Фишинговое письмо: как отличить подделку от настоящего и что делать, если уже нажали

Коротко: что сделать сразу

• Не нажимайте ссылки и не открывайте вложения из подозрительного письма.
• Проверьте событие через официальное приложение или сайт, открытый вручную.
• Посмотрите полный адрес отправителя, а не только отображаемое имя.
• Если уже ввели пароль — сразу смените его на настоящем сайте и завершите чужие сеансы.
• Если сообщили код из SMS или приложения-аутентификатора — считайте аккаунт скомпрометированным и действуйте как при взломе.

Как выглядит фишинг: пять признаков, которые действительно полезны

Первый признак — неожиданное действие. Вам сообщают о платеже, входе, блокировке, посылке, штрафе или возврате денег, которого вы не ждали. Само по себе это ещё не доказательство, но это повод ничего не нажимать.

Второй — давление временем. «Аккаунт удалят через 30 минут», «карта будет заблокирована сегодня», «заберите выплату прямо сейчас». Реальные сервисы могут присылать важные уведомления, но редко требуют вводить секретные данные только потому, что письмо создало искусственную спешку.

Третий — просьба сообщить секрет. Нормальный банк, почтовый сервис или поддержка не просит прислать пароль, одноразовый код, PIN карты, CVV или резервный код двухфакторной аутентификации.

Четвёртый — ссылка ведёт не туда, куда обещает текст. На компьютере наведите мышь на кнопку, не нажимая её, и посмотрите адрес внизу окна браузера или почтового клиента. На телефоне безопаснее вообще не открывать ссылку, а перейти в нужный сервис через приложение.

Пятый — странный адрес отправителя. Имя «Служба безопасности» можно подделать за секунду. Значение имеет домен после символа @. Если письмо якобы от известного сервиса, а приходит с бесплатной почты или похожего домена с лишней буквой, это серьёзный признак подделки.

Как проверить отправителя и ссылку без перехода

Раскройте подробности письма и найдите полный адрес отправителя. У разных почтовых сервисов кнопка называется по-разному: «Подробнее», «Показать детали», «Сведения о письме» или находится рядом с именем отправителя. Сравните домен с официальным доменом организации, который вы знаете независимо от письма.

Не полагайтесь только на замок HTTPS. Мошеннический сайт тоже может иметь действующий TLS-сертификат и показывать значок замка. HTTPS означает лишь, что соединение с этим конкретным сайтом зашифровано, а не то, что сайт принадлежит банку или магазину.

Также не считайте письмо настоящим только потому, что в нём есть ваше имя, последние цифры телефона или логотип компании. Такие данные могут быть взяты из утечек, старых заказов и открытых источников.

Что делать с вложениями: PDF, архивами, Word и «счетами»

Опасное вложение не обязательно выглядит как программа. Под видом акта, счёта, уведомления суда или фотографии могут прислать ZIP-архив, HTML-файл, ярлык, скрипт или документ, который просит включить макросы. Если вы не ожидали файл — сначала свяжитесь с отправителем другим способом.

Если письмо пришло якобы от коллеги или контрагента, не отвечайте на него вопросом «это вы прислали?»: если почта взломана, ответ получит атакующий. Позвоните человеку по известному номеру или напишите в другой рабочий канал.

Не включайте макросы и не отключайте Защитник Windows ради открытия вложения. Если файл действительно нужен для работы, лучше сначала проверить его средствами корпоративной защиты или передать специалисту.

Если уже нажали ссылку, но ничего не вводили

Просто открытая фишинговая страница не всегда означает заражение. Если вы не скачивали файлы, не устанавливали расширения, не разрешали уведомления и не вводили данные, риск заметно ниже. Закройте вкладку и очистите разрешения сайта в браузере, если успели что-то подтвердить.

Проверьте папку «Загрузки». Если туда появился неизвестный EXE, MSI, архив или документ, не запускайте его. Удаление скачанного, но не запущенного файла обычно достаточно. Если файл уже запускался, особенно с правами администратора, нужна отдельная проверка системы.

Если ввели пароль, данные карты или код подтверждения

Здесь важен порядок. Сначала откройте настоящий сервис вручную на устройстве, которому доверяете. Смените пароль на новый, который нигде больше не используется. Затем откройте раздел безопасности и завершите все неизвестные сеансы. После этого проверьте резервную почту, номер телефона и способы восстановления — злоумышленники часто меняют их, чтобы вернуться позже.

Если тот же пароль использовался в других сервисах, его нужно поменять и там. Не начинайте с десятков второстепенных сайтов: сначала почта, банк, аккаунт телефона, облако, рабочие сервисы и всё, через что можно восстанавливать остальные учётные записи.

Если сообщили реквизиты карты или подтверждали банковскую операцию, свяжитесь с банком по номеру из официального приложения или с обратной стороны карты. Не звоните по номеру из подозрительного письма.

Как защититься от повторной атаки

Включите двухфакторную аутентификацию там, где она доступна, и сохраните резервные коды отдельно от основного телефона. Для важных аккаунтов лучше использовать приложение-аутентификатор или аппаратный ключ, если сервис это поддерживает. SMS лучше, чем отсутствие второго фактора, но номер телефона может быть потерян или перевыпущен.

Используйте менеджер паролей. У него есть практический плюс именно против фишинга: сохранённый пароль обычно не подставляется на поддельном домене, даже если страница внешне скопирована идеально.

И ещё одно правило: если письмо сообщает о проблеме, решайте проблему не через письмо. Откройте приложение банка, личный кабинет магазина или сайт организации через закладку. Это простое действие ломает основную механику фишинга.

Как понять, что проблема решена

Если вы только получили письмо и ничего не открывали, достаточно удалить его или отметить как фишинг. Если переходили по ссылке, убедитесь, что не осталось скачанных файлов и разрешений на уведомления. Если вводили данные, результат можно считать приемлемым только после смены пароля, завершения неизвестных сеансов и проверки способов восстановления.

Для банковского аккаунта дополнительно проверьте последние операции и уведомления. Для почты — правила переадресации и фильтры: после взлома злоумышленники иногда создают скрытую пересылку писем.

Когда лучше остановиться и не экспериментировать

Не продолжайте самостоятельные действия, если вы запускали неизвестный файл от имени администратора, вводили ключи ЭП, банковские коды, резервные коды 2FA или обнаружили неизвестные сеансы, которые появляются снова после смены пароля. В этих случаях важно не просто «почистить браузер», а проверить компьютер и цепочку восстановления аккаунтов.

На рабочем компьютере с 1С, ЭЦП или доступом к корпоративной почте лучше сразу сообщить ответственному сотруднику: промедление может превратить одну украденную учётную запись в компрометацию нескольких систем.

Вывод

Главное правило против фишинга — не доказывать подлинность письма по его внешнему виду. Проверяйте событие через официальный сервис, а не через кнопку в сообщении. Если данные уже введены, действуйте по порядку: смена пароля, завершение сеансов, проверка способов восстановления и, при необходимости, диагностика компьютера. Чем быстрее разорвана цепочка доступа, тем меньше шанс, что злоумышленник закрепится в аккаунте.