Что такое фишинг: полное руководство

Фишинг — это вид интернет-мошенничества, при котором злоумышленники маскируются под доверенные организации, чтобы выманить ваши логины, пароли, данные банковских карт или другую личную информацию. Само слово происходит от английского fishing («рыбная ловля»): мошенники «забрасывают удочку» и ждут, когда жертва клюнет. Ежегодно фишинг становится причиной миллиардных убытков по всему миру, и Россия — не исключение.

Как работает фишинговая атака: 5 шагов

Типичная фишинговая схема развивается по предсказуемому сценарию:

Выбор цели и легенды. Мошенники выбирают популярный бренд — Сбербанк, Ozon, Госуслуги — и создают убедительную причину для контакта: блокировка счёта, подозрительная операция, посылка на таможне.
Создание поддельного ресурса. Регистрируется домен, похожий на оригинальный (например, sberbank-online.ru вместо sberbank.ru), или полностью копируется внешний вид легитимного сайта.
Рассылка приманки. Жертве отправляется письмо, SMS, сообщение в мессенджере или звонок с просьбой перейти по ссылке и «подтвердить данные».
Создание срочности. Сообщение содержит угрозу: «счёт будет заблокирован через 24 часа», «вам положен возврат налога, срок истекает сегодня». Давление на эмоции отключает критическое мышление.
Сбор данных. Жертва вводит данные на фейковой странице — они немедленно попадают к мошенникам.

Почему фишинг работает: психологические механизмы

Технические меры защиты постоянно совершенствуются, но человеческая психология остаётся прежней. Мошенники эксплуатируют три основных рычага:

Срочность и страх

«Ваша карта заблокирована», «обнаружен вход с незнакомого устройства», «последнее предупреждение» — такие фразы вызывают панику и заставляют действовать быстро, не проверяя детали.

Авторитет и доверие

Логотип Сбербанка, официальный тон письма, имитация интерфейса Госуслуг — всё это создаёт ощущение, что вы общаетесь с настоящей организацией.

Выгода и любопытство

«Вам положен налоговый вычет», «вы выиграли приз», «получите кешбэк» — соблазн получить что-то бесплатно снижает бдительность.

Основные виды фишинга

Email-фишинг

Самый распространённый вид. Мошники рассылают письма от имени банков, интернет-магазинов, государственных органов. Письмо выглядит убедительно: правильный логотип, «официальный» адрес отправителя, аккуратная вёрстка. Но домен отправителя или ссылки в письме ведут на подставной сайт.

Смишинг (SMS-фишинг)

Фишинг через СМС. Типичные примеры в России: «Ваш заказ СДЭК задержан на таможне, подтвердите адрес по ссылке», «Почта России: посылка ожидает оплаты». Подробнее — в руководстве что такое смишинг.

Квишинг (QR-фишинг)

Атаки через QR-коды. Поддельный QR-код наклеивается поверх настоящего (например, на парковочном автомате) или рассылается в письмах. Подробнее — в руководстве что такое квишинг.

Спир-фишинг

Целевые атаки на конкретного человека или организацию. Мошенники предварительно изучают жертву — имя, должность, коллег, текущие проекты — и составляют максимально персонализированное сообщение. Такие атаки значительно эффективнее массовых рассылок.

Российские примеры фишинга

Среди наиболее популярных легенд в России:

Сбербанк: «Обнаружена подозрительная операция на сумму 15 000 ₽. Для отмены перейдите по ссылке...» — ссылка ведёт на sberbank-secure-login.ru вместо sberbank.ru.
Ozon / Wildberries: Уведомление о «бонусных рублях» с истекающим сроком или запрос «подтверждения адреса доставки».
СДЭК / Почта России: СМС о посылке, задержанной на таможне, со ссылкой на оплату несуществующего сбора.
Госуслуги: Письмо о налоговом вычете или штрафе с кнопкой входа, ведущей на поддельный портал.
Работные сайты: «Работодатель» просит пройти «верификацию» через поддельный сервис или сообщить данные карты для перевода аванса.

Признаки фишинга: чек-лист

Домен отправителя или ссылки не совпадает с официальным (лишние буквы, дефисы, другая зона)
Создаётся искусственная срочность («ответьте в течение 24 часов»)
Просьба ввести пароль, PIN или данные карты по ссылке из письма
Орфографические ошибки или странные формулировки
Приветствие «Уважаемый клиент» вместо вашего имени
Ссылка при наведении показывает другой адрес, чем написано
Слишком выгодное предложение («вы выиграли iPhone»)

Что делать если вы перешли по подозрительной ссылке

Если вы кликнули на подозрительную ссылку — не паникуйте, но действуйте быстро. Подробный алгоритм действий описан в руководстве что делать после перехода по фишинговой ссылке. В двух словах:

Если просто открыли страницу — смените пароль от аккаунта, который был упомянут, проверьте устройство антивирусом.
Если ввели пароль — немедленно смените его через официальный сайт, включите двухфакторную аутентификацию.
Если ввели данные карты — позвоните в банк и заблокируйте карту.
Если скачали файл — не открывайте его, немедленно просканируйте антивирусом.

Проверьте подозрительную ссылку

Вставьте URL, SMS или QR-код в 2check.click — сервис проверит домен, редиректы, возраст домена и другие признаки фишинга.

Открыть анализатор 2check.click

Часто задаваемые вопросы

Может ли фишинговый сайт выглядеть точь-в-точь как настоящий?

Да. Мошенники могут скопировать дизайн, логотипы и даже SSL-сертификат (замочек в браузере). Именно поэтому нужно проверять адрес домена, а не только внешний вид страницы.

Опасно ли просто открыть фишинговую ссылку, не вводя данные?

В большинстве случаев само по себе открытие страницы не приводит к потере данных. Угроза возникает, когда вы вводите логин, пароль или банковские данные, или скачиваете и запускаете файл.

Как мошенники узнают мой номер телефона или email?

Контактные данные берутся из утечек баз данных, открытых источников (социальные сети, объявления), а также покупаются на теневых рынках. Иногда рассылка идёт по миллионам случайных номеров.

Защищает ли антивирус от фишинга?

Антивирусы и браузерные расширения блокируют известные фишинговые сайты, но не успевают за новыми. Свежезарегистрированный домен может не числиться ни в одной базе. Проверка через 2check.click учитывает не только репутацию, но и структурные признаки URL.

Что такое целевой фишинг (спир-фишинг)?

Спир-фишинг — персонализированная атака. Мошенник предварительно изучает жертву и обращается к ней по имени, упоминает коллег, реальные проекты. Такие письма гораздо убедительнее массовых рассылок.

Могут ли взломать аккаунт без фишинга?

Да — через перебор паролей, утечки баз данных или вредоносное ПО. Но фишинг остаётся одним из самых эффективных способов именно потому, что жертва сама отдаёт данные.

Что такое вишинг?

Вишинг (voice phishing) — фишинг по телефону. Мошенник звонит, представляется сотрудником банка или полиции, и пытается выманить данные карты или код из СМС. Никогда не сообщайте CVV, PIN или одноразовые коды по телефону.

Как быстро проверить ссылку, не переходя по ней?

Скопируйте ссылку и вставьте её в анализатор 2check.click. Сервис разберёт домен, проверит редиректы, возраст домена и признаки маскировки — без перехода по адресу.