Фишинг — это когда кто-то притворяется тем, кому вы доверяете, чтобы заманить вас на поддельный сайт. Вот виды и более надёжные способы защиты (без шагов атаки).
Как это работает: целится в человеческое суждение, а не в дефект ПО
Там, где XSS или SQL-инъекция эксплуатируют дефект в ПО, фишинг эксплуатирует человеческое суждение. Сообщения вроде «ваш аккаунт приостановлен» или «срочно — подтвердите сейчас» используют спешку, авторитет и страх, чтобы украсть момент, когда вы бы иначе остановились и подумали, а затем заманивают вас на пиксель-в-пиксель поддельный сайт ввести пароль. Сайт с нулём технических уязвимостей всё равно теряет учётные данные, если его пользователей обманули.
Виды (разные названия, один подход: выдать себя за другого и заманить)
Массовый фишинг
рассылается множеству людей
Целевой фишинг
нацелен на конкретного человека/организацию
BEC
выдают себя за поставщика/руководителя, чтобы заказать платёж
Smishing
через SMS
Vishing
по телефону
AiTM
ретранслирует вход на настоящий сайт, обходит MFA
Названия различаются, но суть одна: заманить вас, подделав доверие. В частности, BEC (компрометация деловой переписки) причиняет крупные финансовые потери вообще без вредоноса — просто «запрос на платёж, который выглядит как от поставщика». Это вид, который останавливают проверкой бизнес-процесса, а не технологией.
Фишинг, спам, поддельная почта и мошенничество под видом техподдержки
Термины, которые часто путают, рядом. Они пересекаются, но цели у них разные.
| Термин | Цель | Типичная форма |
|---|---|---|
| Фишинг | Украсть учётные данные или данные карты либо заставить запустить вредоносное ПО | Письмо или SMS от имени компании, ведущее на поддельную страницу входа |
| Спам | Массово рассылать рекламу или мошеннические ссылки | Непрошеная реклама; может включать фишинг |
| Поддельная почта (спуфинг) | Подделать отправителя (это приём, а не цель) | Выдаёт себя за реальный домен или человека; используется в фишинге и BEC |
| Мошенничество под видом техподдержки (поддельное предупреждение) | Заставить позвонить, затем потребовать денег или удалённый доступ | Экран «ваш компьютер заражён» с номером телефона |
Спуфинг — это приём, а фишинг — мошенничество, которое его использует. Как не дать подделывать свой домен, разобрано в статье о настройке SPF, DKIM и DMARC; о поддельных предупреждениях — в статье о мошенничестве под видом техподдержки (на английском).
Примеры: ситуация в Японии и инциденты
Совет по борьбе с фишингом Японии получил в 2025 году рекордные 2 454 297 сообщений о фишинге — примерно в 1,43 раза больше, чем в 2024 году.
Фишинг становился и точкой входа для инцидентов. В атаке программы-вымогателя на KADOKAWA (2024) путём проникновения назвали учётные данные, украденные фишингом против сотрудников. При краже NEM у Coincheck (2018) первым шагом, по сообщениям, были письма, отправленные сотрудникам. Поддельные письма от имени компании, у которой только что случилась утечка, тоже обычно появляются вскоре после неё (например, случай Medica Shuppan).
Защита: останавливайте механизмом, а не бдительностью
Используйте устойчивую к фишингу MFA (самое важное)
Механизм, который не реагирует на поддельные сайты, — самая надёжная защита. Passkey / аппаратные ключи безопасности (FIDO2) привязаны к домену, поэтому на поддельном домене аутентификация просто не завершится — её не сможет ретранслировать даже злоумышленник посередине (AiTM). SMS/коды из аутентификатора можно ретранслировать, поэтому переведите самые важные аккаунты (почта, домен, платежи) на устойчивую MFA первыми (→ выбор MFA).
Не кликайте по ссылке — заходите на официальный сайт сами
Не нажимайте на ссылки в почте или SMS; доходите до официального сайта напрямую через закладку или вводя адрес. Чем больше сообщение выдаёт себя за «проверку аккаунта», «оплату» или «доставку», тем больше открывайте его своим способом, а не через его ссылку.
Обрежьте подделку почты технологией
Настройте SPF/DKIM/DMARC для вашего домена правильно, чтобы поддельную почту, выдающую себя за ваш домен, можно было отклонять на стороне получателя (→ что такое SPF/DKIM/DMARC). Менеджер паролей не выполнит автозаполнение на поддельном домене, поэтому «не заполнилось» само по себе признак, что сайт поддельный.
Делайте паузу при спешке/авторитете; проверяйте платежи по другому каналу
«Прямо сейчас», «от руководителя», «вы можете это остановить» — это давление и есть сигнал мошенничества. Когда вас торопят, сделайте паузу. Для любого запроса, связанного с платежом или учётными данными, проверьте человека через отдельный канал, например телефонный звонок, прежде чем действовать (самая важная мера защиты от BEC).
Легко обойти
Пароль плюс только SMS/код из аутентификатора. При пиксель-в-пиксель поддельном сайте, ретранслирующем код (AiTM), даже у осторожного человека крадут учётные данные. Защита, которая предполагает «я распознаю».
Действительно останавливает
Passkey/аппаратный ключ, привязанный к домену. На поддельном домене аутентификация не завершится, поэтому даже обманутый пользователь не скомпрометирован. Механизм, «безопасный, даже если вы не распознали».
Мнение этого сайта: «будьте осторожны» — не стратегия защиты
Мы считаем, что опираться на «обучение персонала» и «осведомлённость» в одиночку против фишинга ненадёжно. Теперь, когда злоумышленник посередине (AiTM) стал рутиной, сколь бы осторожен человек ни был, он не сможет надёжно распознать пиксель-в-пиксель поддельный сайт плюс ретрансляцию кода. Осведомлённость может помочь, но не может быть основной защитой. Полагаться стоит на механизм: разверните привязанную к домену устойчивую к фишингу MFA, начиная с самых важных аккаунтов. Инвестировать в конструкцию, которая остаётся безопасной, даже если подделку не распознали, выгоднее, чем пытаться обучить людей её распознавать.
Как проверить самостоятельно
Проверьте аутентификацию почты своего домена
Введите свой домен в проверку SPF / DKIM / DMARC и убедитесь, что все три настроены, а политика DMARC уже не p=none.
Посмотрите результаты аутентификации и домен письма
В Gmail используйте «Показать оригинал», в Outlook — просмотр исходного кода сообщения. Найдите spf=, dkim= и dmarc= в заголовке Authentication-Results. Даже если проверки пройдены, отдельно проверьте, принадлежит ли домен отправителя настоящей компании.
Используйте автозаполнение менеджера паролей как сигнал
Если менеджер паролей не подставляет данные на сайте, для которого вы сохраняли вход, домен может быть другим. Прежде чем что-либо вводить, проверьте домен в адресной строке.
Проверьте, какая MFA стоит на ключевых аккаунтах
Для почты, облака, платёжных сервисов и регистратора доменов проверьте в настройках безопасности поддержку passkey или аппаратных ключей и переходите на них везде, где это возможно.
Думать «меня не обманут» — самое опасное убеждение
Самая большая ошибка в защите от фишинга — самоуверенность «я распознаю». Злоумышленник посередине (AiTM) показывает пиксель-в-пиксель экран и ретранслирует вводимые вами пароль и одноразовый код на настоящий сайт на месте. Иначе говоря, даже если вы осторожны и вводите правильный код, этот правильный код тоже крадут. Поэтому строить защиту на «бдительности, чтобы распознать» само по себе ошибка; правильный ход — перейти к механизму: аутентификации, которая не завершается на поддельном домене (устойчивая к фишингу MFA). Отказ остановиться на «будьте осторожны» — отправная точка современной защиты от фишинга.
Источники (первичные)
- Совет по борьбе с фишингом Японии, «Phishing Report 2026» (на японском) — antiphishing.jp (число сообщений за 2025 год; рост доли доменов атакующих, проходящих DMARC)
- Совет по борьбе с фишингом Японии, «Сообщить о фишинге» (на японском) — antiphishing.jp
- APWG, «Report Phishing» — apwg.org
- NIST SP 800-63B-4, «Digital Identity Guidelines: Authentication and Authenticator Management» — pages.nist.gov (определение устойчивой к фишингу аутентификации)
Читать дальше
- Обучение: как правильно выбрать MFA (что такое устойчивая к фишингу MFA)
- Глоссарий: что такое SPF/DKIM/DMARC (обрезать поддельную почту технологией)
- Глоссарий: что такое программа-вымогатель (фишинг — её главный канал входа)
- Обучение: безопасное хранение паролей (не дать злоупотребить украденными учётными данными)
- Глоссарий: что такое открытый редирект (злоупотребляет легитимным доменом, чтобы перебросить пользователей на поддельный сайт)
- Кейс: кража NEM у Coincheck (2018) (целевой фишинг против сотрудников, по сообщениям, стал первым шагом к краже криптоактивов на ~$530 млн)
- Кейс: утечка данных бронирований Booking.com (2026) (сообщения от имени отеля, которые знают ваше бронирование)