Основные схемы фишинга
1. Поддельный сайт банка. Вы получаете SMS: «Ваша карта заблокирована. Разблокируйте: sberbank-security.ru». Сайт выглядит как настоящий Сбербанк, но домен отличается. Вы вводите логин, пароль и код из SMS — мошенники получают доступ к онлайн-банку.
2. Письмо от «Госуслуг». Email с логотипом Госуслуг: «Вам назначена выплата 12 000 руб. Подтвердите получение». Ссылка ведёт на поддельный сайт, где просят ввести данные карты для «получения выплаты». На самом деле — списание.
3. Звонок из «банка» или «полиции». Звонящий представляется сотрудником службы безопасности. Сообщает о «подозрительной операции» и просит назвать код из SMS или перевести деньги на «безопасный счёт». В 2024 году средний ущерб от телефонного мошенничества: 100 000-300 000 руб на жертву.
4. Фишинг через мессенджеры. Сообщение от «друга» в Telegram/WhatsApp: «Проголосуй за мою племянницу в конкурсе» со ссылкой. При переходе — запрос авторизации через Telegram. Мошенники получают доступ к аккаунту и рассылают аналогичные сообщения от вашего имени.
Как распознать подделку
- Проверяйте домен. sberbank.ru — настоящий. sber-bank.ru, sberbank-online.xyz — подделки. Обращайте внимание на замены букв: sberbank → sberbenk, gosuslugi → gosuslugі (кириллическая «і» вместо латинской «i»)
- Наведите на ссылку, не кликая. В десктопном браузере при наведении курсора в левом нижнем углу отображается реальный URL. На мобильном — долгое нажатие
- Проверяйте HTTPS. Настоящие сайты банков всегда используют HTTPS (замок в адресной строке). Но наличие HTTPS не гарантирует подлинность: мошенники тоже получают SSL-сертификаты
- Не переходите по ссылкам из SMS. Банки никогда не отправляют ссылки в SMS. Если получили сообщение о блокировке — откройте приложение банка самостоятельно или позвоните по номеру с карты
- Банк никогда не просит код из SMS. Код подтверждения, CVV карты, пароль от онлайн-банка — это данные, которые никогда не запрашиваются по телефону
Инструменты защиты
- Двухфакторная аутентификация (2FA). Включите для всех аккаунтов: банки, почта, мессенджеры, Госуслуги. Даже если мошенники узнают пароль, без второго фактора (SMS, приложение-аутентификатор) войти не смогут
- Антифишинг в браузере. Chrome, Firefox и Яндекс.Браузер предупреждают о поддельных сайтах. Не игнорируйте эти предупреждения
- Проверка сайтов. Сервисы VirusTotal (virustotal.com) и Kaspersky Threat Intelligence проверяют URL на принадлежность к фишинговым базам
О защите паролей читайте в статье о пасключах (passkeys). А о мошенничестве с картами — в отдельном материале.
