Фишинг: что это, виды, как распознать и защититься

Фишинг — это вид кибератаки, при которой злоумышленник выдаёт себя за доверенный источник — банк, коллегу, службу поддержки, государственный сервис, — чтобы обманом получить у жертвы конфиденциальные данные (пароли, коды из SMS, реквизиты карт) или заставить её перейти по вредоносной ссылке либо открыть заражённое вложение. Название происходит от английского fishing («рыбалка»): жертву «ловят» на приманку — правдоподобное письмо, сообщение или сайт-подделку.

Написание через «ph» вместо «f» — дань традиции хакерского жаргона 1990-х («phreaking», взлом телефонных сетей), а не орфографическая случайность.

Фишинг — не отдельная техника взлома, а разновидность социальной инженерии: атака работает не на уязвимости программного обеспечения, а на доверии, спешке и невнимательности человека. Именно поэтому технические средства защиты снижают риск, но не закрывают его полностью — решающую роль почти всегда играет то, распознает ли получатель подделку в первые секунды.

Атакуют фишингом и частных лиц, и организации. Для частного лица типичная цель мошенника — вывести деньги со счёта или карты, для организации — получить доступ к корпоративной учётной записи, украсть данные или вынудить финансовый отдел провести платёж на чужие реквизиты (подробнее в разделе «Фишинг и бизнес» ниже).

Типичная фишинговая атака проходит четыре стадии: разведку, подготовку приманки, доставку сообщения жертве и эксплуатацию перехода — то есть непосредственно кражу данных или денег после того, как жертва среагировала на приманку. Массовые атаки проходят все стадии автоматически и за минуты, целевые готовятся неделями.

Генеративные модели снизили порог входа в фишинг: тексты писем на русском языке стали грамотнее и менее шаблонны, а синтез голоса и видео добавил инструментарий для вишинга — злоумышленник может имитировать голос знакомого человека или руководителя по короткому образцу записи. Это общая тенденция отрасли без точной статистики по конкретным цифрам атак оценка.

Виды фишинга различаются в первую очередь по каналу доставки и по степени персонализации — от одной и той же рассылки на миллионы случайных адресов до точечной атаки, подготовленной под одного конкретного сотрудника. Ниже — восемь типов, которые встречаются в реальных инцидентах чаще всего.

↔ таблицу можно прокрутить вбок

Массовый и клоновый фишинг рассчитаны на объём: даже низкий процент отклика на миллионную рассылку окупает атаку. Целевой фишинг, уэйлинг и вишинг устроены наоборот — атакующий вкладывается в подготовку одной атаки на одну жертву именно потому, что цена успеха выше, а автоматические фильтры такие письма распознают хуже массовых шаблонов.

Фишинговое письмо или сайт почти всегда выдают несколько типовых признаков: несовпадение адреса отправителя или домена с официальным, искусственно созданная срочность, нетипичный запрос конфиденциальных данных и мелкие несоответствия в оформлении. Чек-лист ниже применим и к почте, и к сообщениям в мессенджерах.

Если вы ввели данные на фишинговом сайте или перешли по подозрительной ссылке, действовать нужно немедленно: закрыть страницу, сменить скомпрометированный пароль, заблокировать карту через банк и сообщить в службу ИБ или напрямую в банк — до появления первых несанкционированных операций, а не после.

• Не вводить данные повторно и закрыть подозрительный сайт или письмо.
• Сменить пароль скомпрометированной учётной записи — и везде, где он использовался повторно, а не только на атакованном сервисе.
• При компрометации карты — немедленно позвонить в банк по номеру с обратной стороны карты (не по номеру из письма или SMS) и заблокировать её либо запросить перевыпуск.
• Если это рабочая почта или учётная запись — сообщить в ИБ-службу компании сразу, не дожидаясь подтверждения ущерба: чем раньше выявлена компрометация, тем меньше площадь атаки.
• Проверить устройство антивирусным средством, если было открыто вредоносное вложение.
• Подать заявление в полицию при подтверждённом финансовом ущербе — это часто требуется банку как основание для дальнейшего разбирательства по переводу.

Полноценная защита от фишинга строится на двух уровнях сразу: организационном (обучение людей распознавать атаку) и техническом (средства защиты, которые фильтруют или блокируют атаку до того, как она дойдёт до человека). По отдельности ни один из уровней не закрывает риск целиком — обученный сотрудник всё равно кликает по качественно подготовленному целевому письму, а фильтр не ловит 100% новых доменов в день их регистрации.

Организационные меры

• Регулярное обучение сотрудников распознаванию фишинга, включая симулированные фишинговые рассылки с разбором ошибок — эффективнее разового инструктажа.
• Правило «второго канала» для финансовых операций: подтверждение крупного или нового платежа звонком по заранее известному номеру, а не по реквизитам из письма с «просьбой сменить счёт».
• Понятный канал сообщения о подозрительном письме — сотрудник должен знать, куда написать за 10 секунд, не разыскивая контакт ИБ-службы.

Технические меры

• Защита электронной почты — антифишинговая фильтрация входящих писем, проверка подлинности отправителя по DMARC/DKIM/SPF, блокировка известных фишинговых доменов и вредоносных вложений до попадания письма в ящик.
• Многофакторная аутентификация — второй фактор подтверждения входа защищает учётную запись, даже если пароль уже украден фишингом; исключение — атаки типа adversary-in-the-middle, которые перехватывают и второй фактор в реальном времени, поэтому MFA снижает риск, но не закрывает его полностью.
• Веб-шлюзы (SWG) — блокируют переход по ссылке на известный фишинговый или свежезарегистрированный вредоносный домен ещё на уровне сетевого трафика, даже если письмо с этой ссылкой прошло фильтр почты.
• Песочницы — проверяют вложения и ссылки в изолированной среде перед доставкой получателю, обнаруживая вредоносный код, который не опознаётся сигнатурным анализом.

Компрометация деловой переписки (Business Email Compromise, BEC) — целевая форма фишинга, при которой злоумышленник получает доступ к почте сотрудника или убедительно имитирует переписку руководителя либо контрагента, чтобы вынудить финансовый отдел провести платёж на подконтрольные мошеннику реквизиты.

Типичный сценарий: атакующий либо взламывает почту поставщика и дожидается реальной переписки по счёту, после чего в подходящий момент подменяет банковские реквизиты в очередном инвойсе, либо действует без взлома — регистрирует похожий домен и от имени «генерального директора» пишет бухгалтерии срочную просьбу перевести деньги, пока руководитель «недоступен для звонка».

Второй сценарий пересекается с whaling из таблицы видов фишинга выше — по сути, BEC чаще всего и есть целевой фишинг или уэйлинг, доведённый до стадии финансовой атаки на компанию, а не на частное лицо.

Для организаций BEC обычно обходится дороже массового фишинга: ущерб — это сама переведённая сумма, а не только затраты на восстановление доступа, и по характеру атака часто не задействует вредоносный код вовсе, поэтому классический антивирус её не остановит оценка. Организационное правило «второго канала подтверждения» и защита корпоративной почты с проверкой подлинности отправителя — базовые меры именно против этого сценария.