Фишинговое письмо за 30 секунд: семь примет, по которым его видно

«Ваш аккаунт заблокирован», «счёт к оплате», «служба безопасности». Семь простых примет, по которым поддельное письмо видно за полминуты, и что делать, если уже нажал.

Фишинговое письмо не обязано быть кривым. Времена «Дорогой друг, я принц и мне нужна ваша помощь» прошли: сейчас подделки пишут грамотно, с логотипом, подписью и даже ссылкой «отписаться от рассылки». Генераторы текста только помогли.

Хорошая новость: обмануть письмом можно, а обойти пару простых проверок — гораздо труднее. Вот семь примет. Хватит двух-трёх, чтобы насторожиться.

1. Срочность и страх

«Аккаунт будет удалён через 24 часа», «на вас подан иск», «последнее предупреждение перед блокировкой». Задача такого письма — чтобы ты нажал раньше, чем подумал.

Настоящие сервисы тоже присылают предупреждения, но почти никогда не требуют действовать «прямо сейчас, иначе всё». Чем громче паника — тем больше поводов остановиться.

ИнКа: Если письмо кричит «быстрее!», это самое время налить чаю. Настоящая проблема за пять минут чая не убежит. Поддельная — за пять минут теряет смысл.

2. Адрес отправителя, а не имя

Имя отправителя — просто подпись, её можно написать любую: «Госуслуги», «Служба безопасности», «Директор». Смотреть нужно на адрес — то, что после @.

Типичные фокусы:

• похожий домен: gosuslugi-ru.com, sberbank-online.info, bank.ru.secure-mail.net (чей это адрес, решают последние две части: здесь — secure-mail.net, а вовсе не bank.ru);
• подмена букв: rn вместо m, l вместо I, кириллическая «о» вместо латинской;
• бесплатная почта у «официального» отправителя: «банк» пишет с @gmail.com или @mail.ru.

В телефоне адрес часто спрятан — нажми на имя отправителя, он откроется.

3. Ссылка ведёт не туда, куда написано

Текст ссылки и её адрес — разные вещи. Можно написать «Войти в личный кабинет», а вести на что угодно.

На компьютере наведи мышь на ссылку и не нажимай — внизу окна браузера или почты покажется настоящий адрес. На телефоне — долгое нажатие покажет адрес без перехода.

Подозрительно, если:

• домен не совпадает с тем, от кого письмо;
• адрес начинается с IP-цифр: http://185.…;
• это сокращатель ссылок, когда сервису незачем ими пользоваться;
• в адресе есть @ — всё, что до него, браузер не считает адресом сайта.

Если ссылку хочется разобрать спокойно — вставь её в нашу Чистку ссылок или в «Это чей домен?»: первая развернёт переходники, вторая покажет, чей сайт на самом деле. Переходить по ссылке при этом не нужно. Целое письмо целиком — в «Письмо на стол»: подсветка этих же семи примет.

4. Просят то, что никогда не просят

Банк, Госуслуги, почта и работодатель никогда не просят прислать:

• код из СМС или из приложения;
• пароль целиком (или «первые и последние символы для проверки»);
• данные карты вместе с CVC;
• «подтвердить личность» фото паспорта в ответном письме.

Код из СМС — это ключ от двери. Его не показывают никому, даже тому, кто представился хозяином дома.

5. Вложение, которое хочет, чтобы его «включили»

Счёт в виде .zip, «документ» с расширением .html, .exe, .scr, .js, файл Word, который при открытии просит «Разрешить редактирование» и «Включить содержимое». Последнее — классика: так запускаются макросы, а вместе с ними — то, что в них спрятано.

Нормальному счёту не нужны макросы. Если документ без них «не отображается» — это не баг, это приглашение.

ИнКа: Файл Счёт_октябрь.pdf.exe — не PDF. Это программа, которая очень хочет казаться PDF. Windows по умолчанию прячет расширения — включи их показ в Проводнике: «Вид» → «Показать» → «Расширения имён файлов».

6. Обращение «уважаемый клиент» и чужие подробности

Сервис, с которым у тебя договор, обычно знает твоё имя. «Уважаемый пользователь», «Dear customer» — не доказательство подделки, но повод присмотреться.

Обратная ловушка — письмо, где слишком много правильных подробностей: твоя должность, имя начальника, название проекта. Это называют целевым фишингом: перед атакой собирают сведения из соцсетей и прошлых утечек. Правильные детали не делают письмо настоящим.

7. «Ответьте только мне» и смена реквизитов

Письмо от «директора»: срочно оплатить счёт, никому не говорить, на звонки не отвечаю — на совещании. Или от «поставщика»: у нас сменились реквизиты, платите на новый счёт.

Это одна из самых дорогих схем для организаций. Защита простая и скучная: подтвердить по другому каналу. Позвонить по номеру, который у тебя уже был, а не по указанному в письме. Написать в рабочий мессенджер. Зайти к коллеге.

Проверка за 30 секунд

1. Кто на самом деле прислал — адрес после @.
2. Куда ведёт ссылка — навести, но не нажимать.
3. Что просят — коды, пароли, деньги, «включить содержимое»?
4. Есть ли спешка и запрет кому-то говорить?

Сомневаешься — не переходи по ссылке из письма. Открой сайт сервиса сам, из закладок или набрав адрес, и посмотри, есть ли там это «срочное уведомление».

Если уже нажал

Без паники — всё ещё можно поправить.

• Только открыл страницу и ничего не вводил — закрой её. Обычно этого достаточно.
• Ввёл пароль — сразу смени его на настоящем сайте. И везде, где был такой же пароль. Подробно — в статье «Утекли пароли: что делать в первый час».
• Ввёл данные карты или код из СМС — звони в банк по номеру с обратной стороны карты, блокируй карту.
• Открыл вложение и что-то «включил» — отключи компьютер от сети и, если он рабочий, сразу скажи в ИТ или службу безопасности. Честно и быстро — это не стыдно, это правильно: чем раньше узнают, тем меньше ущерб.
• Письмо пришло на работу — перешли его в службу безопасности, даже если ничего не нажимал. Скорее всего, такое же получили коллеги.

ИнКа: Ошибиться может каждый — фишинг для этого и придуман. Плохо не нажать, а нажать и промолчать.