Как работает анализатор фишинговых писем
Фишинговые письма подражают доверенным брендам, чтобы заставить вас перейти по ссылке, открыть вложение, отправить деньги или ввести пароль. Злоумышленники постоянно меняют формулировки, но большинство фишинговых сообщений всё равно оставляют технические и психологические следы. Этот инструмент ищет такие следы в четырёх местах:
- Аутентификация: результаты SPF, DKIM и DMARC, записанные вашим почтовым провайдером в заголовке
Authentication-Results. Непройденная проверка DMARC означает, что нельзя доказать, что сообщение пришло с домена из строки From. - Личность отправителя: несоответствия между отображаемым именем, адресом From, Reply-To и Return-Path; названия брендов, отправленные с бесплатных почтовых ящиков; и похожие на настоящие домены, такие как
paypa1.com, или интернационализированные домены (xn--), имитирующие реальные бренды. - Ссылки: текст ссылки, показывающий один адрес, но ведущий на другой, «голые» IP-адреса, сервисы сокращения ссылок, приём с символом
@, названия брендов, спрятанные в поддоменах (paypal.com.account-check.example), незашифрованные ссылки и недавно зарегистрированные домены. - Содержимое: срочность и угрозы («в течение 24 часов», «аккаунт заблокирован»), запросы паролей или оплаты, подарочные карты и криптовалюта, безличные приветствия и опасные типы вложений.
Каждый признак увеличивает оценку риска. Оценка показывает, насколько осторожно стоит обращаться с сообщением, но не является гарантией.
Как получить полные заголовки письма
- Gmail: откройте письмо → меню с тремя точками → Показать оригинал → Копировать в буфер обмена.
- Outlook.com / Microsoft 365: откройте письмо → меню с тремя точками → Вид → Просмотреть источник сообщения.
- Apple Mail: Вид → Сообщение → Исходный текст.
- Yahoo Mail: меню с тремя точками → Просмотреть исходный текст сообщения.
Вставка исходного текста письма даёт самый полный анализ, потому что включает заголовки, настоящие адреса ссылок в HTML и результаты аутентификации. Для подробного просмотра по шагам маршрута используйте Анализатор заголовков письма.
Что делать с фишинговым письмом
- Не переходите по ссылкам, не открывайте вложения и не отвечайте.
- Сообщите о нём: воспользуйтесь кнопкой Сообщить о фишинге у вашего почтового провайдера. Можно также переслать его на адрес для жалоб компании, от имени которой действовали мошенники, и в национальную службу приёма сообщений (например,
report@phishing.gov.ukв Великобритании илиreportphishing@apwg.org). - Если вы уже перешли по ссылке или ввели данные: смените пароль на настоящем сайте, включите двухфакторную аутентификацию, завершите другие сеансы и немедленно свяжитесь с банком, если вы сообщили платёжные данные.
- Защитите собственный домен от подделки с помощью SPF, DKIM и DMARC.
Часто задаваемые вопросы
Может ли этот инструмент сказать, что письмо безопасно на 100%?
Ни один инструмент не может. Опытные злоумышленники отправляют письма с взломанных настоящих аккаунтов, которые проходят все технические проверки. Низкую оценку воспринимайте как «явных тревожных признаков нет» и проверяйте неожиданные просьбы по другому каналу.
Почему в настоящем письме от моего банка тоже находятся некоторые признаки?
В легитимных рекламных письмах часто используются отслеживающие ссылки, сервисы сокращения ссылок или сторонние службы рассылки, которые похожи на приёмы фишинга. Смотрите на общую картину, особенно на результаты аутентификации и домены ссылок.
Открывает ли анализатор ссылки?
Никогда. Ссылки только разбираются как текст. Чтобы безопасно изучить ссылку, вставьте её в нашу Проверку редиректов, которая проходит по ней с нашего сервера.
Обновлено