Фишинговый сайт: как распознать и что делать, если подделали ваш

Фишинговый сайт — подделка настоящего ресурса, которая собирает логины, пароли и данные карт. Распознать его можно по адресу (чужой или «почти такой же» домен), по давности регистрации и по тому, что от вас требуют срочно ввести данные. Если подделали ваш сайт, порядок такой: зафиксировать копию, сообщить хостеру и регистратору, подать жалобу в Google Safe Browsing и браузеры, предупредить клиентов и закрыть дыры, которыми могли воспользоваться.

Как распознать фишинговый сайт

Замок в адресной строке ничего не доказывает: сертификат сегодня получают и мошенники. Он значит лишь то, что соединение зашифровано до того сервера, чей адрес вы видите. Смотреть нужно на сам адрес и поведение страницы.

Если сомневаетесь, не вводите данные. Зайдите на сайт через закладку или поиск, а подозрительную ссылку отправьте в проверку: например, на странице Google для жалоб на фишинг или в проверку вашего антивируса. Как проверить срок регистрации домена, мы подробно писали в статье про проверку срока регистрации домена.

Если подделали ваш сайт

Типичный сценарий: мошенники копируют страницу целиком, регистрируют похожий домен, получают сертификат и запускают рекламу или рассылку. Клиенты вводят данные уже не у вас. Законных способов «выключить» чужой сайт самостоятельно нет, зато можно быстро запустить цепочку жалоб.

1. Зафиксируйте копию. Сделайте скриншоты страницы и формы, сохраните адрес, дату и время, а если можете, сохраните HTML (Ctrl+S). Не вводите настоящие данные.
2. Найдите владельца домена и хостера. Через whois узнайте регистратора, через DNS и проверку IP-адреса сайта — хостинг-провайдера. У обоих есть контакт для жалоб на злоупотребления (abuse).
3. Отправьте жалобу хостеру и регистратору. Приложите адрес копии, скриншоты и указание на ваши права на бренд и дизайн. Просите заблокировать ресурс.
4. Подайте жалобу в Google Safe Browsing. Форма отправки фишинговых страниц есть на safebrowsing.google.com/safebrowsing/report_phish. Занесение в список блокировок защищает пользователей Chrome, Firefox и Safari.
5. Сообщите Microsoft. В Edge есть пункт меню «Сообщить о небезопасном сайте» (Справка и отзывы), он отправляет адрес в SmartScreen.
6. Предупредите клиентов. Короткая заметка на вашем сайте, в рассылке и в соцсетях: настоящий адрес, чего вы никогда не просите.
7. Проверьте себя. Выясните, как копия получила содержимое, и не было ли утечки у вас.

Как найти копии заранее

• Ищите в поисковых системах уникальную фразу со своей страницы в кавычках: копии нередко находятся по ней.
• Следите за журналом выдачи сертификатов: сервис crt.sh показывает новые сертификаты на домены, где встречается ваше название.
• Зарегистрируйте основные «опечаточные» варианты своего домена, если бренд известен и риск реальный.
• Подключите отчёты DMARC и строгую политику: подделка вашего домена в письмах — часть той же схемы. Подробности в статье про SPF, DKIM и DMARC.
• Настройте мониторинг бренда и доступности сайта.

Что делать пользователю, который получил подозрительную ссылку

• Не переходите по ссылке из письма или мессенджера с требованием срочно «подтвердить» данные: откройте сайт вручную.
• Сравните адрес с настоящим: бренды часто подделывают добавлением слов или заменой букв.
• Не вводите коды из SMS и пароли, если страница открылась не там, где вы ожидали.
• Если ссылка пришла от знакомого, уточните у него другим каналом: его аккаунт могли взломать.
• Сообщите о подделке владельцу настоящего сайта: ему важно знать, что его бренд используют.

Для компании это ещё и вопрос репутации: клиент, потерявший деньги на подделке, придёт жаловаться вам. Поэтому на странице контактов и в подвале писем полезно размещать проверяемый адрес сайта.

Как не дать повод для фишинга

Фишинг строится на привычках пользователей. Если ваши письма и формы выглядят по-разному каждый раз, клиенту трудно отличить подделку. Мы советуем держать единый адрес сайта и отправителя, не просить в письмах пароли, указать на странице входа, что вы никогда не просите код из SMS, и использовать защищённое соединение, как описано в материале про проверку SSL-сертификата.

Чтобы злоумышленникам было сложнее выдать себя за вас, помогают двухфакторная аутентификация для клиентов и сотрудников и вход через проверенных провайдеров. Системные меры входят в защиту сайта. Если на вашем сайте нашли подозрительные формы и подозреваете взлом, экстренная помощь разберёт, откуда они взялись.

Что делать, если вы уже ввели данные на фишинговой странице

1. Немедленно смените пароль на настоящем сайте и везде, где использовали такой же.
2. Включите двухфакторную аутентификацию.
3. Если вводили данные карты, позвоните в банк и заблокируйте карту.
4. Проверьте письма и сессии: завершите чужие входы в настройках аккаунта.
5. Сообщите администрации сервиса, что вас фишили: они смогут добавить адрес в блокировки.