Фишинг и безопасность: топ-10 предложений

Каждый день мошенники придумывают новые схемы, чтобы украсть ваши деньги. Фишинг — один из самых опасных: поддельные письма, сайты-копии банков и звонки от «службы безопасности». По закону банк обязан ответить на ваше заявление о спорной операции в течение 30 дней (ФЗ-161), но лучше не доводить до этого. Главное правило: код из SMS — это ваша подпись, её нельзя называть никому, даже если звонящий представился сотрудником банка. А оформить самозапрет на кредиты через Госуслуги или МФЦ — бесплатно и надёжно. Это блокирует возможность взять заём на ваше имя. Разберём, как распознать фишинг и какие инструменты безопасности реально работают.

Почему стандартной осторожности недостаточно

Традиционные советы — «не переходите по подозрительным ссылкам», «не сообщайте пароли» — перестали быть достаточной защитой. Мошенники адаптировались: они используют технологии подмены номеров, создают точные копии сайтов банков и госуслуг, а также применяют методы социальной инженерии, которые обходят любую бдительность. Например, звонок от «сотрудника банка» с реального номера службы поддержки — это уже не редкость, а стандартный сценарий. Человек видит знакомый номер, доверяет и называет код из SMS, который, по закону, является аналогом его собственноручной подписи. Назвав код, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное.

Опасность в том, что жертвой становится не только наивный пользователь, но и любой, кто устал, отвлёкся или находится в стрессовой ситуации. Мошенники давят срочностью: «ваш счёт заблокируют», «по карте идёт несанкционированное списание». В таких условиях стандартная осторожность отключается. Поэтому недостаточно просто знать о фишинге — нужно внедрить системные барьеры: настройки устройств, банковские лимиты и понимание своих юридических прав. Только комплекс мер создаёт реальную защиту.

Юридические права и защитные инструменты: что положено каждому

Законодательство даёт несколько ключевых инструментов, о которых многие не знают или не используют. Первый — самозапрет на кредиты. Его можно оформить бесплатно через портал «Госуслуги» или в любом МФЦ. После этого ни один банк или микрофинансовая организация не сможет выдать кредит на ваше имя. Снятие запрета происходит с задержкой в два дня — это так называемый «период охлаждения», который не позволит мошенникам быстро оформить заём, даже если они получили доступ к вашему аккаунту.

Второй инструмент — обязанность банка приостанавливать переводы. С 25 июля 2024 года банк обязан на два дня блокировать перевод на счёт, который числится в базе мошеннических операций Центробанка. Если банк пропустил такой перевод, он обязан вернуть деньги клиенту в течение 30 дней. Это значит, что даже если вы перевели деньги мошенникам, есть шанс их вернуть — при условии, что счёт получателя уже был в «чёрном списке» ЦБ.

Третий важный момент — контроль за обработкой персональных данных. По закону (ФЗ-152), любая организация обязана получить ваше письменное или электронное согласие до того, как начать обрабатывать ваши данные. Вы имеете право в любой момент отозвать это согласие и потребовать удаления информации. Кроме того, данные граждан РФ должны храниться только на серверах в России. Если вы заметили, что сайт или приложение собирает данные без вашего ведома, это повод для жалобы в Роскомнадзор.

Настройка встроенной антифишинг-защиты на телефоне и компьютере

Современные операционные системы и браузеры имеют встроенные механизмы защиты от фишинга, но они часто отключены по умолчанию или работают не в полную силу. На компьютере с Windows обязательно включите SmartScreen (Параметры → Конфиденциальность и безопасность → Безопасность Windows → Управление приложениями и браузером). Он проверяет загружаемые файлы и посещаемые сайты на предмет мошенничества. В браузерах (Chrome, Firefox, Edge) в настройках безопасности активируйте «Защиту от фишинга и вредоносного ПО» — это блокирует переходы на известные фишинговые страницы.

На смартфонах защита сложнее. На Android обязательно включите Google Play Protect (Play Маркет → Настройки → Play Protect → Сканировать устройства на наличие угроз). Также в настройках браузера Chrome включите «Безопасный просмотр» — он предупреждает об опасных сайтах. На iPhone в Safari включите «Защиту от мошеннических сайтов» (Настройки → Safari → Защита от мошеннических сайтов). Дополнительно отключите автоматический переход по ссылкам из сообщений: в iMessage отключите предварительный просмотр ссылок, а в WhatsApp — отключите автоматическое открытие ссылок.

Важно: ни одна встроенная защита не даёт 100% гарантии. Мошенники постоянно создают новые домены, которые ещё не попали в чёрные списки. Поэтому настройки — это лишь первый барьер. Второй барьер — ваша реакция: если браузер выдаёт предупреждение «Сайт может быть опасным», ни в коем случае не нажимайте «Продолжить». Закройте вкладку и проверьте адрес сайта вручную.

Банковская безопасность: уведомления, лимиты и 3D-Secure

Банковские приложения и карты имеют несколько настроек, которые могут спасти деньги даже при успешном фишинге. Первое — лимиты на операции. Установите в мобильном банке дневной лимит на переводы и снятие наличных. Например, 50 000–100 000 рублей в сутки. Даже если мошенники получат доступ к вашему аккаунту, они не смогут вывести больше этой суммы за один день. Для крупных покупок лимит можно временно повысить, но лучше делать это непосредственно перед транзакцией.

Второе — мгновенные уведомления обо всех операциях. Подключите SMS- или push-уведомления на каждое списание. Если вы увидели уведомление о переводе, которого не совершали, у вас есть буквально минуты, чтобы заблокировать карту и позвонить в банк. По закону, банк обязан ответить на заявление о спорной операции в течение 30 дней (по трансграничным переводам — 60 дней). Требуйте письменный ответ — он понадобится для жалобы в ЦБ или суда.

Третье — 3D-Secure (технология подтверждения онлайн-платежей одноразовым кодом). Убедитесь, что она включена для всех ваших карт. Однако помните: код из SMS — это аналог вашей подписи. Если вы сами назвали его мошеннику, банк вправе не возвращать деньги. Поэтому никогда не вводите код на сайте, куда перешли по ссылке из письма или сообщения. Всегда открывайте сайт банка вручную в браузере.

План действий после клика по мошеннической ссылке

Если вы поняли, что перешли по фишинговой ссылке, действуйте немедленно. Первый шаг — отключите устройство от интернета. На компьютере отключите Wi-Fi или выдерните сетевой кабель. На телефоне включите авиарежим. Это остановит передачу данных мошенникам и не даст им завершить кражу. Второй шаг — не вводите никакие данные. Если вы уже ввели логин и пароль, но не нажали «Подтвердить», закройте вкладку. Если нажали — считайте, что данные скомпрометированы.

Третий шаг — смените пароли. Сделайте это с другого устройства (например, с компьютера друга или через мобильный интернет на другом телефоне). Смените пароль от почты, от аккаунта на «Госуслугах», от интернет-банка. Используйте сложные пароли — не менее 12 символов с цифрами и спецсимволами. Четвёртый шаг — проверьте устройство на вирусы. Запустите полное сканирование антивирусом (например, Kaspersky или Dr.Web). Если антивируса нет, скачайте его с официального сайта на другом устройстве и перенесите на флешке.

Пятый шаг — заблокируйте карты. Позвоните в банк по номеру с обратной стороны карты (не по номеру из подозрительного письма!) и заблокируйте все карты, данные которых могли быть введены на фишинговом сайте. После блокировки закажите перевыпуск. Шестой шаг — проверьте историю операций. Зайдите в мобильный банк (если доступ ещё не заблокирован) и посмотрите, не было ли несанкционированных списаний. Если были — сразу пишите заявление в банк.

Куда сообщить о фишинге: банк, полиция, Банк России

Сообщить о фишинговой атаке нужно в несколько инстанций. Первая — банк. Позвоните на горячую линию (номер указан на обратной стороне карты) и сообщите о мошенническом сайте или звонке. Банк может заблокировать карту и инициировать возврат средств через систему chargeback. Если вы перевели деньги, подайте письменное заявление о спорной операции. Банк обязан рассмотреть его в течение 30 дней (60 — для международных переводов) и дать письменный ответ. Если банк отказывает в возврате, требуйте письменный отказ — он понадобится для жалобы в ЦБ.

Вторая инстанция — полиция. Подайте заявление в отделение МВД по месту жительства. В заявлении укажите: дату и время атаки, номер телефона мошенников (если звонили), адрес фишингового сайта, сумму ущерба. Приложите скриншоты переписки, выписки по счетам. По закону, полиция обязана принять заявление и выдать талон-уведомление. Если отказываются — звоните на 02 (с мобильного 102) или в прокуратуру.

Третья — Банк России. Подайте жалобу через интернет-приёмную на сайте cbr.ru. ЦБ не возвращает деньги, но может провести проверку банка и наложить штраф, если банк нарушил закон (например, не приостановил перевод на мошеннический счёт из базы ЦБ). Также сообщите о фишинговом сайте в Роскомнадзор — они могут заблокировать его. Четвёртая — ФССП, если мошенники представлялись коллекторами и нарушали закон (звонили ночью или чаще 8 раз в месяц).

Цифровая гигиена: как убрать следы атаки и не стать жертвой снова

После того как первая угроза миновала, важно провести «зачистку» цифрового следа. Первое — удалите все подозрительные приложения. Если вы устанавливали программу по просьбе «сотрудника банка» или «техподдержки», удалите её немедленно. Проверьте список установленных приложений на телефоне и компьютере. Особенно те, которые имеют доступ к SMS, контактам и камере. Второе — смените пароли везде, где они совпадают с скомпрометированными. Используйте менеджер паролей (например, LastPass или KeePass) для генерации и хранения уникальных паролей.

Третье — включите двухфакторную аутентификацию (2FA) на всех важных сервисах: почта, «Госуслуги», соцсети, банк. Лучше использовать не SMS, а приложение-аутентификатор (Google Authenticator или Яндекс.Ключ). Это делает кражу пароля бесполезной — без второго фактора мошенник не войдёт в аккаунт. Четвёртое — оформите самозапрет на кредиты через «Госуслуги» или МФЦ. Это защитит вас от ситуации, когда мошенники оформляют кредит на ваше имя, используя украденные паспортные данные.

Пятое — регулярно проверяйте кредитную историю. Раз в год можно бесплатно запросить отчёт в каждом бюро кредитных историй (НБКИ, «Эквифакс», «КредитИнфо»). Если вы увидите кредит, который не брали, немедленно обращайтесь в банк, полицию и ЦБ. Шестое — настройте уведомления о входе в аккаунты. Почти все сервисы позволяют получать оповещение при входе с нового устройства. Если вы получили такое уведомление, а сами не входили — пароль скомпрометирован, меняйте его немедленно.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.