Открываешь почту — «Ваш аккаунт заблокирован. Срочно подтвердите личность». Сердце ухнуло, рука уже тянется к кнопке «Перейти». Стоп. Не кликай. Это может быть фишинг — аккуратная ловушка, которая выглядит как то, что ты знаешь и любишь, но создана, чтобы вытащить логины, коды из СМС и деньги.
Фишинг — это когда мошенники прикидываются знакомым сервисом: банком, магазином, госуслугами, курьерской службой. Они шлют письма, СМС, сообщения в мессенджерах и ведут на сайт-близнец. На сайте всё выглядит правдоподобно: логотипы, цвета, даже «живой» чат. Но цель одна — ты сам вводишь данные в их форму.
Почему это работает?
Потому что тебя ловят на эмоциях. «Срочно!», «Аккаунт будет удалён через 30 минут!», «Не прошла оплата заказа!». В момент тревоги мы хотим решить проблему быстро, а не внимательно разглядывать адресную строку.
Расскажу ситуацию знакомого. Ему пришла СМС «Посылка на складе, доплатите 49 ₽ за доставку», ссылка выглядела как сайт известной службы. Он платил картой, через пять минут с карты ушли 18 000 ₽ на «проверку». Форма была на поддельном сайте: настоящий логотип, знакомая палитра, но домен — с лишним словом и странной зоной.
Бывает и по-другому
Мне однажды ночью прилетело письмо: «Подозрительная попытка входа в ваш аккаунт, подтвердите личность». Письмо ровное, без ошибок, даже подпись красивая. Сдержало одно — я не кликнул по кнопке, а открыл сервис в новой вкладке через свою закладку. Там всё было в порядке. Ловушка не сработала, потому что я не дал ей управлять моими действиями.
На что смотреть в письмах и сообщениях? На мелочи, которые спасают деньги.
- Отправитель. Часто адрес похож, но не тот: support@paypaI.com, где это не «l», а заглавная «I». Или банк-поддержка@something.ru.
- Ссылка. Длинная, с лишними словами, с незнакомой зоной, с поддоменами типа secure-bank.example.com.evilsite.net. Главное — домен справа перед точкой и зоной.
- Давление. Таймеры, угрозы штрафов, обещание бонусов «только сегодня» — классический крючок.
- Необычная просьба. «Пришлите код из СМС», «Введите данные карты для возврата», «Скиньте фото паспорта прямо в чат». Сервисы так не делают.
- А если ты уже на сайте — как понять, что он фальшивый? Смотри адресную строку и детали интерфейса.
- Замок в браузере — не индикатор доверия. Его можно получить бесплатно. Смотри на имя домена: bank.ru — норм, bank-ru.com — уже вопрос, bank.ru-security-check.com — точно нет.
- Двигайся от конца адреса: зона (.ru, .com), дальше — домен второго уровня (то самое название). Всё, что левее — поддомены и уловки.
- Дизайн вроде знакомый, но синяя кнопка вдруг стала зелёной, логотип «мылится», нажатия ведут только на одну страницу входа. Мошенники экономят время и копируют лишь заметные элементы.
- Форма просит лишнего: для «подтверждения личности» — полные данные карты с CVC. Настоящие сервисы для входа просят логин и пароль. Возвраты денег не требуют CVC через формы на сторонних страницах.
- Контакты на сайте — только чат без реквизитов. Нет политики конфиденциальности, нет юридической информации, нет нормального «О компании».
- Ещё одна тонкость — подмена символов в адресах. Некоторые буквы разных алфавитов выглядят одинаково: латинская «a» и кириллическая «а», «l» и «I». Получается rauraI.com вместо paypal.com, и глаз не замечает. Спасают внимательность и привычка не переходить по ссылкам из писем, даже если «очень надо».
Что делать, чтобы шанс попасться был минимальным?
- Не нажимай на ссылки из писем и СМС по важным темам. Открой сайт сам: через закладку или набери адрес в адресной строке.
- Проверь домен. Читай справа налево: зона и имя — это основа. Всё, что слева — легко подделать под «secure», «verify», «login».
- Наведи курсор на ссылку и посмотри адрес внизу окна. На телефоне — долго зажми и прочитай, куда ведёт.
- Пользуйся менеджером паролей. Он «узнаёт» правильные сайты и сам подставляет логины. Если автозаполнение не сработало — возможно, ты на подделке.
- Включи двухфакторную защиту. Код из приложения или аппаратный ключ спасают, даже если пароль уже у мошенников.
- Для каждой учётки — свой пароль. Если один пароль утечёт, остальное останется целым.
- Обновляй браузер и систему. В них есть фильтры от фишинговых сайтов, и они улучшаются.
- В банке включи уведомления по операциям. Пара секунд — и ты знаешь, что с деньгами.
- Не диктуй коды из СМС никому по телефону. Сотрудники не спрашивают такие вещи, точка.
- Проверяй QR-коды. После сканирования смотри адрес: он должен быть ровно тем, что ты ожидаешь, без странных добавок.
Частые сценарии, на которые клюют даже осторожные
- «Посылка у курьера, доплатите 49 ₽». Тебя ведут на копию сайта доставщика и снимают с карты сумму «на проверку».
- «Автоматическая блокировка аккаунта». Просится срочная авторизация на фальшивом домене, потом — код из СМС «для подтверждения». На самом деле подтверждаешь перевод мошеннику.
- «Кэшбэк/подарок от магазина». Нужно «привязать карту», в итоге отдаёшь реквизиты злоумышленникам.
- «Звонок из банка». Мошенник просит открыть «безопасный сайт банка» по продиктованному адресу. Звучит убедительно, но домен — левый. Настоящие банки не диктуют адреса и не просят коды.
Пара работающих «якорей», чтобы остановить палец над кнопкой
- Если тебя торопят и пугают последствиями — кто в этот момент управляет ситуацией? Возьми паузу и открой сайт через закладку.
- Если сайт просит больше данных, чем нужно — зачем? Настоящий сервис бережёт трение и не требует лишнего.
Если ты не искал услугу, но услуга «нашла тебя» — шанс фишинга высок.
А что если уже кликнул и ввёл данные? Действуй без паники, но быстро.
- Сменить пароль на настоящем сайте, выйти из всех сессий. Если почта — проверь фильтры и переадресацию: мошенники любят тихо перенаправлять письма.
- Включить или обновить двухфакторную защиту.
- Если светанули карту — сразу блокируй и перевыпускай, оспаривай операции. Проверь автоплатежи и привязанные сервисы.
- Посмотри расширения браузера: незнакомые — удалить. Обнови систему и проверь устройство антивирусом.
- Предупреди близких, если из твоего аккаунта могли уйти «письма счастья», чтобы никто не кликал.
Любопытный факт: по данным отраслевых отчётов, фишинг год от года остаётся самым популярным входом в чужие аккаунты. Не потому что мы «невнимательные», а потому что это дешёво и работает. Защита тоже не про «суперпамять», а про несколько привычек и спокойствие в момент, когда тебя пытаются торопить.
И последнее. Полезный микро-ритуал: когда речь про деньги или доступ к важному аккаунту, дыши, считай до пяти и смотри на адресную строку. Пять секунд — и ты уже не идеальная цель. Да, это простая вещь. Но именно она экономит тысячи рублей и нервы.
Фишинг — это не про «кто-то там попался». Это про каждого из нас, кто иногда устал, спешит или волнуется. Пусть у тебя будет два якоря: не переходить по ссылкам из писем и всегда проверять домен. Всё остальное — настройка сверху. А спокойная голова — лучшее антивирусное ПО, которое у тебя уже есть.