Что такое фишинг и почему он так хорошо работает?
Фишинг — это рассылка поддельных писем от имени организаций, которым вы доверяете: банков, служб доставки, государственных органов, почтовых сервисов. Цель таких писем — выманить у вас логины и пароли, реквизиты карт или личные данные.
Работает он по очень простой причине: чтобы попасться, не нужно никаких технических навыков. Хорошо сделанное фишинговое письмо выглядит ровно так же, как настоящее. Имя отправителя совпадает. Логотип на месте. Текст написан профессионально. Подсказки тут только косвенные — слегка изменённый домен, ссылка, которая ведёт не туда, куда обещает, — и большинство людей, открывая почту, на эти детали попросту не настроены.
Масштаб впечатляет. В сутки рассылается более 3,4 миллиарда фишинговых писем. В 2023 году фишинг участвовал в 36 % всех утечек данных. И главная точка атаки во всех этих сценариях одна — ваш email-адрес.
6 видов фишинга, о которых стоит знать
Email-фишинг — массовые рассылки, выдающие себя за известные бренды (банки, службы доставки, стриминги). Бьют широко, рассчитывают на массу.
Целевой фишинг (spear phishing) — точечные атаки, в которых используется ваше имя, работодатель или недавняя активность, чтобы письмо выглядело персональным. Гораздо убедительнее массовых рассылок.
Уэйлинг (whaling) — целевой фишинг по топ-менеджменту и особо ценным целям. Тщательно подготовленный, часто маскируется под членов совета директоров или юристов.
Смишинг (smishing) — фишинг через SMS, обычно с укороченными ссылками. Быстро растёт по мере того, как почтовые фильтры становятся лучше.
Вишинг (vishing) — фишинг по телефону. Часто идёт сразу после письма, чтобы добавить «правдоподобия» («звоню по поводу письма, которое мы вам только что отправили»).
Клон-фишинг (clone phishing) — злоумышленники перехватывают реальное письмо, которое вам уже приходило, и присылают почти идентичную копию, в которой ссылки заменены на вредоносные.
8 признаков фишингового письма
Домен отправителя не совпадает с компанией. Настоящее письмо от PayPal приходит с @paypal.com, а не с @paypal-security.net, @paypal.support-team.com или любых производных. Смотрите именно на домен, а не только на отображаемое имя.
Ссылки, которые ведут не туда, куда заявлено. Перед тем как кликнуть, наведите курсор на ссылку. Если URL, который вы видите, не совпадает с тем, что обещает письмо, не нажимайте. На телефоне — долго удерживайте ссылку, чтобы увидеть превью.
Неожиданные вложения — особенно .zip, .exe, .doc. Вложения — один из главных каналов доставки вредоносного ПО. Серьёзный банк, госучреждение или работодатель практически никогда не пришлют вам файл, о котором вы не просили.
Просьбы прислать пароли, номера карт или личные данные. Ни одна добросовестная организация никогда не запросит у вас по почте пароль, PIN, полный номер карты или полный номер документа. Это всегда фишинг.
Безличные обращения вместо вашего имени. Массовые рассылки часто используют «Уважаемый клиент» или «Здравствуйте, пользователь» вместо имени. Это не стопроцентный признак — целевой фишинг как раз обращается по имени, — но безличное приветствие в письме о безопасности или от банка точно повод насторожиться.
Странные или несоответствующие страницы входа. Если ссылка ведёт на форму входа, прежде чем что-то вводить, внимательно посмотрите на адрес. Атакующие умеют делать очень убедительные копии на чуть-чуть отличающихся доменах.
Срочность или угрозы. «Ваш аккаунт будет заблокирован через 24 часа.» «Требуются немедленные действия.» Эта искусственная спешка как раз и нужна, чтобы выключить ваше критическое мышление.
Корявая вёрстка, странные шрифты, битые картинки. Хотя ИИ заметно поднял средний уровень фишинговых писем, более «дешёвые» кампании по-прежнему приходят с ошибками вёрстки, странными отступами и неработающими логотипами, которые выдают подделку.
Как анонимная почта убирает вас из списка целей
Большинству фишинговых атак нужен ваш реальный адрес, чтобы вообще до вас добраться. Этот адрес откуда-то к ним попал — из утечки, купленной базы, спарсенного сайта, скомпрометированного сервиса, в котором вы регистрировались много лет назад.
Если вы никогда не отдавали свой реальный адрес какому-то конкретному сервису, из этого сервиса он и не утечёт. Это и есть фундаментальная защита, которую даёт одноразовая почта.
Каждый раз, когда вы используете одноразовый ящик вместо реального адреса, вы убираете ещё один потенциальный источник утечки. Одноразовый адрес действительно может оказаться в утечке, в спам-листе или начать получать фишинг — но к этому моменту он уже давно истечёт и при этом никак не связан с вашей реальной личностью.
Что меняется, когда вы пользуетесь одноразовой почтой
- Скомпрометированные сервисы сливают мёртвый адрес, а не ваш настоящий
- Спам-листы, собранные на основе ваших регистраций, состоят из адресов, которых уже нет
- Целевая фишинговая разведка не находит истории переписки, привязанной к вашей реальной личности
- Поверхность атаки для целевого фишинга радикально сужается
У 10-минутного ящика окно экспозиции настолько коротко, что любой временной разрыв между утечкой и кампанией приходит уже после истечения адреса. У 3-дневного ящика адрес рандомен и не привязан ни к одному персональному профилю — целевому фишеру просто нечего изучать и нечем оперировать.
Кто пользуется анонимной почтой — и зачем
Покупатели в интернете — чтобы избежать пожизненных маркетинговых цепочек и утечек из-за разовой покупки.
Команды разработки и QA — чистые изолированные ящики для тестов почтовых сценариев, без захламления настоящих адресов.
Геймеры — пробные аккаунты и доступы к бетам без постоянного следа, привязанного к реальной личности.
Исследователи и журналисты — доступ к источникам, платформам и сервисам без создания цифрового следа, по которому потом можно атаковать.
Путешественники — прохождение Wi-Fi-порталов в аэропортах и отелях без сдачи реального адреса.
Профессионалы — изучение конкурентов и оценка сервисов без запуска маркетинговых цепочек со стороны продаж.
Те, кто думает о приватности — все, кто относится к настоящему почтовому ящику как к ценному активу, а не как к ресурсу, который раздают всем подряд.
Что делать, если вы уже кликнули по фишинговой ссылке
Действуйте сразу. Чем дольше тянете, тем больше может быть ущерба.
Если вы ввели логин и пароль: смените пароль на затронутом сервисе и на любых других сервисах, где вы используете тот же пароль. Прямо сейчас включите двухфакторную аутентификацию для основной почты.
Если вы ввели платёжные данные: немедленно свяжитесь с банком и попросите заблокировать или перевыпустить карту. Опротестуйте любые операции, которых не узнаёте.
Если вы скачали файл: запустите полную проверку устройства антивирусом, прежде чем продолжать им пользоваться. Если подозреваете активное заражение, отключитесь от интернета.
В любом случае: воспользуйтесь проверкой утечек email, чтобы увидеть, не циркулируют ли уже ваши данные, и внимательно следите за своими аккаунтами в ближайшие недели.
Читайте дальше
- Что такое одноразовая почта? Полный гид
- Как временная почта защищает вашу приватность в сети
- Полный гид по приватности электронной почты
- Как избавиться от спама: 7 рабочих стратегий
- Temp mail не получает OTP? Быстрое решение
- Как проверить SPF, DKIM и DMARC
- Одноразовая почта vs burner email vs temp mail
Понимание того, как работает аутентификация почты, помогает оценить и то, каким провайдерам temp mail можно доверять.
Самый простой способ уменьшить площадь атаки фишинга — сократить число сервисов, у которых есть ваш настоящий адрес. Начните с бесплатного одноразового ящика — это две секунды, и от вас ничего не требуется.
Your temp mail is ready right now
No signup, no password. A disposable inbox waiting the moment you open the page.
Get My Free Temp Mail →