Письмо «от банка», сообщение от взломанного аккаунта партнёра, приглашение в рекламный кабинет от незнакомого агентства. Адрес из такого сообщения разбирают до клика, и уходит на это пара минут.
Как проверить ссылку, не переходя по ней? Скопируйте адрес, не открывая его, и найдите настоящий домен, то есть часть адреса прямо перед первым одиночным слешем. Сверьте написание домена и доменную зону с официальным сайтом из поисковой выдачи. Короткий адрес сначала расшифруйте через CheckShortURL или IP-Logger, затем прогоните ссылку по базам угроз в VirusTotal или онлайн-проверке Dr.Web. Гарантии не даёт ни один шаг по отдельности, решение принимают по совокупности.
Чем грозит переход по фишинговой ссылке
Фишингом называют выманивание логинов, паролей и платёжных данных через поддельную страницу, похожую на настоящую. По данным исследования KeepnetLABS, более 91% системных нарушений начинались с атак, запущенных по электронной почте. Цифра шире строго фишинга и включает вложения с вредоносным ПО, но порядок величины показателен. Персональные данные уходят мошеннику сразу, а платёжные вместе с деньгами на карте.
Срабатывает это не на невнимательности, а на социальной инженерии. Письмо приходит в момент, когда вы правда ждёте счёт от подрядчика.
У бизнеса цена ошибки выше. Угнанный рекламный кабинет за ночь превращается в неэффективные расходы на рекламу по чужим кампаниям, взломанная корпоративная почта рассылает тот же фишинг вашим клиентам, а доступ к соцсетям компании стоит бренду репутации. Защита от всего этого стоит десяти минут настройки: двухфакторная аутентификация на почте и в рекламных кабинетах, разные пароли для рабочих сервисов и привычка читать адрес ссылки до клика.
Признаки фишинга в сообщении ещё до проверки ссылки
Больше половины подделок распознаются по тексту сообщения. Автор письма давит на эмоцию и торопит, отсюда капслок, угроза блокировки счёта и ультиматум вида «подтвердите данные в течение 24 часов». Банк или ведомство таких сроков не ставит.
На обман указывает и безличное обращение. «Уважаемый пользователь» вместо имени означает массовую рассылку, ваших персональных данных у отправителя нет. Дальше смотрите на ошибки в тексте и на домен почты отправителя: он обязан совпадать с адресом официального сайта, а не быть похожим на него. Файл с расширением exe в письме о счёте документом не бывает, потому что это исполняемая программа.
Правило здесь простое. Если сообщение пугает, обещает лёгкие деньги или торопит, ссылку не открывают до конца проверки.
Как найти настоящий домен в адресе ссылки
Правило чтения адреса одно. Настоящий домен — две последние части имени перед первым одиночным слешем. Всё левее через точки называется поддоменами, их владелец домена придумывает сам. Всё правее слеша в адресе – папки и страницы на сервере, они тоже в его власти.
Разберём пример. В адресе secure-login.sberbank.ru.verify-account.com/auth настоящим доменом будет verify-account.com, он стоит перед первым одиночным слешем. А sberbank.ru здесь поддомен-приманка внутри чужого домена. Адрес читают до первого слеша, а не слева направо по знакомым словам.
Замок в адресной строке и HTTPS этой проверки не заменяют. SSL-сертификат подтверждает только то, что соединение между браузером и сервером зашифровано, а получают его сегодня бесплатно и за минуты. Зашифрованное соединение с мошенником от самого мошенника не защищает, и ссылки, которые нельзя открывать, часто выглядят «защищёнными» именно поэтому.
Приёмы маскировки опасного адреса под известный сайт
Прочитанный домен сверяют с написанием настоящего адреса. Приёмов подмены немного, и все они рассчитаны на беглый взгляд.
- Лишняя или пропущенная буква: gooogle.com, wildberies.ru.
- Цифра вместо буквы: g00gle.com с нулями, paypa1.com с единицей вместо l.
- Сочетание rn вместо m: arnazon.com в мелком шрифте неотличим от оригинала.
- Дефис и приставка к бренду: sberbank-online.ru, gosuslugi-login.ru. Слова secure, support, login через дефис выдают подделку, настоящие компании так домены не оформляют.
- Дешёвая доменная зона у известного бренда: .xyz, .top, .click, .tk, .online. Регистрация адреса там занимает минуты, поэтому фишинг селится в этих зонах массово.
- Символы других алфавитов и диакритика: английская o вместо русской о, буквы вроде ů. Внешне адрес тот же, технически это другой домен, и такой приём заодно обходит спам-фильтр.
Цена защиты от всей группы приёмов сводится к одному движению. Домен сравнивают с официальным посимвольно, а не на глаз.
Чем расшифровать короткую ссылку и увидеть цепочку редиректов
Короткая ссылка не показывает домен вовсе. Сокращатель прячет адрес за набором символов, и разбирать в нём по правилу первого слеша нечего. За ней может стоять цепочка редиректов, где первые звенья безобидны, а последний редирект уводит на поддельную форму входа.
Расшифровать короткую ссылку можно, не открывая её. CheckShortURL раскрывает исходный адрес и делает скриншот страницы, а RedirectChecker и Prozavr выводят цепочку переходов.
Тревожными в отчёте считают цепочку из трёх и более звеньев, смену доменной зоны на середине пути и конечный адрес, не связанный с брендом из сообщения. Заодно посмотрите возраст домена по WHOIS — дату регистрации видно в поле created. Адрес известного бренда недельной давности почти наверняка чужой.
Онлайн-сервисы проверки ссылки по базам угроз
Следующим шагом адрес прогоняют по базам вредоносных ресурсов. Вы вставляете ссылку, сервис сверяет адрес со своими списками и отдаёт отчёт.
| Сервис | Что проверяет | Что показывает в отчёте |
|---|---|---|
| VirusTotal | Адреса и файлы по базам почти сотни антивирусов | Вердикт каждого движка, историю проверок |
| Онлайн-проверка Dr.Web | Адрес по базе вредоносных ресурсов вендора | Категорию угрозы и краткий вердикт |
| Kaspersky Threat Intelligence Portal | Адрес, домен и файлы по базе вендора | Репутацию адреса, связанные домены |
| 2IP | Сайт на вирусы и данные о сервере | Результат сканирования, IP и страну |
| IP-Logger | Цепочку перенаправлений короткой ссылки | Конечный адрес, звенья, метаданные |
| CheckShortURL | Исходный адрес за сокращателем | Полный адрес и скриншот страницы |
Отчёт читают не по одной строке. Одно-два сигнала из большой базы движков чаще всего означают ложное срабатывание: у вендоров разные эвристики, часть реагирует на молодой домен. Тревожно, когда угрозу видят несколько независимых движков сразу, а сервер стоит в стране, не связанной с бизнесом отправителя.
У всех баз вредоносных ресурсов общее ограничение: свежий фишинговый домен туда ещё не попал, базу наполняют по жалобам и обходам. Чистый отчёт по такому адресу означает «ничего не знаем», а не «безопасно», и защищает вас совокупность проверок, а не один сервис.
Расширения браузера и антивирусные приложения для смартфона
На компьютере часть работы берёт на себя расширение браузера. Security Copilot разбирает страницу по нескольким осям (HTTPS и сертификат, cookies, заголовки CSP, трекинг-скрипты) и сводит результат к индикатору-светофору. Своё расширение браузера для Chromium есть и у Microsoft.
На смартфоне возможностей меньше. По нашему опыту проверка ссылок в мобильных антивирусах открывается в платных версиях, а бесплатная сборка сканирует только установленные приложения.
Бесплатно остаются сведения об адресе по нажатию на адресную строку и пункт «О сайте» в приложении Яндекса. Адресная строка на телефоне обрезается посередине, поэтому длинный адрес разбирают на компьютере.
Как убедиться, что ссылка ведёт на оригинальный сайт
Проверка ссылки на оригинальность сводится к сверке с эталоном, а не к оценке адреса самого по себе. Найдите официальный сайт компании через поисковик и сравните с присланным адресом написание домена и доменную зону. Банк на .ru не присылает ссылок на .top.
Рекламные блоки выдачи ориентиром не считаются: мошеннические сайты иногда проходят модерацию и оказываются выше органических результатов. Надёжнее не пользоваться присланным адресом вовсе, а набрать сайт банка вручную.
Если вокруг бренда регулярно появляются чужие домены, начните с картины собственного ссылочного окружения. Её даёт SEO-аудит сайта с планом роста, где качество и динамика внешних ссылок сведены в один отчёт.
Что делать, если вы уже перешли по подозрительной ссылке
Переход по ссылке ещё не означает потерю данных. Дальше всё зависит от того, как далеко зашло дело. Разберём три сценария.
Браузер предупредил о незащищённом подключении
Самый лёгкий случай, страница даже не открылась. Закройте вкладку и не нажимайте кнопку принудительного открытия: она отключает ровно ту проверку, которая вас предупредила.
Отдельная оговорка для России: зарубежные браузеры не доверяют отечественным SSL-сертификатам и ругаются на государственные сайты, которые в порядке. Такие адреса открывают в Яндекс Браузере или Атоме.
Сайт открыт, но данные вы не вводили
Закройте страницу, не нажимая на ней ничего: ни кнопок, ни баннеров, ни крестиков во всплывающих окнах. Опасность здесь в атаке drive-by-download. Заражение происходит при простом заходе на адрес, скрипт использует уязвимость браузера и загружает вредоносное ПО без вашего участия.
После этого отключите автоматическую загрузку файлов в настройках браузера, проверьте папку загрузок и просканируйте устройство антивирусом.
Вы ввели данные или началась загрузка файла
В этом сценарии счёт идёт на минуты, и порядок важен. Меняйте пароли, начиная с «корневой» почты, на которую настроено восстановление доступа ко всему остальному: пока она в чужих руках, смена паролей в других сервисах бесполезна. Дальше идут кошельки и банковские приложения, облачные хранилища, соцсети и корпоративные ресурсы (почта компании, рекламные кабинеты, CRM).
Если вы ввели платёжные данные, звоните в банк сразу и блокируйте карту, не дожидаясь списаний. Скачанный файл удалите, не открывая, и запустите полную проверку устройства антивирусом. О фишинговом адресе сообщают через официальную форму приёма обращений Роскомнадзора о противоправных интернет-ресурсах: правовая база их блокировки задана Федеральным законом № 149-ФЗ от 2006 года «Об информации, информационных технологиях и о защите информации».
Порядок проверки: шаги и чек-лист
Единой последовательности проверки в открытых источниках нет, поэтому ниже собран полный порядок действий:
- Оцените текст сообщения. Готово, когда назвали отправителя и поняли, ждали ли это письмо. Здесь часто ошибаются и читают текст уже после того, как адрес вставлен в браузер.
- Прочитайте домен. Скопируйте адрес правой кнопкой и найдите часть перед первым слешем. Готово, когда можете произнести домен вслух. Типичная ошибка: принять поддомен слева за домен.
- Сверьте написание домена и доменную зону с официальным сайтом из выдачи. Готово, когда совпали имя и зона. Ошибаются здесь чаще всего те, кто сверяет по памяти, не открыв эталон.
- Расшифруйте короткую ссылку через CheckShortURL или IP-Logger. Готово, когда видите конечный адрес и цепочку. Типичная ошибка: открыть сокращённый адрес «просто посмотреть».
- Прогоните адрес по базам угроз в VirusTotal, Dr.Web или 2IP. Готово, когда прочитан вердикт нескольких движков. Ошибка на этом шаге в том, что чистый отчёт по свежему домену принимают за гарантию.
- При сомнении откажитесь от перехода и найдите нужный раздел на сайте вручную. Готово, когда задача решена без чужого адреса. Ошибаются здесь те, кто всё-таки открывает присланный адрес «на всякий случай», уже найдя нужный раздел.
Подготовить заранее стоит немного: двухфакторную аутентификацию на корневой почте и в рекламных кабинетах, разные пароли для рабочих сервисов, обновлённый браузер и договорённость в команде, кто разбирает присланные ссылки.
