Что такое фишинг, как его распознать и как от него защититься

Что такое фишинг: определение и суть угрозы

Фишинг (от англ. fishing — рыбалка) — кибератака, основанная на социальной инженерии: злоумышленник имитирует доверенный источник, чтобы выманить конфиденциальные данные или вынудить жертву установить вредоносное программное обеспечение (ПО).

Принципиальное отличие от технического взлома: фишинговая атака эксплуатирует не уязвимость кода, а человеческое поведение. Доверие к авторитету, страх потерять доступ к аккаунту, привычка реагировать на срочность — всё это оказывается надёжнее взломанного пароля.

Основные цели злоумышленника:

• учётные данные (логин и пароль от почты, банка, соцсетей);
• финансовые реквизиты (номер карты, CVV, данные интернет-банка);
• установка трояна или другого вредоносного ПО через поддельное вложение.

Согласно FBI Internet Crime Report 2023, за год зафиксировано свыше 298 000 жалоб на фишинговые инциденты — больше, чем по всем остальным категориям киберпреступлений вместе. Фишинг устойчиво занимает первое место уже несколько лет подряд.

Как работает фишинг: механизм и психологические уловки

Фишинговая атака строится на двух опорах: иллюзии доверия и искусственном давлении срочности. Злоумышленник создаёт ситуацию, в которой остановиться и проверить кажется лишним — именно тогда жертва и совершает ошибку. Технические инструменты вторичны: поддельный домен, имитация бренда, копия интерфейса — всё это воспроизводит внешние признаки легитимного контакта. Главное оружие атакующего — психологические триггеры: срочность, страх, авторитет, — которые подавляют привычку проверять.

Пять шагов типичной фишинговой атаки

1. Подмена личности. Атакующий создаёт домен или адрес отправителя, неотличимый на беглый взгляд: sberbank-online.ru вместо sberbank.ru, лишняя цифра в имени компании.
2. Контакт. Жертва получает письмо, SMS или звонок: «Ваш аккаунт заблокирован — подтвердите данные в течение часа».
3. Взаимодействие. Пользователь переходит по фишинговой ссылке на поддельный сайт или открывает вредоносный файл во вложении. Страница визуально неотличима от настоящей.
4. Сбор данных. Введённые логин и пароль уходят напрямую к злоумышленнику. Если загружен вредоносный файл — начинается фоновый сбор активности.
5. Злоупотребление. Атакующий входит в аккаунт, выводит средства или рассылает мошеннические сообщения от имени жертвы.

Ключевой момент: срочность подавляет критическое мышление. Именно поэтому фишинг срабатывает даже против технически грамотных людей — в момент усталости или стресса.

Виды фишинговых атак: от массовых рассылок до целевых схем

Фишинговые атаки классифицируют по двум признакам: каналу доставки (email, SMS, телефон, QR-код) и степени таргетинга — от массовых безликих рассылок до точечных атак с глубокой персонализацией. Понимание этих механизмов помогает выбирать правильные меры защиты.

Разобраться в устройстве современных киберугроз профессионально, а не на интуитивном уровне, позволяет специализированное обучение. Для тех, кто рассматривает кибербезопасность как карьерное направление, ProfiFuture предлагает программу по информационной безопасности: 1,5 месяца онлайн, господдержка покрывает 75% стоимости.

Массовые атаки: email, SMS, QR-коды и телефонные звонки

Почтовый фишинг — наиболее распространённый формат. Миллионы писем с имитацией банков и маркетплейсов рассылаются по купленным базам; в них — фишинговые ссылки или вредоносные файлы во вложениях.

Смишинг — фишинг через SMS. Личное сообщение воспринимается как более доверенный канал, чем email, — кликабельность ссылок здесь выше.

Вишинг — голосовые звонки от имени «службы безопасности банка» или «налоговой». Атакующие переадресуют номер так, чтобы в определителе отображался официальный номер организации.

Quishing — фишинг через QR-коды. URL скрыт до момента сканирования: пользователь не видит адрес, не перейдя по нему.

Целевые схемы: спир-фишинг, уэйлинг и BEC

Целевой фишинг (spear phishing) — атака с персонализацией. Злоумышленник заранее собирает данные о жертве через разведку по открытым источникам (OSINT): соцсети, корпоративный сайт, базы утечек. В письме — реальные детали: имя руководителя, название проекта, корпоративный стиль. Именно поэтому такая атака значительно убедительнее массовой рассылки.

Уэйлинг (whaling) — подвид целевого фишинга, нацеленный на топ-менеджеров с финансовыми полномочиями. Ущерб от одного успешного инцидента может исчисляться миллионами рублей.

Компрометация корпоративной почты (BEC): атакующий создаёт адрес, неотличимый от реального корпоративного, и запрашивает срочный банковский перевод якобы от имени руководства.

Клон-фишинг: берётся реальное письмо от доверенного отправителя, ссылки или вложения заменяются на вредоносные — и письмо повторно отправляется как «обновлённая версия». Уровень достоверности крайне высокий.

Фарминг стоит особняком: через DNS-манипуляции браузер автоматически перенаправляется на поддельный сайт даже при вводе правильного адреса — без какого-либо взаимодействия с письмом.

Как распознать фишинг: 8 признаков мошеннического сообщения

Совпадение двух-трёх из следующих признаков — уже достаточный повод не взаимодействовать с сообщением до проверки отправителя.

1. Опечатка в домене или адресе отправителя. sber-bank.ru вместо sberbank.ru, лишний дефис или цифра в имени компании.
2. Искусственная срочность или угроза последствий. «Аккаунт заблокируют через 24 часа» — классический фишинговый триггер.
3. Вложения в форматах ZIP, RAR, EXE. Легитимные организации не присылают исполняемые файлы по почте.
4. Грамматические ошибки и шаблонные фразы. «Дорогой пользователь» вместо вашего имени — признак массовой рассылки.
5. Подозрительный URL-адрес при наведении курсора. Ссылка в тексте называет один домен, строка состояния браузера показывает другой.
6. Запрос данных без объяснения. Настоящие организации не просят пароль, PIN или одноразовый код по электронной почте или телефону.
7. Личная почта вместо корпоративной. Письмо от «техподдержки» пришло с gmail.com или mail.ru.
8. Предупреждение почтового сервиса. Если спам-фильтр пометил письмо как подозрительное — этого достаточно для осторожности.

Важно: HTTPS и значок замка в адресной строке не гарантируют безопасности. HTTPS шифрует соединение между браузером и сервером, но не подтверждает легитимность самого сайта. Мошенники без труда получают SSL-сертификаты для поддельных доменов.

Три вопроса перед любым взаимодействием: ожидали ли вы это сообщение? Есть ли давление срочности? Просят ли передать конфиденциальные данные? Если два ответа из трёх — «да», верифицируйте отправителя по официальным контактам из открытых источников.

Последствия фишинговой атаки: что происходит с жертвой

Фишинговая атака редко заканчивается одним инцидентом — последствия разворачиваются по временной шкале.

0–7 дней. Злоумышленник входит в захваченный аккаунт, меняет пароль и контактный email — жертва теряет доступ. Начинается рассылка мошеннических сообщений от её имени.

1–6 месяцев. Каскадный эффект: скомпрометированный email открывает доступ к восстановлению паролей на всех привязанных сервисах — магазинах, банках, соцсетях. Данные продаются на теневых площадках, используются для несанкционированных покупок или оформления кредитов на чужое имя.

Год и более. Повторные атаки, испорченная кредитная история, данные всплывают в новых утечках и используются снова.

Отдельная угроза — трояны, попадающие на устройство через ZIP или EXE-вложения. В отличие от прямого ввода данных на фишинговом сайте, вредоносная программа работает в фоне неделями: фиксирует нажатия клавиш, перехватывает сессии, делает скриншоты — без каких-либо видимых симптомов. Даже шифрование трафика через виртуальную частную сеть не защитит от трояна, который уже запущен на устройстве и перехватывает данные до их отправки.

Что делать, если вы перешли по фишинговой ссылке

Главное — действовать быстро и последовательно. Каждый час промедления расширяет возможности злоумышленника.

Шаг 1. Немедленно смените пароль на скомпрометированном аккаунте. Если такой же пароль используется на других сервисах — смените и там: атакующие проверяют это первыми.

Шаг 2. Включите многофакторную аутентификацию (MFA) на всех аккаунтах, если ещё не сделали этого.

Шаг 3. Свяжитесь с банком или платёжным сервисом, если вводили финансовые данные. Заморозьте карту и запросите выписку по последним операциям.

Шаг 4. Запустите полную антивирусную проверку устройства — особенно если открывали вложения. Вредоносное ПО может оставаться незамеченным неделями.

Шаг 5. Проверьте все аккаунты на несанкционированные входы и изменения настроек: контактный email, резервный номер телефона, привязанные приложения.

Шаг 6. Пометьте письмо как спам, заблокируйте отправителя и сообщите о мошенничестве через форму почтового сервиса или на портале Госуслуги.

Как защититься от фишинга: технические и поведенческие меры

Надёжная защита от фишинга — не одно приложение или настройка. Она складывается из технических инструментов и устойчивых поведенческих привычек, которые работают в паре: инструменты перехватывают угрозы автоматически, привычки срабатывают там, где автоматика не успевает.

Технические инструменты: MFA, антивирус, спам-фильтр

Многофакторная аутентификация (MFA) — первое, что стоит включить на всех аккаунтах. Даже если пароль утёк через фишинговую форму, без второго фактора — кода из приложения-аутентификатора или биометрии — злоумышленник не войдёт. SMS-коды надёжнее пароля, но уязвимы к SIM-своппингу (перевыпуску SIM-карты злоумышленником): предпочтительнее приложения Google Authenticator или Яндекс Ключ.

Антивирус обнаруживает вредоносное ПО в вложениях и по ссылкам до их открытия. Регулярное обновление баз — обязательно: новые фишинговые домены и трояны появляются ежедневно.

Спам-фильтр с нейросетевой моделью проверяет репутацию отправителя, содержание ссылок и вложений автоматически. Яндекс Почта, например, анализирует каждое входящее письмо по сотням параметров. Фильтр не перехватывает всё, но значительно снижает поток угроз.

На корпоративном уровне — разграничение прав доступа сотрудников: если учётная запись менеджера скомпрометирована, атакующий не должен автоматически получать доступ к финансовым системам или базам клиентов.

Поведенческие привычки, снижающие риск

«Правило паузы». Любой неожиданный запрос — повод остановиться на 30 секунд. Срочность в фишинговых сообщениях создана искусственно: настоящий банк или госорган не требует передать данные немедленно под угрозой блокировки.

Независимая верификация. Получили подозрительное письмо от «коллеги» или «банка»? Позвоните по официальному номеру из открытых источников — не по контактам из самого сообщения.

Правило конфиденциальности. Пароль, PIN или одноразовый код не передаётся никому — ни по email, ни по телефону. Ни одна легитимная организация их не запрашивает.

Обучение сотрудников и симулированные тесты — системный подход, который работает значительно эффективнее разовых предупреждений: персонал получает безвредное тестовое письмо и разбирает реакцию на нём.

Новые угрозы: фишинг с применением AI и дипфейков

Классические признаки фишинга — орфографические ошибки, шаблонные фразы, безличные обращения — уходят в прошлое. Искусственный интеллект (AI) позволяет генерировать тысячи персонализированных сообщений за минуты: без ошибок, на правильном языке, с реальными деталями из открытых источников о конкретном адресате.

Дипфейки выводят вишинг на новый уровень. Злоумышленники синтезируют голос руководителя компании и звонят сотруднику с просьбой срочно перевести средства на «партнёрский счёт». Распознать подделку на слух без подготовки крайне сложно.

Многоканальные атаки усиливают правдоподобие: сначала приходит фишинговое письмо, затем SMS-«подтверждение», затем звонок «менеджера» — всё в рамках одного сценария. Каждый канал подкрепляет следующий, создавая ощущение реальной ситуации.

Quishing в физическом пространстве — новая тактика: мошенники наклеивают QR-стикеры поверх настоящих кодов в офисах, кафе и на парковках. Отсканировав «официальный» код, пользователь попадает прямо на фишинговый сайт.

Защита в условиях AI-атак: при подозрительном голосовом звонке задайте личный вопрос, ответ на который знает только реальный человек. Всегда перезванивайте по официальному номеру из открытых источников — не по номеру из входящего звонка.

Часто задаваемые вопросы

Чем фишинг отличается от технического взлома?

Фишинг эксплуатирует поведение человека через социальную инженерию, а не уязвимости программного обеспечения. Злоумышленник не взламывает сервер — он убеждает пользователя самостоятельно передать данные. Именно поэтому даже технически защищённые компании регулярно страдают от фишинговых атак: антивирус и брандмауэр не защищают от манипуляции.

Что значит «фишинговый аккаунт»?

Фишинговый аккаунт — учётная запись, созданная злоумышленником для имитации реального лица или организации: банка, коллеги, госоргана. Используется для рассылки мошеннических сообщений в соцсетях и мессенджерах с целью выманить данные или деньги.

На что в действительности нацелены злоумышленники при фишинге?

Основные цели — учётные данные (логин и пароль), финансовые реквизиты, доступ к корпоративным системам. Через захваченный email можно восстановить пароли на всех привязанных сервисах — это каскадный эффект одной скомпрометированной учётной записи.

Чем фарминг отличается от фишинга?

Фишинг требует, чтобы жертва кликнула по поддельной ссылке. Фарминг действует иначе: через DNS-манипуляции браузер автоматически перенаправляется на поддельный сайт даже при вводе правильного адреса. Пользователю не нужно взаимодействовать с каким-либо письмом или сообщением.

Защищает ли HTTPS от фишинга?

Нет. HTTPS шифрует соединение между браузером и сайтом, но не подтверждает легитимность самого сайта. Мошенники получают SSL-сертификаты для поддельных доменов так же легко, как любой другой владелец сайта. Значок замка в адресной строке — признак шифрования соединения, но не безопасности организации за ним.

Можно ли заразить устройство, просто открыв письмо?

В большинстве случаев — нет. Риск возникает при клике по ссылке, загрузке вложения (ZIP, RAR, EXE) или вводе данных на подставном сайте. Устаревшие почтовые клиенты уязвимы к встроенным скриптам — обновляйте программное обеспечение и используйте современные почтовые сервисы со встроенной антивирусной проверкой.

Как двухфакторная аутентификация защищает от фишинга?

Если злоумышленник получил пароль через фишинговую форму, двухфакторная аутентификация (2FA) блокирует вход — потребуется второй фактор (код из приложения-аутентификатора или биометрия), которого у атакующего нет. SMS-коды уязвимы к SIM-своппингу — предпочтительнее использовать приложения-аутентификаторы.

Что делать, если фишинговые письма продолжают приходить?

Отмечайте письма как спам — это дообучает нейросетевую модель фильтра на вашем паттерне угроз. Проверьте, не попал ли ваш адрес в открытые базы утечек. Если атаки корпоративные — сообщите в IT-службу, настройте белые списки отправителей и проведите обучение сотрудников по признакам мошеннических сообщений.

Могут ли дипфейки использоваться для фишинга?

Да. Злоумышленники синтезируют голос или видео руководителя компании и звонят сотруднику с просьбой срочно перевести средства или передать доступы. Защита: задайте личный вопрос, ответ на который знает только реальный человек, и всегда перезванивайте по официальному корпоративному номеру из открытых источников — не по номеру из входящего звонка.

Как обучить сотрудников распознавать фишинговые атаки?

Эффективный подход: регулярные инструктажи по признакам фишинга, симулированные фишинговые кампании (тест без реального ущерба), чёткий регламент проверки подозрительных запросов через альтернативный канал связи и обязательная MFA на каждом рабочем аккаунте. Системный подход снижает риск значительно эффективнее разовых предупреждений.