4. Фишинг, поддельные сайты и сертификаты

Как работает обман

Универсального шаблона фишингового письма не существует, а общий приём один: вас торопят и сразу подсовывают ссылку, по которой удобно поторопиться. Дальше — вариации на одну тему. «Счёт заблокируют через час, если не подтвердить данные». «Аккаунт закроют, если не войти прямо сейчас». «Курьер не смог вручить посылку — подтвердите адрес по ссылке». «Подтвердите карту, иначе платёж не пройдёт». Повод разный, механика одна: короткий испуг или азарт, три секунды на решение, а решение — это клик.

Приём цепляет даже тех, кто прекрасно знает про существование фишинга, — потому что письмо про доставку приходит именно в тот день, когда посылка и правда должна была прийти, а про блокировку счёта — ровно тогда, когда вы читаете почту одним глазом между встречами. Дело не в вашей внимательности, а в подгаданном моменте, и хорошая новость в том, что одна привычка ниже закрывает основные варианты разом, чем бы ни пугало очередное письмо.

Та же схема работает и через QR-код — квишинг, тот же трюк с подменой адреса, только код на бумажке вместо ссылки в письме. Стикер с чужим QR-кодом заклеивают поверх настоящего — на парковочном автомате, платёжном терминале, в меню кафе, — и на вид не отличить. Второй вариант — тот же QR-код прямо внутри письма: ссылку в тексте письма фильтры проверяют, а адрес, зашитый в картинку-QR, многие из них не разбирают.

Базовый минимум.

1. Платите по QR только внутри приложения своего банка. Если адреса, куда ведёт код, нет в приложении, оплату не подтверждайте.
2. QR-код, который вы не ждали (наклейка на автомате, код в письме), не открывайте. Нужна услуга — зайдите на её сайт через свою закладку (как её сделать, описано в разделе «Заходить в банк и почту своим путём» ниже).

Результат: оплату по QR вы подтверждаете только внутри приложения банка, а ссылки из неожиданных кодов не открываете.

Раскрыть ссылку до клика

Правило «читать домен справа налево» бесполезно, пока адреса не видно вовсе, — а в почтовом приложении вместо ссылки часто просто кнопка «Подтвердить» или «Войти», без единой буквы адреса рядом. Прежде чем читать, ссылку нужно раскрыть, и делается это по-разному на компьютере и на телефоне.

Базовый минимум.

Официально: как распознать фишинговое письмо, Google.

Прочитать адрес сайта

Самая рабочая проверка — не стиль письма и не логотип в шапке, а адрес, на который на самом деле ведёт ссылка. Правило простое: смотрите на ту часть, которая стоит вплотную перед первой одинарной косой чертой (/; а также перед ? и #) и без порта (:8080), и читайте её справа налево. Почти всегда первым попадётся домен верхнего уровня (.ru, .com), а сразу за ним — настоящее имя сайта; у части адресов зона состоит из двух сегментов (.co.uk, .com.au, .co.jp)² — тогда настоящее имя сайта стоит на шаг левее, но сам принцип «читать справа налево» не меняется. Всё, что стоит ещё левее через точку, — поддомены, и это уже декорация: её пишет тот же, кто владеет настоящим доменом, а написать он может что угодно, хоть слово «банк» три раза подряд.

Это тот же фокус, что и с обратным адресом на конверте: отправитель пишет на конверте что хочет, и красивое «Ваш Банк» в уголке ничего не гарантирует — важно, куда конверт реально уйдёт, а не что написано слева от марки. В адресе сайта роль этого уголка играет ровно то, что стоит перед настоящим доменом.

Отдельно — всё, что стоит до символа @ в адресе: эта часть не адрес сайта (это логин для входа), поэтому вы окажетесь на том, что стоит после неё. [email protected]/vhod откроет nekto.io, а vashbank.ru здесь — просто подпись перед собачкой, которую никто не проверяет.

Тот же приём работает не только со ссылкой в письме, но и с самим отправителем: у него есть красивое имя вроде «Служба поддержки банка», а настоящий адрес с реальным доменом прячется за этим именем — его можно посмотреть в сведениях о письме.³ Откройте в почте последнее письмо на тему вроде «подтвердите данные» — такое почти наверняка найдётся.

Базовый минимум.

1. Раскройте настоящий адрес отправителя способом ниже: Gmail, если у вас почта Gmail, и «Почта» на iPhone, если вы читаете письма ею.
2. Прочитайте домен после @ справа налево, по сегментам через точку.
3. Домен не совпадает с сайтом банка — не отвечайте, не открывайте ссылки и вложения, письмо удалите. Если вопрос к банку остался, зайдите в приложение банка или позвоните по номеру из контактов «Банк» (раздел ниже).
4. Ваша почта — не Gmail и не «Почта» на iPhone: считайте такое письмо непроверенным и ссылки из него не открывайте. вывод автора

Получилось — когда вы нашли такое письмо, раскрыли настоящий адрес отправителя, прочитали его домен справа налево и знаете, что с ним делать: совпал с банком — продолжайте через приложение банка или закладку, не совпал — письмо удалено.

Заметить подмену в адресе

Есть более грубый трюк, чем декорация слева от домена: не спрятать домен целиком, а слегка исказить его так, чтобы взгляд скользнул мимо. Дефис вместо точки — vashbank-ru.com вместо vashbank.ru — для браузера это совершенно другая контора, зарегистрированная кем угодно и когда угодно; для уставшего взгляда в конце длинного дня это одна и та же надпись. Здесь по-прежнему работает то же самое правило «справа налево» из раздела выше: дефис и лишний сегмент в адресе — это ровно то, что оно и создано ловить, символ за символом.

Есть и вариант похитрее: одну из латинских букв в адресе заменяют не на похожую, а на графически идентичную — букву из другого алфавита, которая на экране рисуется теми же самыми пикселями, что и нужная латинская, например кириллическую «а» вместо латинской a. Раньше это было неотличимо на глаз, но браузеры часто ловят такую подмену сами: если в одном слове адреса смешались буквы из разных алфавитов, браузер обычно показывает не красивую подделку, а её техническое имя — нечитаемую строку вида xn--… — и подмена бросается в глаза без всякого чтения.⁸ Не ловятся слова целиком из похожих букв другого алфавита (Chrome ловит такое не всегда, Firefox пропускает) и похожие буквы одного алфавита, например латинские rn вместо m: смешения алфавитов там нет, ловить браузеру нечего.⁹ От такой подмены по-прежнему защищает не чтение, а привычка заходить не по ссылке, а по своей закладке: закладка ведёт туда, куда вы её сохранили сами, а не туда, куда её нарисовал шрифт.

Что значит замочек в браузере

Замочек (в новых версиях Chrome — значок настроек слева от адреса) подтверждает две технические вещи: канал зашифрован, то есть никто по дороге не подслушает, что вы вводите, — и сертификат выдан именно на тот домен, который сейчас в адресной строке. Он не означает, что на другом конце сидит честный человек. ( 📺 как проверить сертификат ). Это разница между запечатанным конвертом и проверкой того, что внутри написана правда, — конверт можно запечатать одинаково аккуратно что от банка, что от кого угодно ещё. Поддельный сайт получает свой собственный, совершенно настоящий замочек бесплатно и автоматически, и это никак не связано с тем, кто и зачем сайт создал.¹⁰

Базовый минимум. Сам по себе значок замка этого не доказывает: он подтверждает шифрование соединения и владение указанным доменом, но не честность сайта. Вводите пароль и данные карты только на сайте, открытом из своей закладки или из приложения банка. Замочек и сходство адреса с настоящим не считайте поводом вводить данные. Пришлось открыть сайт не из закладки — прочитайте домен справа налево по правилам выше; домен не совпал с ожидаемым хоть в одном символе — закройте вкладку и зайдите через закладку.

Заходить в банк и почту своим путём

Одно правило закрывает основные варианты письма со ссылкой: в банк и почту заходим своим путём, а не по ссылке из письма или сообщения, кем бы оно ни было подписано. Настоящий банк переживёт, что вы зашли не по его ссылке, а вошли сами; поддельный — не переживёт, потому что ему больше неоткуда взять ваш пароль.

Правило работает даже тогда, когда письмо настоящее: если оно и правда от банка, почти всегда то же самое действие можно найти и в приложении, и на сайте, куда вы зашли сами, без всякой ссылки.

Базовый минимум. В банк заходите из закладки в браузере или из приложения банка, в почту — из закладки.

1. Банк на телефоне: откройте приложение банка. Оно уже стоит на телефоне; если его нет, поставьте из официального магазина приложений (App Store или Google Play).
2. Почта и банк на компьютере: добавьте сайт в закладки. Откройте адрес, набрав его в строке браузера вручную один раз. Адрес почты вы знаете; адрес сайта банка возьмите с обратной стороны карты, а если его там нет — из договора с банком.
3. На компьютере добавьте страницу в закладки сочетанием Ctrl+D (Windows и Linux) или Cmd+D (Mac).¹²
4. На телефоне: в Chrome на Android нажмите «Ещё» (три точки справа от адресной строки) → «Добавить в закладки».¹³ В Safari на iPhone нажмите «Поделиться» → «Добавить закладку».¹⁴
5. Дальше заходите в почту и в банк на компьютере только из закладки, каждый раз, без нового набора адреса и без ссылки из письма.

Результат: на телефоне вы входите в банк через его приложение, а сайты почты и банка лежат в закладках.

Если не получилось. Приложение банка не открывается — зайдите на сайт банка из закладки (шаги 2–4).

Получилось — когда банк открывается из приложения или закладки, почта лежит в закладках браузера или телефона, и заходить вы теперь будете оттуда, а не по ссылке из письма.

Проверить странное сообщение от знакомого

Тот же приём цепляет не только через письма, но и через мессенджер: взламывают аккаунт знакомого человека, а дальше пишут от его имени — обычно с просьбой срочно перевести денег, «неудобно сейчас звонить». Узнавать почерк того, кто пишет, здесь бесполезно — пишет не он, а тот, кто получил доступ к переписке.

Базовый минимум.

1. Деньги не переводите, пока человек не подтвердил просьбу голосом.
2. Не отвечайте в том же чате, а позвоните человеку на номер, который уже есть в контактах.
3. Трубку не берут, а деньги нужны «прямо сейчас» — не переводите. Настоящий знакомый перезвонит и подтвердит или опровергнет просьбу одним вопросом.

Второй вариант той же схемы — не деньги, а сам аккаунт: пишут от имени «поддержки» мессенджера и просят продиктовать код, который придёт в СМС или в самом приложении, — под предлогом проверки, разблокировки или переезда на новое устройство. Этот код — то же самое, что пароль, только одноразовое: его не называют никому и никогда, ни «поддержке», ни знакомому, каким бы срочным ни казался повод.¹⁵ Тот же принцип держит и «Облачный пароль»¹⁶ в Telegram из темы про двухфакторную аутентификацию: второй замок работает только до тех пор, пока его секрет знаете вы одни.

Позвонить по известному номеру

Иногда решить с одного взгляда не получается: письмо выглядит убедительно, а срочность настоящая. Второй канал проверки — телефон, причём не тот номер, что указан в самом письме (его тоже мог вписать кто угодно).

Записать номер стоит прямо сейчас, пока карта под рукой, а не в момент, когда придёт то самое письмо и разбираться будет уже некогда.

Базовый минимум.

1. Переверните карту и найдите номер телефона банка на обратной стороне.
2. Добавьте его в контакты телефона и подпишите «Банк».
3. При сомнениях в письме или звонке звоните только по этому номеру и спросите оператора, писал ли вам банк. Настоящий банк подтвердит или опровергнет письмо за один вопрос.

Если не получилось. На карте нет номера — возьмите его из договора с банком; номер из письма и из поиска не используйте.

Тот же самый приём работает и для звонка, только теперь торопят голосом, а не письмом: звонят и представляются службой безопасности банка, просят «перевести деньги на резервный счёт» или продиктовать код из СМС, который только что пришёл. Здесь работает ровно то же правило: положить трубку и перезвонить самому — на тот номер, что записан в контактах с обратной стороны карты, а не на тот, с которого только что звонили и который удобно перезвонить прямо сейчас. Настоящий банк не обидится на этот лишний звонок; поддельный — не переживёт его, потому что ему нечего ответить настоящей службе поддержки.

Получилось — когда в контактах есть номер банка, переписанный с обратной стороны карты, а не найденный в письме или через поиск.

Что делать после ввода пароля

Если это всё-таки случилось — сначала выдохните. Попадаются все, и чаще всего дело не в глупости, а в подгаданном моменте.

Порядок. Ввели данные карты или деньги уже ушли — начните с шага 1 и сразу переходите к остальным. Ввели только пароль — начните с шага 2. Шаги идут по порядку.

Шаг 1. Банк (только если затронута карта или ушли деньги). Немедленно позвоните по номеру из контактов («Банк»), который вы записали с обратной стороны карты, и расскажите, что произошло. Банк умеет заблокировать карту или операцию быстрее, чем вы успеете придумать, как объяснить ситуацию покрасивее. Если деньги уже списались, попросите не просто заблокировать карту, а отменить или вернуть сам перевод — банк не обязан это гарантировать, но шанс есть, только пока операция не обработана до конца, и он тает не по дням, а по часам, так что звонить нужно сразу, не откладывая на «сначала успокоюсь».

Шаг 2. Сменить пароль на том сайте, куда он ушёл, и только после успеха обновить существующую запись в базе KeePassXC, которую вы завели в теме про пароли.

1. Откройте сайт через свою закладку или официальное приложение, а не через письмо, и откройте форму смены пароля, не вводя новый пароль вручную.
2. В KeePassXC откройте существующую запись этого сайта и запустите Генератор паролей.
3. Сгенерируйте пароль и проверьте оценку не ниже 100 bit, затем скопируйте его и передайте только на официальный сайт.
4. Дождитесь подтверждения успешной смены пароля сайтом. Не сохраняйте запись заранее: в базе не должен остаться пароль, который сайт не принял.
5. После подтверждения замените значение в поле Пароль существующей записи этим сгенерированным значением и нажмите Сохранить. Не создавайте вторую запись.
6. Выйдите из аккаунта и проверьте новый вход по закладке, используя сохранённые логин и пароль.
7. Буфер обмена KeePassXC очистит сам через 10 секунд после копирования (значение по умолчанию).¹⁷ Результат: вход успешен, а существующая запись содержит актуальный пароль.

Если не получилось. Сайт не принимает новый пароль — запись в базе не меняйте и повторите смену с пункта 1 этого списка.

Шаг 3. Тот же пароль на других сайтах. Если этот пароль вы использовали ещё где-то, смените его и там по тому же списку, начав с почты — через неё сбрасывают пароли всех остальных сервисов. Как перестать повторять пароли — в теме про пароли.

Шаг 4. Выгнать того, кто мог войти по старому паролю раньше, чем вы его сменили: смена пароля новый вход не пускает, а уже открытые чужие сессии Google после неё завершает в основном, но не все (подтверждённые устройства остаются)¹⁸, поэтому список устройств проверьте вручную.

То же самое для Telegram: откройте «Настройки» → «Устройства» (Devices) и завершите каждый сеанс, который вы не узнаёте, оставив только свой телефон.²⁴

Если не получилось. Пункта «Устройства» нет — откройте «Конфиденциальность» → «Активные сеансы» (Privacy & Security > Active Sessions).²⁵

Шаги по порядку, спокойно и без ничего похожего на выговор самому себе.

Из всего фишинга в сухом остатке — одна привычка: важные места открывать своим путём — через приложение банка или закладку, а не по ссылке из письма. Стопроцентной гарантии это не даёт — рано или поздно можно ошибиться и каким-то другим путём, — но именно эта привычка одним действием закрывает подавляющее большинство случаев, без разбора каждого конкретного письма. А про то, как не потерять фотографии, документы и саму базу паролей, если что-то всё-таки случится, — тема про резервные копии: она не про то, как не попасться, а про то, что случившееся всё равно можно откатить назад.