ICU6
СообщитьОповещения

Фишинг

Мошеннические сообщения (e-mail, SMS, звонки, мессенджеры), созданные для кражи учётных данных, данных или денег.

Что это

Приманка, имитирующая доверенную сторону (банк, госслужбу, магазин, коллегу), чтобы заставить кликнуть, ввести логин/коды или установить ПО. Варианты: e-mail (phishing), SMS (smishing), звонок (vishing), мессенджеры и соцсети.

Векторы и цели

  • Клонированные страницы входа для кражи учётных данных (иногда с обходом 2FA)
  • Вложения/приманки «счёт/посылка», ведущие к вредоносам или макросам
  • Consent-фишинг (OAuth): запрос «законного» доступа к вашему аккаунту
  • QRishing/QR-коды, сокращённые ссылки и открытые редиректы

Распространённые примеры

  • SMS о доставке/задолженности, фиктивный штраф, «налоги к оплате»
  • Письма «безопасность аккаунта»: пароль истёк, подозрительный вход, срочная проверка
  • Сообщения в WhatsApp/Instagram со ссылкой на фальш-сайт или «призрачный» магазин
  • Таргетированные кампании (spear-phishing/BEC), выдающие себя за коллегу/поставщика
  • Усталость от MFA: шквал запросов на подтверждение, чтобы добиться согласия
  • QR-код на плакате/в письме, ведущий на страницу кражи данных (QRishing)

Как реагировать?

  1. Не кликать/не отвечать; удалить или сохранить как доказательство. Проверить информацию по официальному каналу.
  2. Проверить ссылку: наведение/долгое нажатие, развёртывание сокращателей, распознавание омографов («rn»/«m», «0»/«O»)
  3. Если кликнули или вводили данные: сменить пароль, включить 2FA, закрыть сеансы, отозвать токены/OAuth
  4. Передать анонимизированный образец (для e-mail — с полными заголовками) и сообщить в ICU6
Сообщить Узнать больше

Распознать, проверить и действовать: подробное руководство

Анатомия фишинговой атаки

Приманка (обещание/страх/срочность) → ссылка/QR/вложение → клонированная страница или запрос кода → кража учётных данных → возможный обход 2FA (усталость от MFA, социальная инженерия с OTP) → захват аккаунта → закрепление через правила пересылки/токены OAuth.

Каналы и разновидности

  • E-mail (классический, таргетированный «spear», BEC)
  • SMS/MMS (smishing), сообщения в WhatsApp/Telegram/Instagram
  • Звонки (vishing), «двойной» звонок с лжебанкиром/полицейским
  • QRishing, «зеркальные» платёжные страницы, редиректы и сокращатели
  • Consent-фишинг (OAuth), поддельные страницы входа SSO

Конкретные тревожные признаки

  • Обманный адрес отправителя: несоответствующее отображаемое имя, другой «Reply-To»
  • Ссылки ведут не на ожидаемый домен (омографы/пуникод, rn↔m, 0↔O)
  • Срочность/угроза/вознаграждение; просьбы о секретности или немедленном подтверждении
  • Неожиданные вложения (ZIP/ISO/Excel с макросами), QR-коды в «безопасностных» письмах
  • Запросы OTP/двухфакторной аутентификации или удалённого доступа

Экспресс-проверка (5 минут)

  1. Предпросмотр ссылки (hover/долгое нажатие), развёртывание сокращённых URL, распознавание омографов
  2. Открыть детали письма: реальный отправитель, «Reply-To», DKIM/SPF/DMARC (если есть)
  3. Сравнить с официальным сайтом (URL вводить вручную), проверить реквизиты и контакты
  4. Проверить, не известна ли кампания (алерты ICU6, CERT, банк)
  5. При сомнениях ничего не подтверждать и сообщить в ICU6

Если вы кликнули / ввели данные

  • Срочно сменить пароль целевого аккаунта и сервисов с тем же паролем
  • Включить 2FA, закрыть активные сеансы, отозвать токены OAuth/устройства
  • Мониторить подозрительную активность; при платеже — связаться с банком по официальному номеру
  • Просканировать устройство, если открывали файлы; удалить ПО для удалённого доступа

Сохранение и передача доказательств

  • Письма с полными заголовками (или файл .eml), скриншоты с датой/временем, исходные ссылки
  • Номера звонивших, полный текст SMS, short-код, URL/QR, вложения (не открывать)
  • Передать через форму ICU6 (перед анализом мы анонимизируем)
Сообщить Узнать больше