Фишинг

Фишинг (Phishing) — это вид мошенничества, при котором злоумышленник выдаёт себя за банк, брокера, биржу, госорган или знакомого человека, чтобы выманить у жертвы логины, пароли, коды подтверждения, данные карты или доступ к кошельку. Получив эти данные, мошенник сам распоряжается деньгами жертвы.

Первое зафиксированное употребление слова относят к январю 1996 года: его нашли в группе обсуждений Usenet, посвящённой сервису America Online, где мошенники выманивали у пользователей пароли от учётных записей. Написание через ph отсылает к хакерскому жаргону, а сама метафора взята из рыбалки: злоумышленник забрасывает наживку тысячам адресатов и ждёт, кто клюнет. От скама фишинг отличается целью: скам убеждает человека перевести деньги самому, а фишинг прежде всего добывает ключи к его счёту; телефонный звонок нередко совмещает оба приёма.

Каналы фишинга

Фишинг приходит туда, где человек привык получать сообщения от банка или сервиса, и копирует их внешний вид. Каналы различаются тем, что именно мошенник пытается получить.

Тот же приём работает и против компаний: сотруднику бухгалтерии пишут «от директора» с просьбой срочно оплатить счёт.

Фишинг в криптовалюте

Криптовалюта даёт фишингу особенно короткий путь к деньгам: доступ к кошельку сразу означает право перевести монеты, а отменить транзакцию в блокчейне нельзя. Самая прямолинейная атака выманивает сид-фразу. Поддельный сайт кошелька или «служба поддержки» просит ввести её для «проверки кошелька» или «восстановления доступа», и после этого мошенник восстанавливает кошелёк на своём устройстве и забирает всё. Похожие письма и страницы предлагают «пройти KYC», иначе кошелёк заблокируют, и под этим предлогом выманивают ту же фразу.

Более тонкий приём не требует ключей. Владелец криптокошелька заходит на поддельный сайт известного проекта Web3 и подписывает то, что выглядит как вход или получение бонуса, а на деле даёт адресу мошенника разрешение списывать его токены. На таких сайтах работают готовые наборы скриптов, опустошающие кошелёк сразу после подписи. По подсчёту компании Scam Sniffer, такие атаки принесли мошенникам около 494 млн $ в 2024 году и около 84 млн $ в 2025 году, а самая крупная кража 2025 года, на 6,5 млн $, прошла в сентябре через подписи разрешения на списание (Permit). Компания учитывает только кражи через фишинговые сайты, которые удаётся отследить, и называет свою цифру нижней оценкой.

Третий приём рассчитан на невнимательность. Мошенник отправляет жертве ничтожную или нулевую сумму с адреса, у которого совпадают первые и последние символы с адресом её постоянного контрагента. Адрес попадает в историю переводов, и при следующей отправке владелец копирует его оттуда, не сверив середину.

Признаки фишингового сообщения

Фишинговое сообщение почти всегда давит на время и просит сделать то, чего настоящий банк или сервис не просит. Возможными индикаторами фишинга служат:

• срочность и угроза: «счёт будет заблокирован через час», «подтвердите операцию, иначе деньги спишут»;

• адрес отправителя или ссылки отличается от настоящего одной буквой, лишним словом или другим доменом;

• просьба назвать код из СМС, пароль, PIN-код, CVC-код или секретную фразу от кошелька;

• ссылка ведёт на страницу входа, хотя в письме речь о посылке, штрафе или выигрыше;

• звонящий сам предлагает перевести деньги на «безопасный» или «резервный» счёт;

• вложение в архиве или файл с двойным расширением вместо обычного документа.

Основная защита проста: не переходить по ссылке из сообщения, а открыть приложение или сайт банка вручную и проверить там, есть ли проблема. Если звонит «банк», разговор лучше прервать и перезвонить по номеру с обратной стороны карты.

Где обычная защита не срабатывает

Пароль и одноразовый код из СМС или приложения защищают от подбора, но не от фишинга, потому что жертва сама отдаёт и то и другое. Мошенники учитывают привычные советы по безопасности и обходят их:

• поддельная страница входа запрашивает код из СМС в тот же момент, когда мошенник вводит пароль на настоящем сайте, и код срабатывает;

• значок замка или защищённого соединения в адресной строке говорит только о шифровании соединения, и фишинговые сайты получают такие сертификаты так же легко, как настоящие;

• сообщение, где названы имя, номер карты или недавняя покупка из утёкшей базы, выглядит убедительно, хотя все эти сведения мошенник мог купить.

Аппаратные ключи и ключи доступа, привязанные к адресу сайта, защищают лучше любого одноразового кода, потому что на поддельном домене не срабатывают; защита держится, пока для входа не оставлены запасные способы вроде кода из СМС. Против звонка, где человека уговаривают самого перевести деньги, ни ключи, ни коды не помогают: здесь решает правило не выполнять указаний звонящего.

Фишинг и защита клиентов в России

По данным Банка России, объём операций без добровольного согласия клиентов, куда входит не только фишинг, составил 27,5 млрд ₽ в 2024 году и 29,3 млрд ₽ в 2025 году. В 2025 году банки вернули клиентам 5,9% этой суммы.

С 25 июля 2024 года по закону № 161-ФЗ «О национальной платёжной системе» банк приостанавливает на два дня перевод на реквизиты из базы данных регулятора о случаях и попытках переводов без согласия клиента. Если банк перевёл деньги на такие реквизиты, не приостановив операцию, он обязан вернуть клиенту всю сумму в течение 30 дней после заявления: обязанность вернуть деньги закон связывает с нарушением банком порядка приостановки, а не с самим фактом обмана. Если клиент повторил перевод после двух дней, банк его исполняет и деньги не возвращает. С 1 марта 2025 года на Госуслугах можно установить самозапрет на потребительские кредиты, и кредитор обязан отказать в кредите или займе, на который распространяется запрет, а договор, заключённый вопреки запрету, не обязывает гражданина платить. Закон защищает только часть случаев, поэтому код из СМС, пароль и данные для восстановления кошелька не называют никому, кто бы ни спрашивал.