Фишинг и вишинг: что это и как защититься

Мошенники ежедневно комбинируют поддельные сайты и голосовые звонки, чтобы получить доступ к вашим деньгам. Фишинг и вишинг — две стороны одной схемы: в первом случае вас заманивают на фальшивую страницу банка, во втором — убеждают назвать код по телефону. Разница между ними определяет и способ защиты: домен нужно проверять глазами, а номер — через официальное приложение.

В статье разберём, как отличить поддельный сайт от настоящего, по каким фразам вычислить «сотрудника банка» и что делать, если вы уже перешли по ссылке. Также покажем, как быстро заблокировать карту и какие настройки снизят риски в будущем. Если операция всё же прошла — вы узнаете, как заставить банк ответить в установленный законом срок.

Фишинг и вишинг: в чём разница между сайтом и звонком

Фишинг и вишинг — два самых массовых способа кражи денег и данных. Их объединяет цель — заставить вас добровольно отдать логин, пароль, код из SMS или данные карты. Различие — в канале атаки. Фишинг работает через поддельные сайты, письма и приложения: вы сами вводите данные на странице-двойнике. Вишинг — это голосовое мошенничество: звонок от «сотрудника банка», «полиции» или «оператора», который выманивает данные под психологическим давлением.

Разница критична для защиты. Фишинг можно заметить, если проверить адрес сайта и не переходить по ссылкам из писем. Вишинг сложнее: голос не вызывает подозрений, а сценарий разговора отрепетирован. Мошенники используют социальную инженерию — играют на страхе, жадности или доверии к официальному тону. По данным ЦБ, чаще всего пострадавшие сами сообщают мошенникам коды и пароли — это прямое следствие обеих схем.

Понимание разницы помогает выбрать правильную защиту. От фишинга спасает внимательность к URL и двухфакторная аутентификация. От вишинга — правило «никогда не называть код по телефону» и проверка номера через официальное приложение банка. Ниже разберём, как выглядят поддельные сайты и приложения, как распознать голос мошенника и что делать, если вы уже попались.

Как выглядят поддельные сайты и приложения банков

Поддельные сайты копируют дизайн официального интернет-банка до мелочей: логотип, цвета, шрифты, расположение полей. Отличие — в адресе. Мошенники регистрируют домены, похожие на настоящий: например, sberbank-online.ru вместо sberbank.ru, или используют поддомены вида secure.sberbank.xyz. Проверяйте домен первого уровня — то, что после последней точки. Если это не .ru, .com или .рф официального банка, а что-то иное — это подделка.

Поддельные приложения распространяются через SMS-ссылки и мессенджеры. Они могут называться «СберБанк Онлайн», «Тинькофф — обновление» или «ВТБ — новый интерфейс». Установка из неофициального источника — главный риск: такие приложения не проходят проверку магазинов и могут содержать вредоносный код, который перехватывает SMS с кодами подтверждения. Официальные приложения банков публикуются только в App Store, Google Play и RuStore — других источников нет.

Признаки подделки: орфографические ошибки, требование срочно «подтвердить данные» или «пройти верификацию», запрос кода из SMS при входе, отсутствие сертификата безопасности (замок в адресной строке). Если сайт или приложение просит ввести полный номер карты, CVV и код из SMS одновременно — это 100% мошенничество: банк никогда не запрашивает эти данные вместе. При сомнении зайдите в банк через официальное приложение или наберите номер с обратной стороны карты.

Голосовые схемы: как распознать «сотрудника банка»

Вишинг начинается со звонка. Типовые сценарии: «зафиксирована подозрительная операция», «ваша карта заблокирована», «на вас оформлен кредит», «нужно продлить договор». Главный инструмент мошенника — давление: «счёт заблокируют через 10 минут», «деньги пропадут», «вы будете виноваты». Запомните: настоящий сотрудник банка никогда не требует совершить перевод, назвать код из SMS или установить приложение «для безопасности». Эти действия — всегда признак мошенничества.

Как распознать злоумышленника. Во-первых, проверьте номер: официальные номера банков указаны на обратной стороне карты и в приложении. Если звонят с мобильного или короткого номера, не совпадающего с официальным, — это подозрительно. Во-вторых, задайте встречный вопрос: «Как вас зовут? Назовите последние 4 цифры моей карты». Мошенник не сможет ответить, потому что данных у него нет. В-третьих, не поддавайтесь на угрозы: «счёт заблокируют» — это манипуляция, банк не блокирует счета по телефону.

Правило для всех случаев: положите трубку, если звонящий просит что-то сделать немедленно. Не называйте код из SMS, не переводите деньги «на безопасный счёт», не устанавливайте приложения по ссылке из звонка. Если сомневаетесь, перезвоните в банк по официальному номеру с обратной стороны карты — это займёт две минуты и исключит ошибку. Помните: мошенники используют страх и спешку, чтобы вы не успели подумать. Ваша защита — пауза и проверка.

Быстрая проверка за минуту: домен, номер, приложение

Прежде чем вводить данные или отвечать на звонок, проведите экспресс-проверку. Она занимает меньше минуты и блокирует большинство атак.

1. Проверьте домен. Посмотрите на адресную строку. Домен первого уровня (то, что после последней точки) должен совпадать с официальным сайтом банка. Например, для Сбербанка — sberbank.ru, для ВТБ — vtb.ru. Любое другое окончание — подделка.
2. Проверьте номер звонящего. Сравните с номером на обратной стороне карты или в официальном приложении. Если номер не совпадает — это мошенник.
3. Проверьте приложение. Откройте магазин приложений (App Store, Google Play, RuStore) и найдите банк по официальному названию. Сверьте разработчика: он должен быть банком, а не частным лицом. Если приложение установлено из ссылки в SMS или мессенджере — удалите его.
4. Проверьте сертификат. В браузере нажмите на замок рядом с адресом. Если сертификат недействителен или сайт «не защищён» — не вводите данные.

Если хотя бы один пункт вызывает сомнение — прекратите действие. Не вводите данные, не отвечайте на звонок, не устанавливайте приложение. Лучше потратить минуту на проверку, чем потом восстанавливать доступ к счету. При сомнении позвоните в банк по официальному номеру — это самый надёжный способ.

Что делать, если уже перешли по ссылке или установили приложение

Если вы перешли по подозрительной ссылке или установили приложение, действуйте быстро. Главное — минимизировать ущерб, пока мошенники не воспользовались данными.

1. Не вводите больше никаких данных. Закройте сайт, удалите приложение. Не пытайтесь «проверить» — это только усугубит ситуацию.
2. Смените пароли. Если вы вводили логин и пароль от интернет-банка, немедленно смените их через официальное приложение или позвонив в банк. Используйте новый сложный пароль, который не использовали ранее.
3. Проверьте устройство на вредоносное ПО. Если устанавливали приложение из неофициального источника, запустите антивирус. Вредоносные программы могут перехватывать SMS с кодами — поэтому не вводите коды, пока не убедитесь в безопасности.
4. Сообщите в банк. Позвоните по официальному номеру и сообщите о подозрительной активности. Банк заблокирует доступ и приостановит операции.

Если вы уже ввели код из SMS или данные карты — немедленно звоните в банк и блокируйте карту. По закону о платёжных операциях, банк обязан рассмотреть заявление о спорной операции в течение 30 дней (60 дней для трансграничных переводов). Требуйте письменный ответ — он понадобится для жалобы в ЦБ или суда. Не откладывайте: чем быстрее вы сообщите, тем выше шанс вернуть деньги.

Как заблокировать карту и сообщить о мошенниках

Блокировка карты — первый шаг при любой утечке данных. Сделать это можно тремя способами: через официальное приложение банка (раздел «Блокировка карты»), через звонок в банк по номеру с обратной стороны карты, или через банкомат (вставить карту и ввести PIN трижды — карта заблокируется). Выберите любой — главное, сделать это немедленно.

После блокировки сообщите о мошенничестве. Куда обращаться:

• В банк. Подайте заявление о спорной операции. Требуйте письменный ответ — банк обязан дать его в течение 30 дней (60 для трансграничных переводов).
• В полицию. Подайте заявление о мошенничестве (ст. 159 УК РФ). Приложите скриншоты, номера звонков, SMS и письменный ответ банка.
• В Центральный банк РФ. Через интернет-приёмную ЦБ можно пожаловаться на банк, если он не отвечает или отказывает в возврате. Жалоба ускорит разбирательство.

Зафиксируйте все доказательства: сохраните SMS, скриншоты сайта, номера звонящих, время операций. Эти материалы понадобятся и банку, и полиции. Если мошенники звонили от имени коллекторов — помните: по закону коллекторы не вправе звонить чаще 1 раза в сутки, 2 раз в неделю и 8 раз в месяц, а также беспокоить ночью с 22:00 до 8:00. Нарушения фиксируйте и жалуйтесь в ФССП.

Защита на будущее: настройки, лимиты и привычки

Лучшая защита — профилактика. Настройте банковские приложения и смартфон так, чтобы мошенникам было сложно добраться до денег.

• Установите лимиты на операции. В приложении банка ограничьте суточный лимит на переводы и покупки. Даже если мошенники получат доступ, они не смогут вывести крупную сумму.
• Включите двухфакторную аутентификацию. Подтверждение входа через SMS или push-уведомление — обязательное условие. Без него доступ к счету получить проще.
• Не храните пароли в заметках. Используйте менеджер паролей — он генерирует сложные уникальные пароли для каждого сайта.
• Обновляйте приложения и ОС. Обновления закрывают уязвимости, которые используют мошенники.
• Проверяйте ссылки перед переходом. Наведите курсор на ссылку — увидите адрес. Если он не совпадает с официальным, не переходите.

Привычки, которые спасают от вишинга. Никогда не называйте код из SMS по телефону — даже если звонящий представляется сотрудником банка. Не переводите деньги «на безопасный счёт» — таких счетов не существует. Если звонящий торопит и угрожает — положите трубку. Перезвоните в банк по официальному номеру и уточните, всё ли в порядке.

Для пожилых родственников — отдельный инструктаж. Объясните, что сотрудники банка никогда не спрашивают коды и не просят установить приложения. Договоритесь, что перед любым действием по телефону они звонят вам. Установите на их смартфоны антивирус и включите лимиты на картах. Эти меры снижают риск стать жертвой фишинга и вишинга до минимума.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.