Фишинговое сообщение может выглядеть грамотно и прийти с правдоподобного адреса, поэтому оценивайте не один признак, а совокупность: отправителя, ссылку, повод, сроки, вложения и возможность подтвердить запрос. Не переходите по ссылкам и не открывайте файлы, пока не проверите их безопасными способами и не сверите сообщение с независимым источником.
Опорные сигналы скрытого фишинга
- Имя отправителя совпадает с известной организацией, но адрес или домен отличается от ожидаемого.
- Ссылка ведёт на адрес, не связанный с заявленной службой, или скрывает конечный домен за сокращателем.
- Сообщение требует срочно оплатить, войти в аккаунт, подтвердить данные или сохранить конфиденциальность.
- Запрос не совпадает с вашими реальными действиями, документами или внутренними процедурами.
- Вложение неожиданно для контекста либо требует включить макросы, выполнить файл или раскрыть дополнительные данные.
- Отдельный сигнал не доказывает фишинг: решение принимайте по нескольким признакам и независимой проверке.
Кто отправил сообщение: проверка адреса, домена и цепочки пересылки
Эта проверка подходит всем, кто получил сообщение с просьбой перейти в аккаунт, оплатить счёт, открыть документ или сообщить данные. Она особенно важна, если письмо касается денег, доступа или рабочих процессов. Не отвечайте отправителю и не используйте его контакты для проверки, если уже есть основания подозревать подмену.
- Сравните отображаемое имя с полным адресом отправителя: раскройте сведения об отправителе в почтовом клиенте, не нажимая на ссылки в письме.
- Проверьте домен после символа @ посимвольно: похожие буквы, лишние дефисы и дополнительные слова могут маскировать подмену. Сравните его с адресом организации из ранее сохранённой переписки или официального справочника.
- Если письмо переслано, выясните, кто именно переслал его и откуда оно первоначально пришло. Пересылка не подтверждает подлинность исходного сообщения.
Один незнакомый адрес не всегда означает атаку: подрядчики и сервисы могут использовать отдельные домены. Но совпадение имени и логотипа также не подтверждает подлинность.
Как изучить ссылку, не открывая её
Для безопасной проверки понадобятся почтовый клиент, который показывает полный адрес ссылки, и возможность скопировать её адрес без перехода. В рабочей среде используйте только одобренные ИТ-службой средства. Не отправляйте закрытые ссылки в публичные онлайн-проверки: в них могут содержаться токены доступа или персональные данные.
- На компьютере наведите указатель на ссылку и посмотрите, какой адрес отображается в строке состояния почтового клиента или браузера. Не нажимайте на неё.
- Если адрес не показывается, используйте команду копирования адреса ссылки в контекстном меню, а затем вставьте его в простой текстовый редактор. Не вставляйте адрес в адресную строку браузера.
- Читайте домен справа налево по его смысловым частям: ориентируйтесь на имя непосредственно перед доменной зоной, а не на знакомое слово в начале длинного адреса. Обращайте внимание на перенаправления и сокращатели.
- Если непонятно, куда ведёт ссылка, не пытайтесь проверить её переходом. Передайте сообщение в ИТ-службу или службу безопасности.
Так можно проверить ссылку на фишинг без открытия страницы. Само наличие HTTPS или значка замка не доказывает, что сайт принадлежит заявленной организации.
Сверьте повод и сроки с реальными событиями
Перед проверкой учитывайте риски: открытие ссылки может запустить переход или подтвердить активность адреса; вложение может содержать вредоносный код; ответ способен сообщить злоумышленнику, что почтовый ящик используется. Не пересылайте подозрительное письмо коллегам без разрешённого порядка — безопаснее воспользоваться кнопкой сообщения о фишинге или обратиться в ИТ-службу.
- Определите, чего именно от вас хотят. Выпишите действие: оплатить счёт, сбросить пароль, подписать документ или подтвердить данные. Не выполняйте его из сообщения.
- Сверьте контекст. Проверьте, ожидали ли вы это письмо, связан ли запрос с недавней покупкой, обращением или рабочей задачей. Используйте собственные записи и уже известную переписку, а не ссылки и номера из подозрительного сообщения.
- Проверьте сроки и последствия. Отметьте, создаёт ли письмо искусственную срочность, угрозу блокировки или требование действовать в нерабочее время. Срочность — повод для дополнительной проверки, но сама по себе не доказательство атаки.
- Сверьте запрос с обычной процедурой. Для рабочего платежа, смены реквизитов или выдачи доступа проверьте, соответствует ли письмо правилам согласования и известному процессу.
- Зафиксируйте несоответствия и решите, что делать дальше. Если сведения расходятся или подтверждения нет, не выполняйте запрос; передайте сообщение ответственным за безопасность.
Какие детали текста выдают подмену при грамотной редактуре
Даже качественно написанный текст можно проверить по смыслу и процедуре. Используйте чек-лист, не переходя по ссылкам:
- Проверьте, обращается ли отправитель к вам по делу и ожидаем ли такой формат общения.
- Сопоставьте просьбу с тем, как организация обычно запрашивает пароль, код подтверждения, платёж или персональные данные.
- Отметьте попытки обойти согласование: просьбы действовать втайне, не звонить руководителю или не сообщать коллегам.
- Проверьте, объяснена ли причина срочности и согласуется ли она с известными событиями.
- Обратите внимание на несоответствие должности отправителя характеру запроса, даже если стиль и грамматика безупречны.
- Сверьте названия проектов, номера счетов и даты с независимыми документами, которые у вас уже есть.
- Проверьте, не просит ли письмо выполнить необычное действие: установить программу, включить макросы или перенести общение в сторонний канал.
Грамотный язык не подтверждает подлинность, а необычная формулировка не всегда доказывает фишинг. Важны контекст и возможность проверить запрос независимо.
Заголовки письма и вложения: что проверить до открытия
Заголовки помогают изучить технический маршрут письма, но их интерпретация может требовать опыта. Если почтовый клиент показывает исходный текст сообщения, передайте его специалистам, если не уверены в выводах. Не открывайте вложение для проверки его типа или содержимого.
- Не считайте отображаемое имя или адрес в поле «От» достаточным доказательством: эти данные могут быть подделаны.
- Не делайте вывод только по результатам SPF, DKIM или DMARC: успешная проверка не подтверждает безопасность содержания и намерений отправителя.
- Не открывайте неожиданные архивы, документы, исполняемые файлы и файлы с двойным расширением.
- Не включайте макросы и не разрешайте дополнительное содержимое по просьбе из письма.
- Не переименовывайте вложение и не загружайте его в случайный онлайн-сервис для проверки.
- Не считайте знакомый логотип, шаблон или подпись доказательством подлинности: их можно скопировать.
Для защиты электронной почты от фишинга важны настройки почтовой системы и правила обработки подозрительных сообщений. Пользователю следует применять предусмотренную организацией кнопку сообщения о фишинге и не пытаться самостоятельно запускать вложения в изолированной среде.
Как подтвердить запрос по независимому каналу и сообщить о попытке фишинга
Если сомнение осталось, не отвечайте на исходное письмо. Выберите безопасный способ проверки с учётом ситуации:
- Связаться по ранее известному номеру. Уместно для платежей, смены реквизитов и запросов от руководителя. Используйте номер из телефонной книги или внутреннего справочника, а не из письма.
- Открыть официальный сайт привычным способом. Введите известный адрес вручную или используйте сохранённую закладку, затем проверьте уведомления в аккаунте. Не переходите на сайт по ссылке из сообщения.
- Проверить задачу через внутреннюю систему. Для рабочих документов и доступов найдите соответствующую заявку или согласование в корпоративной системе.
- Сообщить о подозрении ответственным. Используйте штатную функцию почтового клиента или канал ИТ-службы; для антифишинга для бизнеса важны единый порядок передачи сообщений и сохранение исходного письма по правилам организации.
Если вы уже перешли по ссылке или ввели данные, сообщите об этом ИТ-службе или службе безопасности без задержки. Смену пароля и другие действия выполняйте по их инструкциям; при раскрытии платёжных данных свяжитесь с банком по официальному номеру.
Разбор сомнительных признаков: что делать в пограничных случаях
Письмо пришло с правильного адреса, значит ли это, что оно безопасно?
Нет. Аккаунт отправителя мог быть скомпрометирован, а похожий адрес — подменён. Сверьте сам запрос и подтвердите его через независимый канал.
Ссылка выглядит знакомой. Можно ли перейти, чтобы убедиться?
Не нужно: знакомый текст ссылки не гарантирует, что фактический адрес безопасен. Просмотрите полный URL без перехода или откройте официальный сайт известным способом.
В письме нет срочности и угроз. Это исключает фишинг?
Нет. Мошенническое сообщение может быть спокойным и убедительным. Проверяйте отправителя, контекст, ссылки и вложения в совокупности.
Можно ли отправить ссылку в онлайн-сервис проверки?
Только если это разрешено правилами вашей организации и в ссылке нет конфиденциальных данных или токенов доступа. В остальных случаях обратитесь в ИТ-службу.
Что делать, если сообщение выглядит подозрительно, но подтверждений нет?
Не выполняйте запрос и не удаляйте письмо, если его нужно передать специалистам. Используйте установленный в организации способ сообщить о подозрении.
Нужно ли менять пароль после одного только получения письма?
Обычно одного получения недостаточно, чтобы считать пароль раскрытым. Если вы вводили пароль на открытой по ссылке странице, сообщите об этом ИТ-службе и действуйте по её рекомендациям.