Що таке фішинг і як від нього захиститися

Це шахрайська схема, за якої зловмисник видає себе за надійну організацію, щоб отримати пароль, банківські реквізити або доступ до облікового запису.

Обман може надійти електронною поштою, у месенджері, через СМС, соціальну мережу або навіть під час телефонного дзвінка. За схожим принципом поширюються небажані повідомлення, тому корисно також прочитати матеріал: «Що таке спам і як від нього захиститися».

Що таке фішинг простими словами?

Якщо пояснювати без технічних термінів, фішинг – це простими словами спроба змусити людину добровільно розкрити конфіденційну інформацію або виконати небезпечну дію. Шахрай не обов’язково зламує пристрій безпосередньо. Частіше він створює переконливу ситуацію та підштовхує жертву натиснути на посилання, відкрити вкладення, повідомити код підтвердження або переказати гроші.

Для користувача фішингові атаки – це повідомлення та сайти, які копіюють знайомі сервіси: банк, пошту, маркетплейс, службу доставки, державний портал, соціальну мережу або робочу систему. Зовні підробка може виглядати акуратно, містити логотип, фірмові кольори та ім’я отримувача.

Схема зазвичай будується за одним сценарієм:

1. Людина отримує повідомлення з тривожним або вигідним закликом.
2. Її переконують діяти швидко: підтвердити вхід, отримати виплату, скасувати списання або оновити пароль.
3. Посилання веде на підроблену сторінку або запускає завантаження шкідливого файлу.
4. Введені дані потрапляють до зловмисників.
5. Шахраї використовують їх для входу в обліковий запис, викрадення грошей або подальшого обману контактів жертви.

Щоб зрозуміти, що таке фішинговий сайт, достатньо уявити копію сторінки відомого сервісу, розміщену на сторонньому домені. Вона може майже повністю повторювати оригінал, але введений логін, пароль або номер картки надсилає не справжній компанії, а злочинцям.

Яку мету переслідує така загроза, як фішинг?

У будь-якій подібній схемі основна мета фішингу – отримати цінну інформацію або змусити людину виконати дію, вигідну шахраю. Конкретне завдання залежить від обраної жертви та сценарію атаки.

Найчастіше зловмисники намагаються викрасти:

• логіни та паролі від пошти, соціальних мереж і хмарних сервісів;
• дані банківської картки, строк дії та захисний код;
• одноразові коди із СМС або банківського застосунку;
• документи, персональні дані та відповіді на контрольні запитання;
• робочі облікові записи, файли та доступ до корпоративної мережі;
• гроші через підроблену оплату, переказ або фіктивний рахунок.

Реальна загроза фішингу не обмежується втратою одного пароля. Доступ до електронної пошти дає змогу скинути паролі від інших сервісів, прочитати листування, знайти документи та видавати себе за власника облікового запису. У компанії одна викрадена облікова інформація може відкрити шлях до внутрішніх систем і даних клієнтів.

Поширені види фішингу відрізняються каналом і способом тиску:

• масові листи розсилають тисячам отримувачів без персоналізації;
• цільові повідомлення готують для конкретної людини або компанії;
• СМС-фішинг використовує короткі повідомлення з посиланням або номером телефону;
• голосовий обман будується на дзвінках від імені банку, поліції або служби безпеки;
• підроблені сторінки копіюють форму входу, оплати або відновлення пароля;
• атаки через соціальні мережі та месенджери надходять від зламаних акаунтів знайомих;
• корпоративні схеми імітують запит керівника, бухгалтера або ділового партнера.

Зловмисники постійно комбінують методи фішингу. Наприклад, людина спочатку отримує лист, а потім їй телефонують від імені служби підтримки та просять назвати код, який щойно надійшов на телефон. Використання кількох каналів робить легенду переконливішою, але принцип залишається незмінним: жертву кваплять і не дають спокійно перевірити інформацію.

Як розпізнати фішинг?

Одна підозріла деталь не завжди доводить обман. Рішення потрібно приймати за сукупністю ознак: хто є відправником, чого від вас вимагають, куди веде посилання та чи можна підтвердити повідомлення через офіційний канал.

Найпоширеніші ознаки фішингового сайту:

• адреса відрізняється від справжньої однією літерою, символом, зайвим словом або незвичною доменною зоною;
• сторінка відкрилася за посиланням із неочікуваного листа або повідомлення;
• сайт просить ввести код із СМС, PIN-код, повний пароль або секретні дані картки;
• кнопки та розділи не працюють, а активною залишається лише форма входу чи оплати;
• текст містить помилки, неприродні формулювання або змішування мов;
• дизайн схожий на оригінальний, але окремі елементи виглядають розмитими або розташовані інакше;
• браузер попереджає про проблему із сертифікатом або небезпечне з’єднання.

Значок замка біля адреси не підтверджує надійність сторінки. Він лише показує, що з’єднання між браузером і сайтом зашифроване. Шахраї також можуть використовувати сертифікат, тому головним орієнтиром залишається точне доменне ім’я.

Перевіряйте й саме повідомлення. Підозру мають викликати терміновість, погрози блокуванням, обіцянка несподіваної виплати, прохання зберегти розмову в таємниці або вимога обійти звичайну процедуру. Фрази на кшталт «обліковий запис буде видалено через 30 хвилин» спеціально створюють тривогу.

Перед натисканням наведіть курсор на посилання та подивіться фактичну адресу. На смартфоні посилання можна затиснути пальцем, не відкриваючи його. Якщо домен незнайомий, скорочений або не збігається з офіційним сайтом організації, перехід краще скасувати.

Корисно знати, як працює фішинговий сайт. Після введення даних сторінка може показати помилку та перенаправити користувача на справжній сервіс. Через це людина вирішує, що просто неправильно ввела пароль, хоча інформація вже потрапила до шахраїв.

Як захиститися від фішингу?

Захист починається не з уміння розпізнати ідеальну підробку, а зі звички перевіряти запит іншим способом. Не переходьте до оплати або входу в обліковий запис із несподіваного повідомлення. Відкрийте офіційний сайт вручну, скористайтеся збереженою закладкою або застосунком.

Практичний порядок дій:

1. Перевірте відправника. Порівняйте повну адресу електронної пошти або номер телефону з офіційними контактами.
2. Не поспішайте. Термінова вимога майже завжди розрахована на емоційну реакцію.
3. Не вводьте дані після переходу з листа або месенджера. Наберіть адресу сервісу самостійно.
4. Використовуйте різні паролі. Один викрадений пароль не повинен відкривати доступ до всіх облікових записів.
5. Увімкніть двофакторну автентифікацію. Краще використовувати застосунок-автентифікатор або апаратний ключ, якщо сервіс це підтримує.
6. Оновлюйте браузер, операційну систему та застосунки. Оновлення закривають відомі вразливості.
7. Не відкривайте несподівані вкладення, особливо архіви, виконувані файли та документи з проханням увімкнути макроси.
8. Перевіряйте фінансові операції в офіційному банківському застосунку, а не за посиланням із повідомлення.
9. Повідомляйте про підозрілі листи поштовому сервісу, банку або системному адміністратору компанії.
10. Поясніть близьким, що працівник банку не просить назвати PIN-код, пароль або повний код підтвердження.

Якщо дані вже були введені, дійте одразу:

• змініть пароль через офіційний сайт або застосунок;
• завершіть активні сеанси на інших пристроях;
• замініть такий самий пароль в інших сервісах;
• увімкніть двофакторний захист;
• зв’яжіться з банком і заблокуйте картку, якщо передали платіжні дані;
• перевірте правила переадресації та резервні контакти в електронній пошті;
• попередьте колег або знайомих, якщо шахраї могли писати від вашого імені;
• запустіть перевірку пристрою захисною програмою, якщо завантажували файл;
• збережіть лист, адресу сторінки та час події для звернення до служби підтримки або правоохоронних органів.

Повністю виключити спроби обману неможливо, але ризик можна значно знизити. Спокійна перевірка адреси, окремі паролі, двофакторна автентифікація та відмова повідомляти стороннім коди зупиняють більшість подібних схем ще до викрадення даних.