновления программ | Закрывают уязвимости, которыми пользуются вредоносные файлы и страницы | Низкие |
| Видимые расширения файлов | Разоблачают трюки с двойным расширением | Одна настройка |
| Запрос перед загрузкой внешних изображений | Не даёт многим пикселям подтвердить ваш адрес | Одна настройка |
| Письменное правило обратного звонка при смене платёжных данных | Останавливает большинство мошенничества со счетами, как бы ни выглядело письмо | Изменение процесса |
| Ограничение числа мест, где известен ваш настоящий адрес | Он реже попадает в списки и утечки | Привычка |
Для компании правило обратного звонка — то, что нужно записать. Рекомендации ФБР по компрометации деловой почты и советы банковской отрасли сходятся в главном: подтверждайте любое изменение платёжных инструкций вне электронной почты, по номеру, который у вас уже есть. Оно работает потому, что не зависит от того, заметит ли кто-то что-либо, и даёт младшему сотруднику повод сказать «мне сначала нужно позвонить» тому, кто выдаёт себя за его начальника.
Как не пускать основной адрес в списки
Фишеры пишут на адреса, которые купили, собрали или взяли из утечек. Каждый раз, когда вы отдаёте настоящий адрес сайту, которому мало доверяете, есть шанс, что он окажется в таком списке. Отдельный адрес для разовых регистраций сокращает число атак на основной ящик, а оставшиеся письма становится легче оценивать: письмо про ваш банк, пришедшее на адрес, который вы давали только банку, значит больше.
Временный ящик — один из вариантов для самого низкого уровня, если это допускают правила сайта. В VookMail адрес готов при загрузке страницы, без регистрации и пароля. Можно нажать Новый, ввести имя пользователя и выбрать один из более чем 30 доменов, либо нажать жёлтую кнопку «Случайный», чтобы получить случайный адрес: это более безопасный выбор, потому что любой, кто знает или угадает адрес, может открыть этот ящик. Письма и вложения удаляются примерно через сутки, поэтому если на этот адрес позже придёт фишинг, он окажется там, где никак не связан с вашим банком, работой и основными аккаунтами.
Это подходит для скачивания материала, одного вопроса на форуме или проверки формы, которая принадлежит вам. Это не подходит для аккаунтов, которые нужно сохранить или восстановить, и никогда для банковских, государственных, медицинских, рабочих и основных аккаунтов в соцсетях. В разделе вопросов и ответов описано уместное использование, а политика конфиденциальности объясняет, как обрабатывается входящая почта.
Признаки опасности действуют в любом ящике, в том числе в одноразовом. Более того, временный адрес даёт удобный тест: если письмо на него просит войти в ваш настоящий банковский или почтовый аккаунт, это почти наверняка фишинг, ведь этим сервисам вы такой адрес не давали.
Заблуждения, которые помогают злоумышленнику
- «Там есть замок». Это значит «зашифровано», а не «честно».
- «Логотип и название правильные». И то и другое копируется без труда.
- «Грамматика безупречна». Многие рассылки теперь написаны хорошо.
- «Я просто позвоню по номеру из письма». Этот номер может вести прямо к злоумышленнику.
- «Оно пришло с настоящего адреса моего коллеги». Аккаунты захватывают, поэтому просьбу всё равно нужно проверить.
- «Я нажал, но сообщить в IT было бы неловко». Молчание даёт злоумышленникам больше времени и обычно оказывается самым дорогим выбором.
- «У меня нечего красть». Ваш ящик может сбросить другие ваши аккаунты и служить для фишинга ваших контактов.
Контрольный список для письма перед вами
Когда письмо просит вас что-то сделать, эти вопросы займут меньше минуты. Если любой ответ вас тревожит, остановитесь и проверьте другим путём.
- Ждал(а) ли я это письмо?
- Принадлежит ли настоящий адрес отправителя организации, за которую он себя выдаёт?
- Куда на самом деле ведут ссылки, если читать домен справа?
- Просит ли оно пароль, код, оплату или файл?
- Давит ли оно спешкой, страхом, секретностью или наградой?
- Есть ли неожиданное вложение, QR-код или просьба «включить содержимое»?
- Узнаёт ли мой менеджер паролей страницу входа?
- Можно ли проверить это, открыв приложение или позвонив по известному номеру?
Вопросы о фишинге
Можно ли взломать меня, просто открыв фишинговое письмо?
При обновлённом почтовом приложении открытие письма, как правило, малорискованно. Опасность — в нажатии на ссылки, вводе учётных данных, открытии вложений, включении макросов или ответе с информацией. Открытие может подтвердить, что адрес действует, если загружаются изображения, и это одна из причин блокировать внешние картинки.
Почему фишинговые письма проходят спам-фильтры?
Злоумышленники регистрируют новые домены, отправляют письма из взломанных настоящих аккаунтов, размещают страницы на надёжных облачных сервисах и постоянно меняют формулировки. Некоторый фишинг даже проходит SPF, DKIM и DMARC, потому что приходит с домена, который злоумышленник действительно контролирует.
Всегда ли фишинговые письма полны ошибок?
Нет. Многие написаны грамотно и неотличимы от настоящих писем брендов. Уделяйте внимание техническим признакам и тому, что именно просят сделать.
Настоящая компания прислала мне ссылку с просьбой войти. Это всегда фишинг?
Нет. Компании действительно присылают настоящие ссылки, и вход может быть подлинным. Безопасная привычка подходит для обоих случаев: выйдите из письма, откройте сервис сами и посмотрите, требует ли что-то вашего внимания. В худшем случае вы потеряете несколько секунд.
Защищает ли меня одноразовый адрес от фишинга?
Он снижает риск. Фишинг, нацеленный на такой адрес, попадает в ящик, не связанный с вашими настоящими аккаунтами, и удаляется примерно через сутки. Для писем, приходящих в основной ящик, он ничего не даёт, поэтому описанные выше проверки там по-прежнему нужны.