Письмо выглядит как настоящее: как распознать фишинг до перехода по ссылке

Не переходите по ссылке и не открывайте вложение. Сначала посмотрите полный адрес отправителя, затем настоящий домен ссылки, потом расширение файла. Если хотя бы один пункт расходится с официальным адресом компании, закройте письмо и зайдите на сайт вручную — набрав адрес в новой вкладке или через закладку.

Сначала проверьте отправителя, а не текст письма

Имя отправителя подделывается легко: в поле «от кого» можно написать «Сбербанк» или «Госуслуги», а реальный адрес будет чужим. Поэтому смотрите не на название, а на строку после символа @.

В большинстве почтовых программ достаточно нажать на имя отправителя или найти пункт «Показать подробности» рядом с адресом. Откроется полный адрес вида info@example.ru. Сравните часть после @ с официальным доменом компании.

Пример: письмо подписано «Сбербанк», адрес — info@sberbank-support.ru. Официальный домен банка — sberbank.ru, а sberbank-support.ru — отдельный домен, который к банку не относится. Такое письмо считайте подозрительным независимо от оформления текста.

Обратите внимание и на бесплатные почтовые домены: письмо от «бухгалтерии» с адреса на mail.ru или gmail.com почти наверняка не от организации. Крупные компании пишут с собственного домена.

Проверьте ссылку, не открывая её

Видимый текст ссылки ничего не доказывает: надпись «Войти в личный кабинет» может вести куда угодно. Наведите курсор на ссылку и не кликайте. В статусной строке внизу окна или во всплывающей подсказке появится настоящий адрес перехода.

Читайте адрес справа налево до первого одиночного слэша: именно эта часть определяет сайт. В адресе https://bank.ru.online-login.example/login сайт — example, а не bank.ru, хотя начало строки выглядит знакомо. В https://example.ru/bank.ru/login сайт — example.ru, а bank.ru стоит лишь в пути страницы.

Настораживают три вещи: незнакомый домен, домен с лишними словами и дефисами вроде bank-online.ru, а также символ @ внутри адреса — всё, что стоит до него, браузер часто игнорирует. Если ссылка ведёт на сокращатель вроде bit.ly, настоящий адрес скрыт: переходите к независимому входу.

Не открывайте вложение без проверки

Вложение запускает код или открывает документ, который может содержать макросы — небольшие программы внутри файла. Поэтому сначала посмотрите на расширение — последние символы после точки в имени файла.

• .exe, .scr, .js, .bat, .cmd — исполняемые файлы, открывать нельзя.
• .docm, .xlsm — документы с поддержкой макросов, рискованны даже от знакомого адреса.
• Двойное расширение вроде «Квитанция.pdf.exe» — маскировка: файл исполняемый, хотя имя обещает PDF.
• .pdf, .docx, .jpg без макросов обычно безопаснее, но доверять им стоит только после проверки отправителя.

Если отправитель незнаком или письмо торопит, вложение не открывайте. Свяжитесь с человеком или компанией по другому каналу — по телефону с сайта или в мессенджере — и спросите, отправляли ли вам файл. Не отвечайте на письмо и не пересылайте файл коллегам «на посмотреть».

Проверьте сайт через независимый вход

Даже если адрес отправителя и ссылка выглядят правильно, надёжнее проверить ситуацию без письма. Закройте его, откройте новую вкладку и наберите официальный адрес вручную или откройте закладку, которую вы сделали раньше.

Войдите в личный кабинет обычным способом. Если письмо сообщало о блокировке счёта, списании или смене пароля, ищите это уведомление внутри кабинета. Отсутствие такого уведомления на настоящем сайте — прямой признак, что письмо фишинговое.

Такой вход ещё и безопасен для пароля: вы вводите его на настоящем домене, а не на копии, сделанной по ссылке из письма. Если сайт требует ввести пароль сразу по ссылке из письма, это повод остановиться.

Порядок действий на примере подозрительного письма

Разберём письмо от «Банка» с темой «Подтвердите операцию». Адрес отправителя — security@bank-protect.ru, ссылка «Войти в личный кабинет» ведёт на bank-protect.ru/login, во вложении файл «Квитанция.pdf.exe». Официальный сайт банка — bank.ru.

1. Смотрим адрес: домен bank-protect.ru не совпадает с bank.ru — первый признак подделки.
2. Наводим на ссылку: переход ведёт на bank-protect.ru, а не на bank.ru — второй признак.
3. Проверяем вложение: двойное расширение .pdf.exe означает исполняемый файл — не открываем.
4. Закрываем письмо, открываем новую вкладку и вручную заходим на bank.ru.
5. В кабинете операций, требующих подтверждения, нет — значит, письмо ложное.

Вывод: письмо фишинговое. Его удаляют, а о попытке сообщают в банк по контактам с официального сайта.