Что такое фишинг: как распознать поддельные письма, SMS и QR-коды

Что такое фишинг?

Национальный центр кибербезопасности Великобритании (NCSC) определяет фишинг как использование преступниками мошеннических писем, текстовых сообщений или телефонных звонков для обмана жертв; цель часто состоит в том, чтобы заставить вас зайти на сайт, который может загрузить вирус на компьютер, или украсть банковские реквизиты и другие личные данные ^[3]. Федеральная торговая комиссия США (FTC) формулирует короче: мошенники используют электронную почту или текстовые сообщения, чтобы обманом выманить у вас личную и финансовую информацию ^[1].

ФБР относит это преступление к категории «фишинг/спуфинг»: незапрошенные письма, SMS и телефонные звонки якобы от легитимной компании с просьбой предоставить личные, финансовые данные или учётные данные для входа ^[8]. Спуфинг означает подделку отправителя — например, когда сообщение выглядит так, будто пришло из вашего банка.

Фишинг — разновидность социальной инженерии, которую ФБР описывает как получение защищённых данных путём обмана человека, вынуждающего его их раскрыть ^[12]. Он эксплуатирует человеческое доверие, а не технические уязвимости, поэтому способен обойти даже надёжные системы, если человека удастся убедить передать пароль или код.

Какие формы принимает фишинг?

• Фишинг по электронной почте: массовые рассылки, имитирующие банки, магазины, службы доставки или работодателей ^[1].
• Целевой фишинг (spear phishing): направленная попытка обмануть конкретного человека или группу с использованием сведений, повышающих шансы на успех ^[12].
• Фишинг через SMS (смишинг): те же уловки, отправленные по SMS; определение FTC прямо включает текстовые сообщения ^[1].
• Телефонный фишинг (вишинг): звонки от имени якобы доверенной организации; NCSC рассматривает мошеннические звонки как часть фишинга ^[3].
• Фишинг через QR-коды (квишинг): QR-коды в электронных письмах, ведущие на вредоносные сайты ^[6].

Как ИИ меняет фишинг?

В декабре 2024 года ФБР предупредило, что преступники используют генеративный ИИ, чтобы писать правдоподобные тексты для социальной инженерии и целевого фишинга, быстрее рассылать сообщения более широкой аудитории и переводить сообщения так, чтобы в них было меньше грамматических и орфографических ошибок ^[12]. NCSC также отмечает, что раньше мошенничество было легче распознать по ошибкам или странному оформлению, но схемы становятся всё изощрённее, и некоторые обманывают даже экспертов ^[4].

Кого атакуют персонально?

Преступники используют доступную в интернете информацию о вас, в том числе из соцсетей, чтобы сделать сообщения убедительнее ^[3]. Публичные группы также сталкиваются с кампаниями, связанными с государствами. Freedom House сообщает, что хакерская группировка, связанная с Корпусом стражей исламской революции Ирана, выдавала себя в интернете за журналистов и правозащитников, чтобы заманивать критиков власти в фишинговые ловушки ^[13]. Для персоязычных журналистов и активистов неожиданная просьба об интервью или ссылка на документ заслуживают такой же проверки, как сообщение от банка.

Как распознать фишинговое сообщение?

По данным FTC, в фишинговых сообщениях часто говорится, что замечена подозрительная активность или попытки входа, утверждается, что есть проблема с вашим аккаунтом или платёжными данными, содержится просьба подтвердить личные или финансовые данные, прикладывается незнакомый вам счёт, предлагается перейти по ссылке для оплаты, сообщается, что вам положен возврат средств от государства, или предлагается купон на бесплатные товары ^[1].

NCSC советует проверять подозрительное сообщение на следующие характерные признаки ^[4]:

1. Авторитет: утверждает ли отправитель, что он официальное лицо — ваш банк, врач, юрист или государственное ведомство ^[4]?
2. Срочность: требуют ли от вас ответить в течение 24 часов или немедленно, часто под угрозой штрафа ^[4]?
3. Эмоции: вызывает ли сообщение панику, страх, надежду или любопытство ^[4]?
4. Дефицит: предлагают ли вам что-то редкое — билеты на концерт, деньги или лекарство ^[4]?
5. Актуальные события: использует ли сообщение новостной повод, крупное событие или время года, например сезон подачи налоговых деклараций ^[4]?

NCSC добавляет, что ваш банк или любой другой официальный источник никогда не попросит предоставить личные данные по электронной почте и не позвонит с просьбой подтвердить реквизиты банковского счёта ^[4]. Если сомневаетесь, свяжитесь с организацией напрямую по контактам с её официального сайта, а не по номерам или адресам из сообщения ^[4].

Насколько распространён фишинг?

В 2025 году Центр приёма жалоб на интернет-преступления ФБР (IC3) получил 1008597 жалоб с заявленным ущербом 20,877 млрд долларов ^[8]. Фишинг/спуфинг стал крупнейшей категорией по числу жалоб — 191561 ^[8]. Заявленный ущерб от него вырос с 70013036 долларов в 2024 году до 215843126 долларов в 2025 году ^[8]. Число жалоб отражает только то, о чём люди решили сообщить в IC3, а не весь происходящий фишинг.

Anti-Phishing Working Group (APWG), отраслевое объединение, зафиксировала 1003924 фишинговые атаки в первом квартале 2025 года — больше всего с конца 2023 года — и сообщила, что преступники ежедневно рассылают миллионы писем с QR-кодами ^[9]. Атаки на онлайн-платежи и банковские услуги в совокупности составили 30,9% всех атак в том квартале ^[9].

В Великобритании служба NCSC для приёма сообщений к сентябрю 2026 года получила более 59,6 млн сообщений о мошенничестве, что привело к удалению 263,7 тыс. мошеннических схем на 466300 URL-адресах ^[3].

Безопасно ли сканировать QR-коды?

В обычных местах, как правило, да. NCSC отмечает, что QR-коды в пабах или ресторанах, скорее всего, безопасно сканировать, что мошенничество с QR-кодами относительно невелико по сравнению с другими видами киберпреступлений и что в основном оно происходит в открытых общественных местах, например на вокзалах и парковках, часто в сочетании с социальной инженерией ^[6].

Больше опасений вызывает электронная почта. NCSC наблюдает рост числа QR-кодов в фишинговых письмах — эту технику иногда называют квишингом, — поскольку QR-коды маскируют вредоносные ссылки, не все средства защиты почты сканируют изображения, а люди обычно сканируют коды личными телефонами, защита которых может быть слабее, чем у рабочего компьютера ^[6].

Что советуют ФБР и FTC?

• После сканирования проверьте веб-адрес: вредоносный домен может выглядеть как настоящий, но с опечаткой или переставленной буквой ^[7].
• Если код физический, проверьте, не заклеен ли он наклейкой ^[7]. FTC сообщает о случаях, когда мошенники заклеивали QR-коды на паркоматах своими ^[2].
• Не скачивайте приложения по QR-коду и не устанавливайте отдельные приложения для сканирования QR-кодов: на большинстве телефонов сканер встроен в приложение камеры ^[7].
• Не сканируйте QR-код из письма или SMS, которого вы не ждали; свяжитесь с компанией по номеру телефона или сайту, которые точно настоящие ^[2].
• Избегайте оплаты через сайт, открытый по QR-коду; вместо этого вводите известный надёжный адрес вручную ^[7].

Что делать, если вы перешли по фишинговой ссылке?

Действуйте быстро и в таком порядке:

1. Остановитесь и прервите контакт. NCSC советует остановиться, прервать контакт и обдумать формулировки сообщения ^[4].
2. Если вы сообщили пароль, NCSC рекомендует сменить пароли во всех аккаунтах, где используется тот же пароль, а по возможности вместо пароля использовать ключ доступа ^[14]. FTC также рекомендует многофакторную аутентификацию для защиты аккаунтов ^[1].
3. Если вы открыли вложение или что-то установили, обновите защитное ПО, запустите сканирование и удалите всё, что оно отметит ^[1][14]. Если это произошло на рабочем ноутбуке или телефоне, сообщите в ИТ-отдел ^[14].
4. Если вы потеряли деньги или сообщили банковские реквизиты, сообщите в банк по номеру с вашей карты или выписки, где часто указаны официальные контакты ^[4], и заявите о преступлении; в Англии, Уэльсе и Северной Ирландии для этого есть Report Fraud, а в Шотландии — Police Scotland ^[14]. Читатели из США, чей номер социального страхования (Social Security), карты или банковского счёта мог быть раскрыт, могут выполнить шаги на сайте IdentityTheft.gov ^[1].
5. Если вы заплатили через подменённый QR-код, ФБР советует сообщить об этом и предупреждает, что правоохранительные органы не могут гарантировать возврат потерянных средств ^[7].

Как сообщить о фишинге?

В Великобритании пересылайте подозрительные письма в службу NCSC для сообщений о подозрительных письмах (Suspicious Email Reporting Service) по адресу report@phishing.gov.uk ^[5]. В США FTC советует пересылать фишинговые письма в Anti-Phishing Working Group по адресу reportphishing@apwg.org, пересылать фишинговые SMS на номер SPAM (7726) и сообщать о попытке на сайте ReportFraud.ftc.gov ^[1]. О финансовых потерях в США можно также сообщить в IC3 ФБР ^[7]. Это общая информация, а не финансовая или юридическая консультация; в вашем конкретном случае компетентны ваш банк и национальный центр приёма сообщений.

Какие меры защиты действительно останавливают фишинг?

FTC называет четыре меры защиты: защитное ПО на компьютере, автоматические обновления на телефоне, многофакторная аутентификация в аккаунтах и резервные копии данных ^[1].

Останавливает ли фишинг многофакторная аутентификация?

Она сильно помогает, но не полностью. Многофакторная аутентификация (MFA) требует двух или более видов подтверждения, например пароля и кода ^[10]. Агентство по кибербезопасности и защите инфраструктуры США (CISA) поясняет, что распространённая фишинговая техника направляет пользователей на поддельную страницу входа, где они вводят имя пользователя, пароль и 6-значный код из приложения-аутентификатора, которые затем использует злоумышленник ^[10]. CISA добавляет, что коды, отправленные по SMS или голосовым звонком, также можно украсть через уязвимости сети SS7 или подмену SIM-карты, а злоумышленники засыпают пользователей push-уведомлениями, пока те не нажмут «Принять» ^[10].

CISA заявляет, что единственная широко доступная аутентификация, устойчивая к фишингу, — FIDO/WebAuthn, которая поддерживается основными браузерами, операционными системами и смартфонами ^[10]. При этом агентство подчёркивает, что любая форма MFA лучше, чем никакой ^[10]. Ключи доступа — это учётные данные FIDO, заменяющие пароли парами криптографических ключей, и FIDO Alliance утверждает, что, в отличие от паролей, ключи доступа всегда надёжны и устойчивы к фишингу ^[11]. Альянс добавляет, что из взломанных баз данных просто нечего украсть, поскольку паролей там нет ^[11].

Что ещё снижает риск?

Проверьте, что вы и другие публикуете о вас в интернете, и ужесточите настройки конфиденциальности в соцсетях, поскольку преступники используют эту информацию для персонализации сообщений ^[3]. Сообщайте о подозрительных сообщениях: по словам NCSC, это уменьшает количество получаемых вами мошеннических сообщений и помогает защитить других ^[3].