Как не попасться на удочку фишинга. Распознаем интернет-разводки и защищаемся от них

Фишинг (phishing, от англ. password — «пароль» + fishing — «рыбалка») — достаточно широкое обозначение для целой группы интернет-разводок. У них могут быть очень разные сценарии и способы распространения.

Роднит их одно — с их помощью интернет-мошенники пытаются получить личные данные своих жертв, чтобы потом использовать в своих преступных целях: воровать аккаунты, рассылать спам и просьбы друзьям «одолжить денег» или даже получить доступ к личным счетам и корпоративным тайнам.

Самые распространенные схемы фишинга

Письма от «официальных сервисов»

Это могут быть сообщения якобы от социальной сети, которой вы пользуетесь, популярного маркетплейса, разработчика приложений и операционных систем, оператора сотовой связи (в общем, от VK, Wildberries, Apple, МТС и т. п.).

Письмо может быть оформлено очень правдоподобно, в электронном адресе отправителя будет название компании, а в теле — просьба подтвердить данные учетной записи, например чтобы ее не украли, или «подтвердить авторизацию» по ссылке из письма.

Вот только ссылка будет вести  вовсе не на реальную страницу компании, а на фишинговую (т. е. поддельную), и, введя там данные, вы, по сути, отправите их  злоумышленникам. Если у вас не настроена дополнительная защита в виде двухфакторной аутентификации, ждите беды.

Сайты-клоны

Далеко не каждый пользователь знает правильное написание всех сайтов у себя в закладках, не говоря уже о новых страницах. Часто киберпреступники создают сайты-клоны с очень похожими на оригинал адресами (но не могут полностью их скопировать) и размещают эти ссылки в тематических сообществах, рекламных баннерах или просто в Сети.

Какие-то из них — наспех слепленная на коленке поделка, другие — весьма правдоподобная копия.

Схема та же: перешли, оставили данные — они ушли злоумышленникам.

«Вирусная» рассылка

Получив доступ к аккаунту человека, например в мессенджере, киберпреступники способны разослать вредоносный файл или фишинговую ссылку по всем его контактам. Легенда может быть любой: надо срочно скачать важный файл, перейти по ссылке и проголосовать за родственника и т. д.

Вы можете даже не заметить, что что-то произошло — программа под видом безобидного файла установится в неочевидную директорию и начнет шпионить за вами, превратит ваше устройство в часть бот-сети или заставит его майнить криптовалюты.

Социальная инженерия

Это все те случаи, когда с вами вступает в контакт какой-то внушающий доверие человек, быть может, даже под личиной вашего друга с его взломанного аккаунта, и мягко убеждает что-то сделать, просит что-то скачать, куда-то перейти или иным способом выведывает личные данные.

Строго говоря, это не частный случай фишинга — скорее наоборот: фишинг — частный случай социальной инженерии. Просто помните, что, даже если вы имеете дело не с автоматизированной рассылкой, а с (предположительно) живым человеком, развести вас могут по той же схеме.

Фейковые аккаунты в соцсетях

Схема похожая на сайты-клоны: создаются странички от лица известных людей, клоны сообществ, где что-то продается, или множество бот-аккаунтов. 

Дальше от этих страниц в сообществах и на стене размещаются посты с якобы официальными предложениями: бесплатные услуги, лотереи, получение бонусов в игре, формы заказа на рекламируемый товар, ссылки на фейковые законы и новости о субсидиях, которые «может оформить каждый» и т. п.   Как правило, фишинг рассчитан на широкую аудиторию: сообщения типовые, рассылки автоматизированы.

Как противостоять фишингу

Чтобы не стать жертвой мошенников, нужно не только подстраховаться защитными решениями, но и вооружиться тем главным, что надежно предохраняет от разводок разной степени сложности: знаниями и собственным здравомыслием.

И да, в отношении фишинга и прочих интернет-схем это работает точно так же, как и в реальной жизни. Но есть нюансы.

Фишинг все-таки не просто попытка шулера на рынке убедить вас отдать деньги за билетик в беспроигрышной лотерее. Это схема, которая работает за счет трех составляющих:

• знание человеческой психологии (какие фразы-триггеры заставляют потерять бдительность и нажать ссылку);
• нехитрое или хитрое программирование (создание сайтов-клонов, подмена ссылок, воровство данных и т. п.);
• массовость (фишинг нацелен на широкую аудиторию с расчетом, что хоть кто-то да клюнет).

Соответственно, и укреплять свою защиту нужно по всем фронтам:

• учиться понимать, когда вами пытаются манипулировать и воздействовать на эмоции, и противостоять этому;
• повышать компьютерную грамотность, регулярно узнавать о новых схемах и следовать базовым правилам кибербезопасности;
• для защиты аккаунтов использовать двухфакторную аутентификацию: так, если злоумышленник все же сможет выманить логин и пароль, он все равно не сможет получить доступ к аккаунту, так как у него не будет «второго фактора»; 
• использовать защитные решения и спам-фильтры, которые за вас отсеют большую часть фишинга.

Как распознать фишинг

Подозрительные ссылки

Помните: любая ссылка, которая прислана вам без запроса, потенциально может быть фишинговой. Даже если прислана от человека, которому вы доверяете, удостоверьтесь, что вам пишет именно он, а не преступник, заполучивший его аккаунт.

Насторожить должны также:

• ошибки в написании, отличия от привычного имени сайта (например, vcontakte вместо vk, .ru вместо .com);
• небезопасный протокол передачи данных: если в начале ссылки стоит не https, а http, не исключено, что данные, которые вы введете на этой странице, могут перехватить третьи лица или даже сами владельцы сайта. Впрочем, даже https-сайты не гарантия: фишеры могут их создавать точно так же, как и обычные юзеры.
• нетипичные расширения: например, если в ссылке на скачивание видео вместо .mp4 или другого видеорасширения стоит .apk или .exe — вас хотят заставить скачать приложение, скорее всего, зловредное. Опасны даже фото: под видом таких файлов тоже распространяются вредоносы.

Просьба выслать логин или пароль

Ни один уважающий себя сервис никогда не обратится к своим пользователям с просьбой выслать данные авторизации. Если это действительно тот сайт, где вы зарегистрированы, все нужные процедуры с вашим аккаунтом они могут сделать и так.

Впрочем, как правило, прямо в лоб поделиться паролем никто не просит: обычно это история про то, что нужно подтвердить аккаунт, якобы чтобы его не украли или не удалили.

Странные электронные адреса

Если рассылка от сервиса, где вы, может, даже зарегистрированы, вам приходит не со стандартного рассылочного адреса, а от какого-нибудь менеджера или отдела (security, press и т. п.), проверьте, что именно этот адрес именно в таком написании указан где-то на официальном сайте.

Обращайте внимание на лишние или отсутствующие знаки, точки, подчеркивания и доменные имена.

Попытки манипулировать эмоциями

Запугивания, ограниченное время на решение, интригующая подводка без конкретики и прочие нехитрые трюки, как показывает практика, очень легко вводят в заблуждение. Рука так и тянется поскорее кликнуть, авторизоваться и узнать, что же вам такое предлагают узнать.

Но если вы ловите себя на том, что взволновались, получив сообщение, дайте себе время на немного остыть и хорошо все обдумать. И, возможно, погуглить, не похоже ли это сообщение на уже известные в интернете схемы.

Ошибки и замененные символы в словах

Современные почтовые фильтры неплохо научились распознавать фишинговые письма по отдельным словам. Вы их, скорее всего, даже не увидите, пока не заглянете в папку «Спам». Мошенники научились обходить эти фильтры, намеренно делая ошибки в тех самых триггерных словах.

Иногда визуально это даже не заметно, просто русские буквы меняются на аналогичные в латинице. Однако если скопировать такой текст в текстовый редактор со встроенной проверкой правописания, там будет подозрительно много подчеркивания красным.

Злоумышленники могут использовать для своих рассылок и легитимные сервисы, что помогает им обойти спам-фильтры и без этой уловки, уточнил эксперт по кибербезопасности Андрей Сиденко. Например, имитируя опросы из Google-форм.

БОНУС: Давно забытые друзья

Фишинг зачастую не подразумевает сложных схем и личного участия мошенников в диалогах с жертвами. Хотя иногда и такие атаки бывают многоступенчатые, с применением продвинутых технологий, ИИ, имитации и подключением человека на каком-то этапе.

Однако скрытая опасность в том, что даже самые простые автоматизированные разводки становятся для преступников ступенькой к более адресным атакам на друзей жертвы, невольно отдавшей им свои логины-пароли.

Если вам внезапно пишет человек, с которым вы не имеете привычки регулярно общаться, и начинает диалог с просьбы о помощи («дай денег в долг, только не по номеру телефона, а по ссылке», «проголосуй за меня / ребенка сестры в конкурсе» и т. п.), задайте себе вопрос: почему он вспомнил именно о вас и именно сейчас, у него действительно ближе вас нет человека, у которого можно было бы одолжить деньги?

Насторожить должен и нетипичный для вашего знакомого стиль написания, например отсутствие/присутствие заглавных букв, ошибки у грамотного, обращение на «ты» / «вы».

Даже если вы сердобольный и отзывчивый человек, всегда готовый выручить товарища, не считайте неприличным поинтересоваться деталями и попросить у друга подтвердить свои слова.

Задайте наводящие вопросы, ответы на которые знает только этот человек. Или вопросы с подвохом, например про несуществующих общих знакомых — мошенник подхватит диалог, не переспросив, о ком идет речь.

А еще лучше позвоните другу по телефону, если знаете его, или по видеосвязи. Или спишитесь с ним не в том мессенджере, куда вам пришло сообщение, а в любом альтернативном, где вы знаете, что аккаунт принадлежит именно ему.

И если он ни сном ни духом о том, что просил у вас что-то, скорее всего, он стал жертвой взлома или фишинга.