Фишинг: как распознать поддельный сайт, письмо и сообщение

Фишинг — это попытка выманить у вас пароль, данные карты или код подтверждения, притворившись кем-то, кому вы доверяете: банком, магазином, службой доставки, другом. Это самый массовый способ мошенничества в интернете, и от него не спасают никакие технологии, кроме внимательности.

Как выглядит фишинг

Письма и сообщения

«Ваш аккаунт будет заблокирован через 24 часа — подтвердите данные».
«Посылка не может быть доставлена, оплатите 120 рублей».
«Вам начислен кешбэк, получите по ссылке».
Сообщение от «друга»: «Проголосуй за мою племянницу в конкурсе».

Поддельные сайты

Копии сайтов банков, маркетплейсов и сервисов доставки, на которых нужно «войти» или «оплатить». Внешне они почти не отличаются от настоящих.

Звонки

«Служба безопасности банка» сообщает о подозрительной операции и просит назвать код из СМС, чтобы «отменить» её.

Главные признаки подделки

Срочность и угроза. «Немедленно», «через час заблокируем», «последний шанс». Мошенникам нужно, чтобы вы действовали, не думая.
Странный адрес сайта. Лишние буквы, другие домены, дефисы: sberbank-online.co вместо настоящего адреса, ozon-dostavka.ru вместо ozon.ru.
Просьба ввести код из СМС или полные данные карты, включая код с обратной стороны.
Неожиданный выигрыш или выплата, за которую нужно «оплатить комиссию».
Ошибки и неаккуратность: опечатки, странное оформление, обращение «Уважаемый клиент» вместо имени.
Отправитель «почти правильный»: адрес почты с похожим доменом или номер телефона вместо названия банка.

Как проверить сайт

Посмотрите на адрес в адресной строке целиком, особенно на то, что идёт перед первым одиночным слешем.
Не доверяйте только замку в адресной строке: HTTPS-сертификат есть и у мошеннических сайтов. Замок означает только, что соединение зашифровано, но не то, что сайт настоящий.
Если сомневаетесь, закройте страницу и откройте сайт или приложение самостоятельно — из закладок или официального магазина приложений.

Правило, которое защищает почти всегда

Не действуйте по ссылке из сообщения. Если пишет банк, откройте приложение банка. Если пишет доставка, откройте сайт доставки вручную и введите трек-номер. Если звонят «из банка», положите трубку и перезвоните по номеру с обратной стороны карты.

Поможет ли VPN

VPN защищает канал связи: никто в общей сети не сможет подменить сайт или перехватить ваши данные по пути. Это важно в публичном Wi-Fi, где злоумышленник может подсунуть поддельную страницу, — подробнее здесь.

Но если вы сами перешли по фишинговой ссылке и ввели пароль, VPN этому не помешает — данные уйдут мошенникам по зашифрованному каналу. Поэтому VPN и внимательность работают только вместе.

Что делать, если вы попались

Сразу смените пароль на настоящем сайте и везде, где использовался такой же.
Заблокируйте карту, если вводили её данные, — в приложении банка или по телефону.
Завершите все активные сеансы в настройках аккаунта.
Включите двухфакторную защиту, если её не было, — инструкция здесь.
Предупредите знакомых, если мошенники получили доступ к вашему мессенджеру или почте: от вашего имени могут рассылать такие же ссылки.

Итог

Фишинг играет на спешке и доверии. Остановитесь на пять секунд, посмотрите на адрес и отправителя, не переходите по ссылкам из неожиданных сообщений — и большинство атак пройдёт мимо. Больше простых правил безопасности — в статье о цифровой гигиене.