Что такое фишинговое письмо и зачем его присылают
Фишинговое письмо выдаёт себя за банк, маркетплейс, госуслуги или коллегу, чтобы получатель сам сделал нужное отправителю: ввёл пароль на поддельной странице, открыл вложение, продиктовал код из SMS или перевёл деньги. Уязвимость в программах здесь не нужна — атака идёт через человека, поэтому фишинг относят к социальной инженерии.
Читайте также: ChatGPT: что это такое простыми словами и зачем он нужен, Двухфакторная аутентификация Fortnite: как включить и что выбрать.
Массовые письма «ваша посылка задержана» рассчитаны на количество. Целевые (spear phishing) пишут под конкретного человека: называют его имя, руководителя, проект. Отдельный вид — BEC, когда от имени директора или поставщика просят оплатить счёт на новые реквизиты. Такое письмо может прийти с реально взломанного ящика, и проверка домена ничего не покажет.
Работает это на срочности, страхе потерять доступ или деньги и на ожидании: если вы ждёте возврат или доставку, письмо на эту тему прочитаете внимательнее. При этом не каждое странное письмо — фишинг: кривая рассылка магазина выглядит похоже, но пароль не выманивает.
Как отличить подделку: что проверить до клика
Начинайте с отправителя, а не с текста. Смотрите полный адрес: имя «Сбербанк» может стоять рядом с адресом support@sber-online-help.top. Домен читается справа налево, владелец — то, что стоит перед зоной: sberbank.ru.login-verify.com принадлежит владельцу login-verify.com, а не Сбербанку.
- Ссылка. Наведите курсор (на телефоне — долгое нажатие) и прочитайте домен до первого одиночного слэша. Кнопка «Войти» с чужим доменом или сокращателем вроде bit.ly — повод не нажимать.
- Тон. Угрозы блокировки, «осталось 24 часа», «подтвердите данные» вместо информации.
- Запрос того, что у сервиса уже есть. Пароль, CVV, код из SMS не спрашивают ни банки, ни поддержка.
- Вложения. Опасны .exe, .scr, .js, .iso, .html и документы с макросами (.docm). Архив с паролем, указанным в самом письме, — способ обойти сканер.
- Несовпадения. Письмо «от бухгалтерии» с внешнего домена, другой адрес для ответа, обращение «Уважаемый клиент» там, где сервис знает ваше имя.
В рабочей почте смотрят и служебные заголовки: результаты SPF, DKIM и DMARC показывают, имел ли отправитель право писать от этого домена. Провал проверки — сильный признак подделки. Обратное неверно: прошедшие проверки не гарантируют безопасность, письмо могло уйти со взломанного ящика или с бесплатного хостинга.
Просьбу перевести деньги, сменить реквизиты или выдать доступ подтверждайте по телефону, номер которого вы знаете заранее, — не по номеру из подписи письма.
| Признак | О чём говорит |
|---|---|
| Домен отправителя не совпадает с компанией | Почти всегда подделка: легитимные рассылки идут с поддоменов своей зоны |
| Ссылка ведёт на чужой домен или сокращатель | Адрес назначения не проверить — заходите в сервис вручную |
| Вложение .exe, .js, .iso | В деловой переписке не встречается |
Что делать, если письмо открыто или данные введены
Открытие текста обычно ничем не грозит: риск начинается при переходе по ссылке, запуске вложения и вводе данных. Если поняли, что попались, действуйте по порядку — первые минуты важнее попыток разобраться в одиночку.
- Ввели пароль — смените его с другого устройства, завершите все активные сессии («Выйти на всех устройствах»), включите двухфакторную аутентификацию.
- Проверьте правила пересылки и фильтры, которых вы не создавали, подключённые приложения и токены доступа, адрес восстановления.
- Вводили данные карты — блокируйте её через приложение банка и заказывайте новую.
- Запустили вложение — отключите устройство от сети и передайте его в ИБ или специалисту.
- Сообщите в ИБ или поддержку сервиса; коллегам отправьте скриншот, а не само письмо.
Если деньги уже ушли, звоните в банк сразу — часть переводов удаётся приостановить, пока они не дошли получателю. Заявление в полицию нужно для разбора и компенсации.
Как снизить риск: настройки и привычки
Самый ощутимый барьер — двухфакторная аутентификация в виде, который нельзя перехватить вводом кода на поддельной странице. Приложения-аутентификаторы и аппаратные ключи FIDO2 привязаны к домену, поэтому на копии сайта код не сработает. SMS слабее: код перехватывают подменой SIM-карты, а введённый на фейковой странице одноразовый код мошенник успевает использовать сразу.
- Менеджер паролей не подставит сохранённый пароль на домене-двойнике и этим подаст сигнал.
- Push и ключи: запрос, который вы не инициировали, — повод не подтверждать, а менять пароль.
- Защита браузера: Safe Browsing и SmartScreen предупреждают об известных фишинговых сайтах, но не о домене, созданном вчера.
- В компании: DMARC в режиме p=reject, проверка SPF и DKIM, блокировка макросов, подтверждение реквизитов поставщика по телефону.
У каждой меры есть цена. Аппаратный ключ теряется, и нужен резервный, иначе сотрудник останется без доступа; подрядчикам такая схема неудобна. Перевод домена сразу на p=reject ломает доставку писем, если через него отправляют CRM, рассылочный сервис или старый ERP: сначала собирают список отправителей, потом смотрят отчёты при p=none и только затем ужесточают. Обучение сотрудников тоже не гарантия — усталость и сезонные пики снижают внимательность, а часть атак приходит через мессенджеры и звонки (вишинг).
Вопросы, которые задают чаще всего
Может ли фишинг прийти с настоящего адреса знакомого? Да, если его ящик взломан: письмо уйдёт с правильного домена и пройдёт все проверки. Признак — нетипичная просьба, например срочно перевести деньги или открыть файл. Такое подтверждают звонком, а не ответом на письмо.
Опасно ли просто открыть письмо? Текст сам по себе — нет. Риск создают ссылки, вложения и внешние картинки, по которым отправитель понимает, что адрес живой. Не нажимайте «отписаться» в подозрительном письме — так вы подтверждаете активность ящика; помечайте его как спам.
Что делать, если письмо похоже на рассылку банка? Не проверяйте ссылку «на глаз» — откройте сайт через закладку и посмотрите уведомления в личном кабинете. Настоящее уведомление есть внутри сервиса, фишинговое — только в письме.
Достаточно ли антивируса? Нет. Он ловит известные вредоносные файлы, но не поддельную страницу входа и не вежливую просьбу «бухгалтера». Решение принимаете вы, глядя на домен и контекст.
Начните с двух вещей: включите двухфакторную аутентификацию через приложение или аппаратный ключ и заведите привычку читать домен отправителя и адрес ссылки до клика. Если вы отвечаете за почту в компании, займитесь DMARC и подтверждением реквизитов по телефону. Фильтры, антивирус и обучение снижают вероятность, но не заменяют эти действия.
