Признаки, которые видно, не открывая вложений
Имя отправителя в любом клиенте подставляется произвольно: строка «Сбербанк» или «Бухгалтерия» ничего не значит. Смотреть нужно на адрес целиком, особенно на домен после @. Если письмо якобы от банка, а домен — sber-online.support или sberbank.ru.pay-secure.com, это подделка: во втором случае настоящий домен — pay-secure.com, всё до него лишь поддомены.
Читайте также: Фишинг-атаки: как распознать и избежать утечки данных.
Похожие домены делают почти неотличимыми на глаз: меняют латинскую l на единицу, подставляют кириллические буквы (в слове аpple.com первая «а» может быть русской), добавляют -support, -secure, -online. Бывает и так, что домен настоящий, но чужой — у взломанного ящика знакомого адрес будет правильным.
- Просят ввести пароль, код из СМС, данные карты или «подтвердить доступ» по ссылке. Банки и крупные сервисы так не делают в письмах.
- Торопят: «доступ заблокируют в течение 24 часов», «платёж нужно подтвердить сегодня».
- Ответ уйдёт не туда: адрес в Reply-To отличается от отправителя.
- Вложение не того типа — .html, .iso, .img, .lnk, .js или архив с паролем, указанным в самом письме. Документ Office просит «включить макросы».
- Текст ссылки обещает личный кабинет, а ведёт на посторонний домен.
Опечатки и кривой перевод — слабый признак. Массовые рассылки давно собирают из готовых шаблонов с нормальным текстом, а целевые письма пишут без единой ошибки. Обратное тоже верно: письма от небольших компаний бывают косноязычными и при этом совершенно легитимными.
Как проверить письмо по шагам
- Не нажимайте ссылки и не открывайте вложения до проверки.
- Разверните адрес отправителя полностью — в мобильных клиентах для этого часто нужно нажать на имя.
- Посмотрите заголовки и результаты аутентификации. В Gmail это «Ещё» → «Показать оригинал», в Outlook — «Файл» → «Свойства» → «Заголовки Интернета». На телефоне проще открыть веб-версию ящика.
В заголовках ищите строку Authentication-Results:
Authentication-Results: mx.example.ru;
spf=pass smtp.mailfrom=bounce.example.net;
dkim=fail header.d=company.ru;
dmarc=fail header.from=company.ruЕсли dmarc=fail и dkim=fail при header.from домена, от имени которого написано письмо, письмо подделано. Обратное неверно: spf=pass означает лишь, что отправитель вправе отправлять почту с этого домена. Мошенники регистрируют свой домен, настраивают SPF и DKIM и спокойно проходят проверку — она подтверждает домен, а не добросовестность отправителя.
Ссылка. Наведите на неё курсор — адрес покажется внизу окна. В длинном URL домен — это последние две метки перед первым одиночным слешем; всё до символа @ — имя пользователя, а не домен. Если навести некуда, скопируйте ссылку в заметки, не открывая её.
Возраст домена. Через whois или RDAP видно дату регистрации. Домен, зарегистрированный несколько дней или недель назад, в письме от банка или госуслуг — почти наверняка фишинг. Регистратор может скрывать данные, тогда опирайтесь на остальные признаки.
Подтверждение по другому каналу. Просьбу о деньгах, реквизитах, доступах или срочном действии проверяют звонком по номеру не из письма: из справочника, с официального сайта, из договора. Спрашивать ответным письмом «это точно вы?» бессмысленно, если ящик уже взломан.
Если по ссылке уже перешли или ввели пароль
Меняйте пароль с другого устройства, а не с того, где открывали ссылку. Если этот же пароль стоит на других сервисах, меняйте и там: один пароль на почту, соцсети и магазины — типичная привычка, из-за которой утечка открывает всё сразу.
- Завершите все активные сеансы в настройках аккаунта.
- Проверьте правила пересылки и фильтры — злоумышленники добавляют скрытую копию исходящих писем.
- Проверьте способы восстановления: чужой телефон или резервный адрес нужно убрать.
- Отзовите доступ у незнакомых приложений в разделе разрешений аккаунта.
- Включите двухфакторную аутентификацию, по возможности не по СМС.
Смена пароля не всегда закрывает доступ: при фишинге через прокси-страницу крадут cookie активной сессии, и она работает до истечения срока. Поэтому завершение сессий — обязательный шаг, а не формальность.
Если вводили данные карты, звоните в банк сразу: у отзыва платежа есть ограниченное окно. Служебную почту — сообщите в ИБ или администратору, даже если ничего не произошло: по таким сообщениям блокируют рассылку для остальных.
Где проверка не спасает и что использовать вместо неё
Целевой фишинг часто идёт с настоящего адреса: злоумышленник взламывает ящик подрядчика или коллеги и пишет с него. Ни SPF, ни DKIM, ни DMARC здесь не помогут — письмо действительно отправлено с легитимного домена. Против этого работает только правило «адрес отправителя не доказывает личность, денежные поручения подтверждаем голосом».
Ручной разбор заголовков подходит не всем: в мобильном клиенте их не видно, а человеку без технического бэкграунда строки Authentication-Results ничего не говорят. Альтернативы, которые не требуют анализа писем:
- Менеджер паролей. Подставляет данные только на точном домене и просто не сработает на sber-online.support. От ручного ввода на поддельной странице не спасает, но убирает самый частый сценарий.
- Аппаратный ключ или passkey (FIDO2). Привязан к домену и не отдаст подпись поддельной странице, даже если она выглядит идентично настоящей.
- Настройки на стороне компании. DMARC с политикой reject на своём домене, изоляция ссылок, блокировка макросов, регламент обратного звонка для платежей.
- Отдельный ящик для регистраций. Основная почта реже попадает в утечки, а круг писем, требующих внимания, сужается.
Ограничения есть у каждой меры. Фильтры дают ложные срабатывания и пропускают целевые письма; DMARC защищает от подделки вашего домена, но не от похожих доменов и не от подмены имени отправителя; аппаратный ключ бесполезен там, где сервис его не поддерживает и остаётся только код из СМС.
Вопросы, которые возникают чаще всего
Можно ли узнать фишинг по ошибкам и странному переводу? Нет, это устаревший критерий. Ориентируйтесь на адрес отправителя, реальный адрес ссылки и характер просьбы — просят пароль, код или деньги.
Письмо пришло с адреса коллеги — значит, можно доверять? Нет. Ящик коллеги мог быть взломан, и тогда письмо отправлено по-настоящему с его адреса. Свяжитесь с ним другим способом — по телефону или в мессенджере, но не ответом на письмо.
Опасно ли просто открыть вложение, если ничего не запускать? Зависит от типа файла. PDF и HTML-файлы содержат ссылки, ведущие на фишинговые страницы; ISO, LNK и архивы с паролем внутри письма нужны именно для обхода антивируса. Открывать такие вложения на рабочем устройстве не нужно.
Помогут ли антивирус и встроенные фильтры? Частично. Они отсекают массовые рассылки и известные вредоносные файлы, но целевое письмо с текстом без вредоносного кода спокойно доходит до ящика.
Проверяйте почту по привычке, а не по настроению: разворачивайте адрес отправителя у любого письма, которое требует действия, не вводите пароли и карты по ссылкам из писем и завершайте сессии при малейшем подозрении. Для денежных и кадровых вопросов заведите правило подтверждать всё голосом по номеру не из письма — это закрывает те случаи, где технические проверки бессильны.
