Фишинг, поддельные сайты и сертификаты

Приём один: вас торопят и дают ссылку

Универсального шаблона фишингового письма не существует, а общий приём один: вас торопят и сразу подсовывают ссылку, по которой удобно поторопиться. Дальше — вариации на одну тему. «Счёт заблокируют через час, если не подтвердить данные». «Аккаунт закроют, если не войти прямо сейчас». «Курьер не смог вручить посылку — подтвердите адрес по ссылке». «Подтвердите карту, иначе платёж не пройдёт». Повод разный, механика одна: короткий испуг или азарт, три секунды на решение, а решение — это клик.

Приём цепляет даже тех, кто прекрасно знает про существование фишинга, — потому что письмо про доставку приходит именно в тот день, когда посылка и правда должна была прийти, а про блокировку счёта — ровно тогда, когда вы читаете почту одним глазом между встречами. Дело не в вашей внимательности, а в подгаданном моменте, и хорошая новость в том, что одна привычка ниже закрывает почти все варианты разом, чем бы ни пугало очередное письмо.

Та же схема работает и через QR-код — квишинг, тот же трюк с подменой адреса, только код на бумажке вместо ссылки в письме. Стикер с чужим QR-кодом заклеивают поверх настоящего — на парковочном автомате, платёжном терминале, в меню кафе, — и на вид не отличить. Второй вариант — тот же QR-код прямо внутри письма: ссылку спам-фильтр и антивирус проверяют, а картинку с кодом внутри неё — нет. Правило то же самое, что и со ссылкой: камера телефона показывает адрес в превью ещё до перехода — прочитайте его там, прежде чем нажать «Открыть», а для оплаты надёжнее набрать известный адрес вручную или открыть официальное приложение банка, чем довериться коду на случайной бумажке.

Сначала раскрыть ссылку, а потом её читать

Правило «читать домен справа налево» бесполезно, пока адреса не видно вовсе, — а в почтовом приложении вместо ссылки часто просто кнопка «Подтвердить» или «Войти», без единой буквы адреса рядом. Прежде чем читать, ссылку нужно раскрыть, и делается это по-разному на компьютере и на телефоне.

Тот же фокус работает и тогда, когда ссылка спрятана за красивой кнопкой в письме — в Gmail, Apple Mail и любом другом почтовом приложении: зажмите кнопку пальцем на телефоне или наведите на неё курсор на компьютере, и адрес раскроется точно так же.

Официально: как распознать фишинговое письмо, Google.

Адрес читается справа налево, а не слева

Самая рабочая проверка — не стиль письма и не логотип в шапке, а адрес, на который на самом деле ведёт ссылка. Правило простое: смотрите на ту часть, которая стоит вплотную перед первой одинарной косой чертой (/), и читайте её справа налево. Почти всегда первым попадётся домен верхнего уровня (.ru, .com), а сразу за ним — настоящее имя сайта; у части адресов зона состоит из двух сегментов (.co.uk, .com.ru, .msk.ru) — тогда настоящее имя сайта стоит на шаг левее, но сам принцип «читать справа налево» не меняется. Всё, что стоит ещё левее через точку, — поддомены, и это уже декорация: её пишет тот же, кто владеет настоящим доменом, а написать он может что угодно, хоть слово «банк» три раза подряд.

Это тот же фокус, что и с обратным адресом на конверте: отправитель пишет на конверте что хочет, и красивое «Ваш Банк» в уголке ничего не гарантирует — важно, куда конверт реально уйдёт, а не что написано слева от марки. В адресе сайта роль этого уголка играет ровно то, что стоит перед настоящим доменом.

Отдельно — всё, что стоит до символа @ в адресе: браузер эту часть попросту выбрасывает и идёт по тому, что после неё. [email protected]/vhod откроет nekto.io, а vashbank.ru здесь — просто подпись перед собачкой, которую никто не проверяет.

Тот же приём работает не только со ссылкой в письме, но и с самим отправителем: у него есть красивое имя вроде «Служба поддержки банка», а настоящий адрес с реальным доменом прячется за этим именем — виден он, только если по имени отправителя кликнуть или навести на него курсор. Откройте в почте последнее письмо на тему вроде «подтвердите данные» — такое почти наверняка найдётся — раскройте настоящий адрес отправителя одним из способов ниже и прочитайте домен после @ тем же способом: справа налево, по сегментам через точку.

Получилось — когда вы нашли такое письмо, раскрыли настоящий адрес отправителя и прочитали его домен тем же способом, что и адрес в ссылке.

Дефис вместо точки — уже другая контора

Есть более грубый трюк, чем декорация слева от домена: не спрятать домен целиком, а слегка исказить его так, чтобы взгляд скользнул мимо. Дефис вместо точки — vashbank-ru.com вместо vashbank.ru — для браузера это совершенно другая контора, зарегистрированная кем угодно и когда угодно; для уставшего взгляда в конце длинного дня это одна и та же надпись. Здесь по-прежнему работает то же самое правило «справа налево» из раздела выше: дефис и лишний сегмент в адресе — это ровно то, что оно и создано ловить, символ за символом.

Есть и вариант похитрее: одну из латинских букв в адресе заменяют не на похожую, а на графически идентичную — букву из другого алфавита, которая на экране рисуется теми же самыми пикселями, что и нужная латинская, например кириллическую «а» вместо латинской a. Раньше это было неотличимо на глаз, но современные Chrome, Firefox и Safari именно такую подмену умеют ловить сами: если в одном сегменте адреса смешались буквы из разных алфавитов, браузер показывает не красивую подделку, а её техническое имя — нечитаемую строку вида xn--… — и подмена сразу бросается в глаза без всякого чтения. Не ловится этим ровно один случай — буквы из одного и того же алфавита, которые просто похожи по рисунку, вроде латинских rn вместо m: смешения алфавитов там нет, ловить браузеру нечего. От такой подмены по-прежнему защищает не чтение, а привычка заходить не по ссылке, а по своей закладке: закладка ведёт туда, куда вы её сохранили сами, а не туда, куда её нарисовал шрифт.

Замочек: конверт запечатан, а не проверен на честность

Замочек в адресной строке подтверждает две технические вещи: канал зашифрован, то есть никто по дороге не подслушает, что вы вводите, — и сертификат выдан именно на тот домен, который сейчас в адресной строке. Он не означает, что на другом конце сидит честный человек. ( 📺 как проверить сертификат ). Это разница между запечатанным конвертом и проверкой того, что внутри написана правда, — конверт можно запечатать одинаково аккуратно что от банка, что от кого угодно ещё. Поддельный сайт получает свой собственный, совершенно настоящий замочек за несколько минут и бесплатно, и это никак не связано с тем, кто и зачем сайт создал.

Перед вводом чувствительных данных проверьте, что адрес начинается с HTTPS и что домен официальный. Сам по себе значок замка этого не доказывает: он подтверждает шифрование соединения и владение указанным доменом, но не честность сайта.

Один путь закрывает почти всё

Одно правило снимает почти все варианты фишинга разом: в банк и почту заходим своим путём — через приложение или свою собственную закладку, набранную один раз вручную, — а не по ссылке из письма или сообщения, кем бы оно ни было подписано. Настоящий банк переживёт, что вы зашли не по его ссылке, а вошли сами; поддельный — не переживёт, потому что ему больше неоткуда взять ваш пароль.

Правило работает даже тогда, когда письмо настоящее: если оно и правда от банка, почти всегда то же самое действие можно найти и в приложении, и на сайте, куда вы зашли сами, без всякой ссылки.

Адрес для этой закладки берите не из поиска и не из письма, а с обратной стороны карты, из договора с банком или прямо из официального приложения — там он всегда настоящий. Дальше дело за минуту: наберите адрес банка и почты в строке браузера вручную, один раз, и сразу добавьте страницу в закладки (Ctrl+D в большинстве браузеров на Windows и Linux, Cmd+D — на Mac, или звёздочка в адресной строке). На телефоне то же самое делается через меню браузера: в Chrome на Android — значок «⋮» в адресной строке → пункт про добавление в закладки; в Safari на iPhone — значок «Поделиться» → пункт про добавление в закладки или на экран «Домой» (точная формулировка отличается в разных версиях). Дальше заходите туда именно так — каждый раз, без нового набора адреса и уж тем более без ссылки из письма.

Получилось — когда банк и почта лежат в закладках браузера или телефона, и вы знаете, что заходить туда теперь будете оттуда, а не по ссылке из письма.

Пишет знакомый — а на самом деле его взломанный аккаунт

Тот же приём цепляет не только через письма, но и через мессенджер: взламывают аккаунт знакомого человека, а дальше пишут от его имени — обычно с просьбой срочно перевести денег, «неудобно сейчас звонить». Узнавать почерк того, кто пишет, здесь бесполезно — пишет не он, а тот, кто получил доступ к переписке. Правило то же самое, что и с подозрительным письмом от банка: не отвечать в том же чате, а позвонить — человеку, а не в мессенджер, на тот номер, что уже есть в контактах. Настоящий знакомый ответит на звонок и подтвердит или опровергнет просьбу за один вопрос; если трубку не берут, а деньги нужны «прямо сейчас» — это уже само по себе повод не переводить.

Второй вариант той же схемы — не деньги, а сам аккаунт: пишут от имени «поддержки» мессенджера и просят продиктовать код, который придёт в СМС или в самом приложении, — под предлогом проверки, разблокировки или переезда на новое устройство. Этот код — то же самое, что пароль, только одноразовое: его не называют никому и никогда, ни «поддержке», ни знакомому, каким бы срочным ни казался повод, — у настоящей поддержки мессенджера этот код и так есть, спрашивать его незачем. Тот же принцип держит и «Облачный пароль» в Telegram из темы про двухфакторную аутентификацию: второй замок работает только до тех пор, пока его секрет знаете вы одни.

Сомневаетесь — звоните, а не отвечайте

Иногда решить с одного взгляда не получается: письмо выглядит убедительно, а срочность настоящая. Второй канал проверки — телефон, причём не тот номер, что указан в самом письме (его тоже мог вписать кто угодно), а тот, что напечатан на обратной стороне вашей карты или указан на официальном сайте, куда вы зашли сами. Звонок по этому номеру занимает пару минут и снимает вопрос целиком: настоящий банк подтвердит или опровергнет письмо за один вопрос оператору.

Записать номер стоит прямо сейчас, пока карта под рукой, а не в момент, когда придёт то самое письмо и разбираться будет уже некогда: переверните карту, наберите номер с обратной стороны в контакты телефона и подпишите понятно — «Банк, поддержка».

Тот же самый приём работает и для звонка, только теперь торопят голосом, а не письмом: звонят и представляются службой безопасности банка, просят «перевести деньги на резервный счёт» или продиктовать код из СМС, который только что пришёл. Здесь работает ровно то же правило: положить трубку и перезвонить самому — на тот номер, что записан в контактах с обратной стороны карты, а не на тот, с которого только что звонили и который удобно перезвонить прямо сейчас. Настоящий банк не обидится на этот лишний звонок; поддельный — не переживёт его, потому что ему нечего ответить настоящей службе поддержки.

Получилось — когда в контактах есть номер банка, переписанный с обратной стороны карты, а не найденный в письме или через поиск.

Если уже нажали и ввели пароль

Если это всё-таки случилось — сначала выдохните. Попадаются все, и чаще всего дело не в глупости, а в подгаданном моменте.

Шаг первый — сменить пароль на том сайте, куда он ушёл, и только после успеха обновить существующую запись в базе KeePassXC, которую вы завели в теме про пароли.

1. Откройте сайт через свою закладку или официальное приложение, а не через письмо, и откройте форму смены пароля, не вводя новый пароль вручную.
2. В KeePassXC откройте существующую запись этого сайта и запустите Генератор паролей.
3. Сгенерируйте пароль и проверьте оценку не ниже 100 bit, затем скопируйте его и передайте только на официальный сайт.
4. Дождитесь подтверждения успешной смены пароля сайтом. Не сохраняйте запись заранее: в базе не должен остаться пароль, который сайт не принял.
5. После подтверждения замените значение в поле Пароль существующей записи этим сгенерированным значением и нажмите Сохранить. Не создавайте вторую запись.
6. Выйдите из аккаунта и проверьте новый вход по закладке, используя сохранённые логин и пароль.
7. После проверки нажмите Очистить буфер обмена. Результат: вход успешен, а существующая запись содержит актуальный пароль.

Шаг второй — выгнать того, кто мог войти по старому паролю раньше, чем вы его сменили: смена пароля новый вход не пускает, но уже открытую чужую сессию сама по себе не закрывает, а второй фактор, если он был выключен в момент утечки, тоже её не тронет.

То же самое для Telegram: в настройках приложения есть раздел с активными сеансами (устройствами) — «Настройки» → «Устройства» или «Конфиденциальность» → «Активные сеансы», в зависимости от версии, — и там есть способ закрыть доступ на всех сеансах разом, кроме телефона в руках: занимает секунд десять.

Шаг третий — если это касается банка или карты, а тем более если деньги уже ушли. Позвоните по тому самому номеру с обратной стороны карты и расскажите, что произошло: банк умеет заблокировать карту или операцию быстрее, чем вы успеете придумать, как объяснить ситуацию покрасивее. Если деньги уже списались — то же самое, только быстрее и с одним уточнением: попросите не просто заблокировать карту, а отменить или вернуть сам перевод — банк не обязан это гарантировать, но шанс есть, только пока операция не обработана до конца, и он тает не по дням, а по часам, так что звонить стоит в тот же день, не откладывая на «сначала успокоюсь». Саму поддельную страницу тоже можно сдать — через форму Google «Сообщить о фишинговой странице»: вам лично это не поможет, зато с чуть большей вероятностью остановит следующего, кто откроет ту же ссылку.

Три шага, по порядку, спокойно и без ничего похожего на выговор самому себе.

Из всего фишинга в сухом остатке — одна привычка: важные места открывать своим путём, через закладку, а не по ссылке из письма. Стопроцентной гарантии это не даёт — рано или поздно можно ошибиться и каким-то другим путём, — но именно эта привычка одним действием закрывает подавляющее большинство случаев, без разбора каждого конкретного письма. А про то, как не потерять фотографии, документы и саму базу паролей, если что-то всё-таки случится, — тема про резервные копии: она не про то, как не попасться, а про то, что случившееся всё равно можно откатить назад.