Фишинг: письма, ссылки, поддельные сайты

Как выглядит поддельное письмо

Фишинг — от английского «рыбалка»: приманку забрасывают тысячам людей, и кто-нибудь клюёт. Приманка — письмо, СМС или сообщение в мессенджере, которое выглядит как весточка от банка, магазина, Госуслуг, службы доставки или работодателя. Цель всегда одна: привести вас на страницу, где вы сами введёте логин, пароль, данные карты или код.

Схема та же, что в любом обмане из урока 1: повод, рычаг, просьба и спешка. Повод — штраф, посылка, возврат денег, «подозрительный вход». Рычаг — страх («ограничат счета») или выгода («начислены бонусы»). Просьба здесь почти всегда одна — перейти по ссылке или открыть вложение. А спешка — «в течение 24 часов».

Письмо выше сделано аккуратно: вежливое обращение, знакомые слова, правдоподобная сумма. Раньше фишинг выдавали ошибки и корявый перевод; сейчас тексты пишут грамотно, а логотип копируется за минуту. Поэтому на вид письма смотреть бесполезно — смотрят на адрес.

Имя отправителя пишется любое: «Госуслуги», «Служба безопасности», «Ваш банк». Даже адрес в поле отправителя иногда удаётся подделать, так что и он сам по себе ничего не доказывает. Зато почти всегда выдаёт себя адрес ссылки: мошенник может нарисовать любую кнопку, но страница, на которую она ведёт, лежит на его сайте, а не на сайте банка. Как читать этот адрес — следующая глава.

Что делать с таким письмом, подсказывает третье правило курса: связь начинаете вы. Если штраф правда есть, он виден в личном кабинете Госуслуг, который вы открываете из приложения или закладки. Если посылка правда ждёт, её номер есть в приложении магазина. Проверка занимает минуту и не требует ни одной ссылки из письма.

Как читать адрес ссылки

Адрес ссылки выглядит как набор слов через точки и косые черты, но читается он по одному правилу. В нём четыре части: протокол (https://), поддомены, домен и путь.

Главная часть — домен. Это имя, которое кто-то купил и которым владеет: sberbank.ru, gosuslugi.ru, ozon.ru. Сайт принадлежит владельцу домена, и только ему. Найти домен просто: отыщите первую одиночную косую черту после https:// и посмотрите левее неё. Два последних слова перед чертой — название и зона (.ru, .com, .online) — и есть домен.

Всё, что стоит левее домена, — поддомены. Владелец домена заводит их сколько хочет и называет как хочет. У банка это online.sberbank.ru, а у мошенника, купившего vhod-lk.com, — online.sberbank.ru.vhod-lk.com. Слова те же, но стоят они в чужом адресе. Поэтому адрес читают справа налево: не «начинается со sberbank — значит банк», а «перед первой чертой стоит vhod-lk.com — значит не банк».

Всё, что правее первой черты, — путь, то есть страница внутри сайта. Там тоже можно написать что угодно: vhod-lk.com/sberbank.ru/login — это страница на сайте vhod-lk.com, как бы она ни называлась.

Посмотреть настоящий адрес можно до перехода. На компьютере наведите указатель на ссылку или кнопку — адрес появится внизу окна. На телефоне долгое нажатие на ссылку показывает адрес, не открывая её. Текст ссылки в письме и её адрес — разные вещи: написано может быть gosuslugi.ru, а вести ссылка может совсем в другое место.

Если прочитать адрес не получается или сомневаетесь — не страшно. Разбирать адрес нужно не каждый раз: проще вообще не входить по ссылкам из писем и открывать банк, почту и Госуслуги из закладки или приложения. Чтение адреса — страховка на случай, когда вы уже на странице и собираетесь что-то ввести.

Похожие буквы и лишние слова в адресе

Зная, где стоит домен, мошенник подбирает такой, который на первый взгляд похож на настоящий. Приёмов немного, и все они видны, если читать адрес внимательно.

Лишнее слово. К знакомому названию добавляют слово через дефис или точку: gosuslugi-lk.ru, sberbank-online.help, avito-dostavka.ru. Выглядит солидно — «личный кабинет», «доставка», — но это другой домен, и купить его может кто угодно. Настоящему сервису не нужно вести вас на отдельный адрес ради оплаты или входа.

Похожая буква. Ноль вместо «o» (0zon.ru), «l» вместо «i» (gosuslugl.ru), «rn» вместо «m». Самый коварный вариант — кириллическая буква вместо латинской: русская «а» и латинская «a», «о» и «o», «е» и «e», «р» и «p» на экране неотличимы. Иногда браузер показывает такой адрес странной строкой, которая начинается с xn--, — это тоже повод закрыть страницу.

Название в начале, домен в конце. Приём из прошлой главы: www.ozon.ru.skidki-dnya.shop. Человек читает слева направо, видит знакомое и дальше не смотрит. Родственный трюк — знак «@»: в адресе https://gosuslugi.ru@lk-vhod.com всё, что стоит до «@», браузер считает именем пользователя и пропускает, а открывает lk-vhod.com.

Где люди попадают на такие сайты? По ссылкам из писем и сообщений, из рекламы в соцсетях и иногда прямо из поиска: мошенники покупают рекламу, и подделка может оказаться выше настоящего сайта. Поэтому сайты, где вы платите и входите в аккаунт, лучше открывать из закладки или официального приложения, а не искать каждый раз заново.

Если вы уже на странице и собираетесь ввести пароль или карту — остановитесь на секунду и прочитайте домен справа налево. Не сходится хоть одна буква — закройте вкладку и откройте сайт сами.

QR-коды и вложения

QR-код — та же ссылка, только записанная квадратиками. Разница в одном: адрес нельзя прочитать глазами, пока телефон его не распознал. Этим пользуются. Наклейка с чужим кодом поверх настоящего на паркомате или самокате, листовка «оплатите доставку по QR», QR-код в письме «для подтверждения данных» — везде расчёт на то, что человек отсканирует и сразу нажмёт.

Защита та же, что со ссылкой. Камера телефона сначала показывает адрес и только потом предлагает его открыть — в эту секунду адрес и читают, по правилам прошлых глав. Платить за парковку, штрафы и покупки лучше через приложение или сайт, которые вы открыли сами, а не через код на столбе.

Второй способ, кроме ссылки, — вложение. Файл в письме может оказаться не документом, а программой. Признаки такие:

Настоящему документу не нужно двойное расширение, отдельный пароль и разрешение что-то включить. Если вложения вы не ждали — даже от знакомого адреса, — спросите отправителя по другому каналу, как в третьем правиле курса. Почту коллеги или партнёра могли угнать, и тогда письмо от него пишет уже не он.

Итог урока короткий: в любом письме смотрите на то, куда ведёт ссылка и что за файл во вложении, а не на то, как письмо выглядит. А ещё лучше — входите в важные сервисы только сами.