Что такое фишинг?
Фишинг — это атака социальной инженерии, при которой злоумышленник создает убедительную копию легитимного веб-сайта — часто с точностью до пикселя — и обманом заставляет жертву ввести там учетные данные. В момент отправки формы жертвой злоумышленник перехватывает имя пользователя, пароль и любой второй фактор, а затем использует их для захвата настоящего аккаунта в течение секунд.
Слово происходит от метафоры "ловли рыбы" жертв с помощью приманки (обычно электронное письмо). Написание изменилось, чтобы подчеркнуть, что злоумышленники часто используют телефонные номера (SMS-фишинг, или "смишинг") и профессионально выглядящую инфраструктуру.
Почему фишинг по-прежнему угроза №1
Большинство крупномасштабных взломов аккаунтов сегодня не связаны со взломом, подбором паролей или обходом шифрования. Они связаны с тем, что человек вводит пароль на поддельном сайте. Фишинг:
- Дешев — злоумышленник может отправить миллионы писем за стоимость VPS и поддельного домена
- Трудно фильтруется — современные наборы меняют домены, используют легитимный хостинг и адаптируются к фильтрам в реальном времени
- Эффективен — даже осведомленные о безопасности пользователи попадаются на хорошо проработанные целевые попытки (спир-фишинг)
- Масштабируем — один успешный фиш часто дает доступ к десяткам связанных сервисов через повторное использование паролей
Отчет Verizon Data Breach Investigations Report за 2024 год показал, что фишинг был начальным вектором доступа более чем в 36% всех утечек данных — больше, чем любая другая отдельная причина.
Как работает современный фишинг
Фишинг эволюционировал далеко за пределы писем "нигерийского принца" 2000-х годов. Современная фишинговая атака обычно включает:
1. Убедительную приманку
Обычно электронное письмо, текстовое сообщение или сообщение в чате, создающее срочность ("Ваш аккаунт будет заблокирован"), авторитет ("команда безопасности Microsoft") или любопытство ("Кто-то отметил вас на фото"). Спир-фишинг идет дальше с личными деталями, извлеченными из LinkedIn, баз данных утечек или предыдущей переписки.
2. Идеальный поддельный сайт
Злоумышленники используют готовые фишинговые наборы, которые клонируют HTML, CSS и JavaScript целевого сайта. Многие наборы продаются как услуга (фишинг-как-сервис) с работающими панелями управления и поддержкой клиентов.
3. Прокси реального времени для 2FA
Опасная часть: современные наборы не просто перехватывают ваш пароль. Они действуют как прокси типа "человек посередине", который пересылает все, что вы вводите — включая ваш TOTP-код — на настоящий сайт в течение секунд, обходя большинство 2FA. Эта техника называется противник посередине (AiTM) и используется в инструментах типа Evilginx2 и Modlishka.
4. Кража токенов сессий
После того как вы аутентифицируетесь через прокси, злоумышленник перехватывает ваш cookie сессии и может использовать его, чтобы оставаться в системе даже после смены пароля. Поэтому реагирование на фишинг всегда включает отзыв активных сессий, а не только смену паролей.
Что действительно останавливает фишинг
Аппаратные ключи безопасности (FIDO2 / WebAuthn)
Это единственная категория защиты, которая защищена от фишинга по дизайну. Когда вы входите в систему с FIDO2-ключом, ваш ключ криптографически проверяет точный домен сайта, запрашивающего аутентификацию. Поддельный сайт — неважно, насколько визуально совершенный — имеет другой домен, поэтому ключ отказывается отвечать. Криптографическое рукопожатие просто не завершается.
Google в 2017 году обязал всех 85 000+ сотрудников использовать YubiKey и сообщил о нуле успешных фишинговых атак на корпоративные аккаунты в последующие годы.
Пароли-ключи
Пароли-ключи — это потребительская эволюция FIDO2. Они используют ту же криптографию, привязанную к домену, и встроены в iOS, Android, macOS и Windows. Если сайт, которым вы пользуетесь, поддерживает пароли-ключи, включение одного из них делает этот аккаунт защищенным от фишинга.
Менеджеры паролей
Менеджер паролей — ваша вторая линия защиты, потому что он автозаполняет учетные данные только на точном домене, где они были сохранены. Если вы попадете на paypaI.com (заглавная I) вместо paypal.com, ваш менеджер молча откажется заполнить форму. Этот отказ — громкое предупреждение, что что-то не так.
Фильтрация электронной почты и DNS
Провайдеры электронной почты используют DMARC, SPF и DKIM для обнаружения подделанных адресов отправителей. Большинство современных провайдеров ловят очевидные попытки, но целевые атаки все еще проскальзывают. Включите кнопки "Сообщить о фишинге" в вашем почтовом клиенте, чтобы помочь фильтрам улучшиться.
Тревожные сигналы, на которые стоит обращать внимание
Когда вы получаете сообщение с просьбой войти в систему, проверить или срочно действовать:
- Срочность и угрозы — "Ваш аккаунт будет закрыт через 24 часа"
- Общие приветствия — "Уважаемый клиент" вместо вашего имени
- Похожие домены —
paypaI.com,app1e.com,secure-microsoft-login.net - Неожиданные вложения — особенно файлы
.zip,.htmlили.pdf, просящие вас войти в систему для их просмотра - Грамматические или форматные ошибки — крупные компании вычитывают свои письма
- Несовпадение ссылок — наведите курсор на ссылку и проверьте, совпадает ли место назначения с текстом
Если что-то кажется странным, закройте письмо. Перейдите на сайт вручную. Если есть реальная проблема, вы увидите ее, когда войдете через ваш обычный рабочий процесс.
Что делать, если вы попались на фишинг
Действуйте быстро — скорость важна, потому что злоумышленники начинают использовать учетные данные в течение минут.
- Немедленно смените пароль с другого устройства (например, с телефона, если вы попались на ноутбуке)
- Отзовите все активные сессии в настройках аккаунта — это выгонит всех, кто в данный момент использует украденные токены сессий
- Включите 2FA, если он еще не был включен, и используйте аппаратный ключ или пароль-ключ, если возможно
- Проверьте на несанкционированную активность — отправленные письма, недавние входы, изменения в биллинге, новые правила пересылки
- Уведомите пострадавшее учреждение, если это финансовый или рабочий аккаунт
- Проверьте другие аккаунты, которые использовали тот же пароль — даже если вы уверены, что не используете пароли повторно, проверьте
Итог
Фишинг процветает, потому что он обходит технологии и нацелен на людей. Лучшие меры защиты сочетают три уровня: менеджеры паролей (отказываются автозаполнять на неправильных доменах), устойчивую к фишингу 2FA (аппаратные ключи или пароли-ключи, которые привязываются к настоящему домену) и здоровый скептицизм (никогда не входите в систему по ссылке из письма).
Включите все три на своем наиболее важном аккаунте — электронной почте — первым. Оттуда остальная часть вашей цифровой жизни станет значительно безопаснее.