Фишинг (phishing)

Что такое фишинг

Фишинг (от англ. phishing, производное от fishing — рыбалка) представляет собой метод социальной инженерии, где мошенники используют поддельные сообщения для обмана пользователей. Основная цель — получить доступ к личным данным или заразить устройство вредоносным ПО через клики по фальшивым ссылкам.

Термин возник в 1990-х годах в хакерских кругах и эволюционировал с развитием интернета. Сегодня фишинг адаптируется под новые платформы, включая мессенджеры и мобильные приложения.​
 

Как работает фишинговая атака

Фишинговая атака начинается с массовой или таргетированной рассылки сообщений, имитирующих официальные источники (банки, сервисы, госорганы). Пользователь получает письмо или SMS с срочным призывом "проверить аккаунт" или "подтвердить платеж", переходя по вредоносной ссылке на поддельный сайт.

На фишинговом ресурсе жертва вводит данные, которые мгновенно передаются злоумышленникам. Атака сочетает технические уловки (спуфинг) с психологией: страхом, жадностью и любопытством.​

Основные каналы фишинговых атак

Фишинг распространяется через email в 80% случаев, SMS, мессенджеры (Telegram, WhatsApp), социальные сети и даже звонки. В 2025 году выросла доля атак через мобильные уведомления.​

Техники обмана жертв

Мошенники копируют дизайн брендов, используют похожие домены (bankofRussiа.com вместо bankrussia.com), подменяют отправителя и создают срочность например: "аккаунт заблокируют через час". Часто применяют QR-коды для перехода на фейковые страницы.​

Виды фишинга

Фишинг классифицируют по охвату, каналу и цели: от массовых рассылок до высокоточных атак на топ-менеджеров. Каждый вид требует специфической защиты.​

Массовый фишинг

Не персонализированные рассылки на миллионы адресов с общими шаблонами. Цель — "выловить" как можно больше жертв статистически.​

Целевой фишинг (Spear Phishing)

Персонализированные атаки с использованием данных о жертве (имя, должность, недавние события). Часто готовятся неделями для корпоративных сетей.​

Китовый фишинг (Whaling)

Атаки на CEO и директоров: фальшивые запросы на переводы или конфиденциальную информацию под видом срочных сделок.​

Вишинг (голосовой фишинг)

Обман через звонки: "сотрудник банка" просит данные для "проверки". Популярен в России из-за доверия к телефонным разговорам.​

Смишинг (SMS-фишинг)

Короткие сообщения с ссылками на фейковые страницы оплаты или верификации. Рост связан с мобильным банкингом.​

Фарминг

Перенаправление на фишинговые сайты через DNS-отравление или вредоносное ПО. Пользователь попадает на подделку, даже набирая правильный адрес.

AI-фишинг

Атаки, в которых злоумышленники используют большие языковые модели для генерации писем, сообщений и сценариев общения. Такие тексты лишены типичных ошибок, звучат естественно и могут учитывать контекст: упоминать реальные события, должности, проекты компании, что резко повышает доверие получателя. Кроме писем, ИИ применяют для создания правдоподобных фейковых лендингов, генерации фэйковое‑аудио и видео, например «звонка от директора» с поддельным голосом.

Поддельные мобильные приложения

Злоумышленники публикуют в магазинах приложений (Google Play, App Store, сторонние маркеты) фейковые приложения. Внешне они копируют фирменный стиль и интерфейс, но собирают логины, пароли, SMS‑коды и сид-фразы прямо внутри приложения. Пользователь сам устанавливает такое ПО, дает ему необходимые разрешения (доступ к SMS, уведомлениям, экрану), после чего атакующий получает возможность перехватывать одноразовые коды, авторизовываться в интернет‑банке и проводить операции от имени жертвы.

Признаки фишинговых писем и сайтов

Распознавание фишинга начинается с внимательного анализа входящих сообщений и веб-страниц. Основные красные флаги включают орфографические и грамматические ошибки в тексте — мошенники часто используют автоматический переводчик, что выдает некачественный русский язык с неологизмами или кальками с английского.

Общие приветствия вроде "Уважаемый клиент", "Пользователь" или отсутствие персонализации (имени получателя) вместо прямого обращения указывают на массовую рассылку, а не официальное сообщение от банка или сервиса. Подозрительны просьбы срочно ввести конфиденциальные данные (пароли, CVV-коды карт, паспортные данные) — легитимные организации никогда не запрашивают такую информацию по email или SMS.​

Часто встречаются укороченные ссылки (bit.ly, t.ly) или перенаправления, скрывающие реальный адрес — наведите курсор, чтобы увидеть полный URL. Несоответствие домена (например, support-sberbankk.ru вместо sberbank.ru, где добавлены лишние буквы или дефисы) и отсутствие HTTPS-замка в браузере (серый или отсутствующий значок) — ключевые признаки подделки.​

Дополнительные маркеры: некачественные изображения с размытостью логотипов брендов, несоответствие контактных данных (телефоны, адреса), вложения с расширениями .exe, .zip или макросами в Excel. Срочность "заблокируем аккаунт через 2 часа" или угрозы создают панику, вынуждая действовать импульсивно — это классический прием социальной инженерии.​

Для проверки сайтов используйте сервисы вроде VirusTotal или WhoIs для анализа домена (дата регистрации, владелец). Если письмо якобы от знакомой компании, свяжитесь с ней напрямую через официальный сайт, а не отвечая на сообщение.
 

Чем опасен фишинг

Фишинг остается одной из самых разрушительных киберугроз, ежегодно приводя к финансовым потерям в миллиарды рублей как для частных пользователей, так и для бизнеса в России и мире. По данным отчетов за 2025 год, фишинговые атаки обошли вредоносное ПО по частоте, став причиной 40% успешных инцидентов безопасности, с средним ущербом от одной компрометации в 1-5 млн рублей для малого бизнеса.

Финансовые последствия

Основной ущерб — прямая кража средств с банковских счетов и карт. Мошенники мгновенно переводят украденные деньги на анонимные кошельки или криптобиржи, где их практически невозможно отследить. В России в 2025 году жертвами фишинга стали более 2 млн человек, с общими потерями свыше 50 млрд рублей только от SMS- и email-атак, что превышает показатели ransomware.​

Утечка персональных данных

Компрометация логинов, паролей и паспортных данных приводит к массовым нарушениям 152-ФЗ "О персональных данных". Утечки используются для последующих атак: шантажа, продажи в даркнете (данные одной карты стоят 500-2000 руб.), открытия фальшивых кредитов или оформления микрозаймов на имя жертвы, что влечет долги и судебные разбирательства.​