Фишинговое письмо — это сообщение, которое выдаёт себя за письмо от того, кому вы доверяете, чтобы вы перешли по ссылке, открыли файл, выдали пароль или отправили деньги. Большинство таких писем можно распознать, если проверить, кто на самом деле отправил сообщение, куда в действительности ведут его ссылки и не торопят ли вас с неожиданным действием.
- Отображаемое имя — это произвольный текст; важен адрес после него, и прежде всего его домен.
- Перед тем как открыть ссылку, наведите на неё курсор или скопируйте её и читайте настоящий домен справа налево.
- Любую просьбу изменить банковские реквизиты или подтвердить вход, который вы не начинали, проверяйте по отдельному, известному вам каналу.
- SPF, DKIM и DMARC доказывают, какой домен отправил сообщение, но не то, что сообщение честное.
- Если вы перешли по ссылке и ввели пароль, немедленно смените его на настоящем сайте и завершите остальные сеансы.
Фишинг пользуется доверием: логотипом банка, именем коллеги, интонацией службы доставки. Приведённые ниже приёмы занимают секунды и работают в любой почтовой программе.
12 признаков фишингового письма
- Отображаемое имя и адрес не совпадают. К любому адресу можно привязать имя «PayPal Support». Нажмите на имя или наведите на него курсор, чтобы увидеть полный адрес. Если организация пишет с бесплатной почты или с постороннего домена, это серьёзный тревожный признак.
- Похожий или замаскированный домен. Злоумышленники регистрируют домены, отличающиеся одним символом (
rnicrosoft.com, где вместо «m» стоят «r n»), добавляют слова (paypal-secure-login.com) или используют настоящее название как поддомен (paypal.com.account-check.netпринадлежит доменуaccount-check.net). Интернационализированные доменные имена допускают буквы других алфавитов, неотличимые от латинских, например кириллическую «а» вместо латинской «a». Их внутренняя форма (punycode) начинается сxn--; если вы видите этот префикс в неожиданной ссылке или адресе, считайте это подозрительным. - Срочность, страх или давление. «Ваш аккаунт будет закрыт через 24 часа», «неоплаченный счёт», «судебное разбирательство». Искусственные сроки нужны для того, чтобы вы не стали проверять.
- Текст ссылки и её адрес различаются. Видимый текст ссылки может быть любым. Настоящий адрес появляется, если навести курсор мыши, — в строке состояния или во всплывающей подсказке. Если в тексте указан один сайт, а адрес ведёт на другой, не переходите по ссылке.
- Неожиданные вложения. Остерегайтесь любого файла, которого вы не ждали, и особенно HTML-файлов (они могут открыть убедительную поддельную страницу входа, хранящуюся на вашем же компьютере), ZIP и других архивов, образов дисков ISO и IMG, архивов с паролем, который указан в тексте письма, и документов Office, которые просят «включить содержимое» или макросы. Архивы и образы дисков популярны потому, что могут скрыть настоящий тип файла от почтовых фильтров.
- Просьба сообщить учётные данные или личные сведения. Настоящие компании не просят подтверждать пароль, PIN-код, полный номер карты или одноразовый код по электронной почте или по ссылке из письма.
- QR-код, который предлагают отсканировать. QR-фишинг («quishing») прячет ссылку в изображении, чтобы фильтры не могли её прочитать, а вы открывали её на телефоне, который часто защищён хуже рабочего компьютера. Относитесь с подозрением к QR-кодам в письмах о настройке MFA (многофакторной аутентификации), подписании документов или проблемах с аккаунтом.
- Другой адрес в поле Reply-To. Строка «От кого» может выглядеть правильно, а ответы уходят в другое место. Когда вы нажимаете «Ответить», проверьте адрес, который появился в поле «Кому». Несовпадение часто встречается при мошенничестве со счетами.
- Безликое обращение или неверные данные. «Уважаемый клиент», «Уважаемый пользователь» или ваш адрес электронной почты вместо имени говорят о массовой рассылке. Но правильное имя ещё ничего не доказывает.
- Слишком заманчивое предложение. Неожиданные возвраты денег, призы, наследство, доход от криптовалюты или работа, на которую вы не откликались, — это приманка. Так же как и небольшой взнос, который якобы нужен, чтобы получить крупную выплату.
- Смена платёжных или банковских реквизитов. При компрометации деловой переписки (business email compromise) поставщик, коллега или руководитель «обновляет» банковский счёт или просит срочно перевести деньги или купить подарочные карты. Письмо может прийти из действительно взломанного аккаунта, поэтому оно способно пройти все технические проверки.
- Запросы MFA или коды, которые вы не запрашивали. Поток запросов на подтверждение на телефоне или письмо с просьбой назвать код означает, что ваш пароль, возможно, уже у кого-то есть и этот человек пытается обойти второй фактор. Отклоните запрос и смените пароль.
Краткая памятка: на что смотреть
| Часть письма | Что проверить | Тревожный признак |
|---|---|---|
| Строка «От кого» | Полный адрес и домен, а не только имя | Бесплатная почта, домен с ошибкой или посторонний домен, xn-- |
| Reply-To | Адрес, который появляется при ответе | Домен отличается от домена отправителя |
| Ссылки | Настоящий адрес при наведении курсора или после копирования | Текст и адрес различаются, сервисы сокращения ссылок, странные домены |
| Вложения | Тип файла и ждали ли вы его | .html, .htm, .zip, .iso, .img, макросы, пароль в тексте письма |
| Просьба | Что письмо хочет, чтобы вы сделали | Войти, заплатить, изменить банковские реквизиты, подтвердить MFA, отсканировать QR-код |
| Заголовки | Результаты SPF, DKIM и DMARC | Fail или pass для домена, который не принадлежит самой организации |
Как проверить ссылку, не открывая её
- На компьютере наведите курсор на ссылку и подождите, пока настоящий адрес появится внизу окна или во всплывающей подсказке.
- На телефоне нажмите на ссылку и удерживайте, чтобы увидеть адрес. Некоторые телефоны показывают предпросмотр страницы, поэтому безопаснее скопировать ссылку и вставить её в приложение для заметок.
- Найдите зарегистрированный домен: читайте имя хоста справа, до первого одиночного слеша. В адресе
https://login.example.com.secure-verify.io/accountдомен —secure-verify.io, а не example.com. - Если вам нужно зайти в сервис, введите его адрес сами или воспользуйтесь закладкой либо официальным приложением вместо ссылки.
Наш инструмент проверка письма на фишинг анализирует вставленный текст или заголовки на обманные ссылки, подделку отправителя и другие тревожные признаки, и вам ничего не нужно открывать.
Как безопасно прочитать заголовки письма
В каждом письме есть скрытые заголовки: они записывают, какие серверы его обработали и прошло ли оно аутентификацию. Просматривать их безопасно, потому что вы просто читаете текст. Где их найти:
- Gmail: откройте письмо, нажмите меню с тремя точками, затем Показать оригинал.
- Outlook в браузере и новый Outlook: откройте письмо, нажмите меню с тремя точками, затем Просмотреть и Просмотреть сведения о сообщении.
- Классический Outlook для Windows: откройте письмо, затем Файл, Свойства и смотрите в поле Заголовки Интернета.
- Apple Mail: Вид, Сообщение, Все заголовки или Исходные данные.
Самая полезная строка — обычно Authentication-Results, которую добавляет ваш почтовый провайдер:
Authentication-Results: mx.example.net;
spf=pass smtp.mailfrom=bounce.example-shop.com;
dkim=pass header.d=example-shop.com;
dmarc=pass header.from=example-shop.comПроверьте, что указанные здесь домены совпадают с ожидаемой организацией. Сравните также адреса From, Reply-To и Return-Path, а строки Received читайте снизу вверх, чтобы увидеть, откуда письмо было отправлено. Если вставить заголовки в наш анализатор заголовков письма, он наглядно покажет каждый переход и результат аутентификации.
Что SPF, DKIM и DMARC могут и не могут сказать
Эти три стандарта позволяют принимающему серверу проверить, действительно ли письмо пришло с того домена, который указан:
- SPF перечисляет серверы, которым разрешено отправлять почту от имени домена; проверка идёт по адресу отправителя в конверте (
Return-Path). - DKIM добавляет криптографическую подпись, которая доказывает, что домен взял на себя ответственность за письмо и что подписанные части не были изменены.
- DMARC требует, чтобы SPF или DKIM проходили для домена, согласованного с видимым адресом в поле «От кого», и сообщает получателям, что делать, если это не так: ничего, поместить в карантин или отклонить.
Когда у организации действует строгая политика DMARC, злоумышленникам нелегко подставить именно этот домен в строку «От кого». Поэтому фишинг так часто использует похожие домены, трюки с отображаемым именем или взломанные аккаунты. Письмо с домена paypa1-billing.com может безупречно пройти SPF, DKIM и DMARC для собственного домена. Успешная проверка доказывает, кто отправил письмо, но не то, что отправитель честен. А вот неудачная проверка у письма, которое выдаёт себя за сообщение крупной организации, — серьёзный повод для подозрений.
Если вы управляете доменом, проверьте, что ваши собственные записи настроены, с помощью нашей проверки SPF и DMARC, а подробности настройки читайте в статье SPF, DKIM и DMARC: простое объяснение.
Что делать с подозрительным письмом
- Не переходите по ссылкам, не открывайте вложения, не сканируйте QR-коды и не отвечайте.
- Проверьте по отдельному каналу: позвоните человеку по номеру, который у вас уже есть, или войдите в сервис, набрав его адрес сами.
- Сообщите о письме. На работе используйте кнопку «Сообщить о фишинге» или перешлите письмо так, как просит ваша ИТ-служба. В Gmail и Outlook есть встроенная функция Сообщить о фишинге. В Великобритании подозрительные письма можно пересылать в Национальный центр кибербезопасности (NCSC) по адресу
report@phishing.gov.uk; в США о мошенничестве можно сообщить в Федеральную торговую комиссию (FTC) на сайте reportfraud.ftc.gov.
Что делать, если вы уже перешли по ссылке
Важно то, что произошло после перехода. Действуйте быстро:
- Если вы ввели пароль, сразу смените его на настоящем сайте, набрав адрес вручную, и на всех других аккаунтах с таким же паролем. Затем завершите все остальные сеансы: большинство крупных сервисов предлагает это в настройках безопасности.
- Включите или проверьте MFA. Удалите все незнакомые устройства, пароли приложений и регистрации аутентификаторов. Ключи доступа (passkeys) и аппаратные ключи безопасности устойчивы к фишингу, потому что работают только на настоящем сайте.
- Проверьте настройки почтового ящика. Злоумышленники, получившие доступ к почтовому аккаунту, часто добавляют правила пересылки или фильтры, которые скрывают ответы. Поищите правила, которых вы не создавали.
- Если вы открыли вложение или запустили файл, отключите устройство от сети и обратитесь в свою ИТ-службу, а если это личное устройство, выполните полное сканирование актуальной антивирусной программой.
- Если вы отправили деньги или данные карты, немедленно позвоните в банк или эмитенту карты по номеру, указанному на карте или на официальном сайте. Быстрые действия повышают шанс остановить платёж.
- Предупредите тех, кто может стать следующей целью, например коллег или контакты, если с вашего аккаунта рассылали сообщения.
Часто задаваемые вопросы
Можно ли подвергнуться взлому, просто открыв фишинговое письмо?
Для обычных пользователей с современными почтовыми программами одного открытия письма редко бывает достаточно. Опасность возникает, когда вы переходите по ссылкам, открываете вложения, вводите данные или отвечаете. Загрузка удалённых изображений может подтвердить отправителю, что ваш адрес действующий.
Чем фишинг отличается от целевого фишинга (spear phishing)?
Фишинг рассылают большому числу людей с шаблонной приманкой. Целевой фишинг нацелен на конкретного человека или организацию и использует настоящие имена, должности, проекты или поставщиков, чтобы выглядеть правдоподобно, поэтому его сложнее заметить.
Если письмо прошло SPF, DKIM и DMARC, оно безопасно?
Нет. Успешная проверка показывает лишь то, что домен в адресе «От кого» разрешил это письмо. Злоумышленники могут регистрировать собственные похожие домены с правильными записями, а письма со взломанных настоящих аккаунтов тоже проходят проверку. Всегда оценивайте сам домен и то, о чём вас просит письмо.
Как проверить, безопасна ли ссылка в письме?
Наведите на неё курсор или скопируйте её, не открывая, определите зарегистрированный домен, читая справа налево, и сравните его с настоящим доменом организации. Если сомневаетесь, зайдите на сайт напрямую, а не по ссылке.
Почему в фишинговых письмах используют QR-коды?
QR-код прячет ссылку в изображении, которое многие фильтры не расшифровывают, и переносит вас на телефон: на нём может не быть защиты управляемого рабочего компьютера, и полный адрес труднее проверить.