Главное: в 2025 году фишинг стал умнее, персональнее и менее заметным. Мошенники используют искусственный интеллект, дипфейки, QR‑коды и мессенджеры, чтобы выманить логины, пароли и деньги. Но у любых атак есть повторяющиеся признаки, по которым их можно вычислить.
Ниже — понятное объяснение, какие схемы сейчас в ходу и как обычному пользователю не попасться.
Что такое фишинг простыми словами
Фишинг — это когда мошенник притворяется «своим» или «официальным сервисом», чтобы вы:
- ввели логин и пароль на поддельном сайте,
- сообщили код из СМС,
- скачали и открыли вредоносный файл,
- перевели деньги «по срочному запросу».
Каналы любые: почта, СМС, мессенджеры, соцсети, звонки, QR‑коды на плакатах и сайтах.
Чем фишинг 2025 отличается от «старых» разводов
Раньше фишинговые письма было легче узнать: корявый текст, куча ошибок, дешёвый дизайн. Сейчас всё сложнее.
1. Письма и сообщения, написанные ИИ
Мошенники массово используют нейросети: письма и сообщения стали грамотными, дружелюбными и очень правдоподобными.
Особенности:
- обращение по имени, упоминание реальных компаний и сервисов;
- стиль максимально похож на настоящие письма от банка, маркетплейса или госуслуг;
- каждый текст немного отличается, чтобы обходить антиспам и антифишинг‑фильтры.
2. Deepfake и голосовой фишинг
Отдельный тренд 2025 года — звонки и видео с поддельным голосом и лицом:
- звонок «от родственника», который просит срочно занять деньги;
- «руководитель» или «менеджер банка», голос которого совпадает с тем, что вы слышали раньше в реальных звонках и видео.
Такие атаки уже приводили к переводам на миллионы долларов и сотням миллионов потерь по миру.
Главное правило: никогда не принимайте важные решения (переводы, коды, пароли) только на основании звонка или видео. Всегда перепроверяйте другим каналом связи.
3. QR‑фишинг и «квишинг»
Новый модный инструмент — фишинг через QR‑коды:
- QR в письмах, СМС, на плакатах, флаерах, в подъездах;
- QR в прикреплённых PDF‑файлах: наводите камеру — попадаете на поддельный сайт с авторизацией или оплатой.
Причина популярности проста: в телефоне сложнее увидеть полный адрес сайта, а антифишинг‑фильтры работать могут хуже.
4. Поддельные PDF и встречи в календаре
В 2025 активно используют:
- PDF‑файлы с фишинговыми ссылками или QR‑кодами;
- зашифрованные PDF с паролем («пароль внутри письма»), чтобы обойти фильтры безопасности;
- фишинговые приглашения в календарь с ссылкой «на документы» или «на запись разговора».
5. «Фишинговые комбайны» и странные домены
Сейчас злоумышленники всё чаще:
- не используют домены, похожие на бренд (вместо bank-example.com — рандомный secure-check123.com);
- генерируют тысячи поддельных страниц под разные бренды с помощью специальных сервисов — «фишинговых комбайнов»;
- прячут конечный фишинговый сайт за цепочкой переадресаций — вы несколько раз «перепрыгиваете» по адресам, устаёте следить и теряете бдительность.
Вывод: по одному только «странному домену» фишинг теперь не всегда заметен, нужно смотреть на весь контекст.
6. Атаки через мессенджеры и соцсети
Фишинг давно вышел за рамки только email:
- сообщения от «друзей» с просьбой занять денег или «проголосовать в конкурсе» по ссылке;
- фейковые страницы розыгрышей и опросов;
- «служба поддержки» в мессенджере, которая просит прислать код из СМС или логин/пароль.
Часто это комбинируют с звонком или сообщением в другом канале — так повышают доверие.
7 основных признаков, что перед вами фишинг
Если в письме, сообщении или звонке есть хотя бы несколько пунктов из списка — это очень подозрительно.
- Срочность и давление
«Сделайте прямо сейчас», «аккаунт будет заблокирован через 15 минут», «штраф уже начислен». - Неожиданная «выгода» или «приз»
Вы ничего не делали, но вам внезапно обещают крупный выигрыш, кешбэк, подарки. - Запрос конфиденциальных данных
Просят логин, пароль, PIN, CVC, код из СМС, данные карты, паспортные данные, фото карты с двух сторон.
Банки и реальные сервисы никогда не спрашивают это в письмах, мессенджерах и особенно в чате «поддержки» из ниоткуда. - Странный адрес отправителя
Письмо приходит якобы от банка, но домен не совпадает с официальным: много лишних букв, цифр, непонятных слов. - Подозрительная ссылка или QR‑код
Ссылка ведёт не на привычный домен, а на что‑то вроде security-check-payments.info или «сокращалку». QR‑код неизвестного происхождения, особенно если он обещает «бонус» или «доступ к документу». - Ошибки и странные формулировки
Даже при использовании ИИ иногда проскакивают нелепые фразы, неестественные обращения, странный дизайн или несоответствие стилю компании. - Несовпадение контекста
Пишут о сервисе, которым вы не пользуетесь, или о заказе, которого вы не делали. Звонят «из вашего банка», но у вас там нет счёта.
Простая схема проверки любого письма или сообщения
Перед тем как кликнуть или что‑то ответить, пройдитесь по короткому чек‑листу.
- Остановиться
Не спешить. Любая попытка заставить принять решение за секунды — уже красный флаг. - Проверить отправителя
Внимательно посмотреть адрес почты, ник в мессенджере, номер телефона. Сравнить с тем, что указано в официальных источниках. - Не переходить по ссылкам из письма/чата
Лучше самому открыть сайт банка, маркетплейса или госуслуг через закладку или вручную ввести адрес в браузере. - Перепроверить запрос по второму каналу
Позвонили и просят перевести деньги?
— Перезвоните на номер, который уже сохранён у вас или указан на официальном сайте.
Написали в мессенджер от «родственника»?
— Перезвоните ему или спросите то, что мошенник не знает. - Не отправлять коды и пароли
Никакие службы поддержки и «безопасности» не имеют права спрашивать коды из СМС и одноразовые пароли.
Как защитить себя от фишинга в 2025 году
Несколько базовых мер сильно снижают риск стать жертвой.
- Включите двухфакторную или многофакторную аутентификацию
Даже если злоумышленник украдёт пароль, без второго фактора (приложение‑аутентификатор, физический ключ) войти будет сложнее. - Используйте разные пароли для разных сервисов
Утечка одного пароля не должна открывать доступ ко всем аккаунтам. - Обновляйте системы и приложения
Браузеры и почтовые клиенты постоянно дорабатывают защиты от фишинга. Обновления — часть этой защиты. - Включите антифишинг‑фильтры
Почтовые сервисы, браузеры и антивирусы уже умеют ловить многие фишинговые ссылки и вложения. - Минимизируйте «цифровый шум» о себе
Чем меньше открытых данных (дата рождения, место работы, должность, контакты), тем сложнее подготовить персональный, убедительный фишинг.
Что делать, если всё‑таки кликнули или ввели данные
Важно не паниковать, а быстро действовать.
- Сразу сменить пароли
На скомпрометированном сервисе и везде, где использовался такой же или похожий пароль. - Включить или перестроить 2FA
Если двухфакторной защиты не было — включить. Если была — сменить способы (например, с СМС на приложение‑аутентификатор). - Проверить банковские счета и карты
Посмотреть последние операции, при необходимости заблокировать карту и уведомить банк. - Запустить проверку устройств на вирусы
Если открывали вложения или запускали файлы — проверить ПК и телефон антивирусом. - Сообщить в поддержку сервиса
Описать ситуацию, приложить скриншоты писем/сообщений. Иногда сервисы могут заморозить сессию, обнулить токены и помочь с расследованием. - Предупредить знакомых и коллег
Если взломали ваши почту или соцсети, мошенники могут рассылать от вашего имени новые фишинговые сообщения.
Итог
Фишинг в 2025 году стал тихим и умным: без грамматических ужасов, с голосами «родных», QR‑кодами, правдоподобными PDF и продуманными сценариями.
Но у таких атак по‑прежнему одни и те же цели: заставить вас поторопиться, испугаться или обрадоваться, чтобы вы сами отдали данные или деньги.
Если вы:
- не спешите,
- перепроверяете запросы по второму каналу,
- не переходите по сомнительным ссылкам и QR,
- не делитесь кодами и паролями,
то большинство современных фишинговых ловушек обойдёт вас стороной.