Как распознать фишинговую копию сайта или приложения: пошаговая проверка
Фишинговая копия сайта выглядит как оригинал: тот же логотип, те же цвета, та же форма входа. Отличается она одним — всё, что вы туда введёте, уходит злоумышленникам. Поэтому проверять нужно не дизайн, который скопировать проще всего, а то, что подделать гораздо труднее.
Адрес — главный документ страницы
Прежде чем вводить пароль, посмотрите на адресную строку целиком, а не только на её начало. Типичные приёмы мошенников:
- замена похожих символов: цифра 0 вместо буквы o, сочетание «rn» вместо «m», латиница вперемешку с кириллицей;
- лишние слова в домене вроде «-login», «-secure», «-bonus», «-support»;
- известное имя в поддомене, за которым стоит чужой сайт: в адресе вида bank.example-site.net настоящий домен — example-site.net;
- непривычная доменная зона вместо той, которой сервис пользуется всегда.
Надёжнее всего открывать важные сервисы из закладок или набирать адрес вручную, а не переходить по ссылкам из писем, мессенджеров и рекламы.
Замок в браузере — ещё не гарантия
Значок замка означает лишь то, что соединение зашифровано. Сертификат для своего домена может бесплатно получить кто угодно, включая владельца поддельного сайта. Полезнее нажать на значок и посмотреть, для какого домена выдан сертификат и совпадает ли он с тем, что вы ожидаете увидеть.
Приложения только из проверенных источников
Отдельный риск — APK-файлы для Android, скачанные по ссылке из чата или с сайта-однодневки. Такое приложение может выглядеть как банковское или игровое, а на деле перехватывать СМС и коды подтверждения. Устанавливайте программы из штатного магазина приложений на телефоне или с сайта разработчика, адрес которого вы проверили. Если приложение при установке просит доступ к СМС, специальным возможностям или управлению устройством без очевидной причины — остановитесь и удалите файл.
Вторая линия обороны
Даже внимательный человек однажды ошибётся, поэтому нужна страховка. Двухфакторная защита через приложение-аутентификатор не даст войти в аккаунт с одним только украденным паролем. Менеджер паролей помогает дважды: генерирует уникальные пароли и не подставляет их на сайте с чужим доменом. Если автозаполнение вдруг не сработало на «знакомой» странице — это повод насторожиться и перепроверить адрес. Резервные коды для второго фактора храните отдельно — на бумаге или в том же менеджере паролей, — иначе потеря телефона обернётся потерей доступа.
Если данные всё-таки ушли на подозрительную страницу, не ждите: смените пароль, зайдя на настоящий сайт вручную, и завершите все активные сеансы в настройках безопасности аккаунта.
Где подделок особенно много
Чем больше денег проходит через сервис, тем охотнее его копируют: банки, маркетплейсы, криптобиржи, онлайн-казино. В последнем случае распространённая приманка — поддельные «зеркала», ссылки на которые рассылают в мессенджерах. Обзорные сайты на родном языке помогают разобраться в правилах площадок; для аудитории Узбекистана такую работу на узбекском делает гид Eng Yaxshi Kazinolar. Но адрес, по которому вы переходите, всё равно проверяйте сами — по тем же признакам, что перечислены выше.
Материал носит образовательный характер. Онлайн-азартные игры допустимы только с 18 лет (18+) и несут риск потери вложенных средств.