Фишинг-сайт: честное сравнение

Каждый день мошенники создают сотни фишинг-сайтов, чтобы украсть ваши деньги и личные данные. Один неверный клик — и злоумышленники получают доступ к онлайн-банку, аккаунту на Госуслугах или данным карты. Но есть способы защититься: достаточно знать, на что обратить внимание в адресной строке, и помнить о своих правах. Например, если вы заметили подозрительную операцию, банк обязан ответить на ваше заявление в течение 30 дней (по трансграничным переводам — 60 дней) согласно ФЗ-161. А с 2024 года кредитные организации обязаны приостанавливать переводы на счета из базы мошенников ЦБ — это даёт вам шанс вернуть деньги. разберём, как отличить настоящий сайт от подделки, что делать после перехода по фишинговой ссылке и как закон защищает ваши средства.

Что такое фишинговый сайт и почему он опасен

Фишинговый сайт — это поддельная веб-страница, которая визуально копирует дизайн известного сервиса: интернет-банка, маркетплейса, портала госуслуг или социальной сети. Цель мошенников — заставить вас ввести логин, пароль, данные карты или коды подтверждения. В отличие от массового спама, современный фишинг часто точечный: злоумышленники изучают жертву через утечки данных или социальные сети и подбирают правдоподобную легенду — от блокировки аккаунта до возврата налогового вычета.

Опасность фишингового сайта не ограничивается кражей одного пароля. Получив доступ к вашему аккаунту на Госуслугах, мошенники могут оформить микрозаймы или перевыпустить SIM-карту. С 2024 года, по данным ЦБ, мошенники всё чаще используют так называемые «гибридные» схемы: сначала выманивают данные через фишинговую страницу, а затем звонят от имени банка, используя уже известную информацию, чтобы убедить перевести деньги на «безопасный счёт». Такого счёта не существует — любой звонок с требованием кодов из SMS, CVV/CVC или предложением перевести средства является мошенничеством.

Важно понимать: фишинговый сайт может существовать всего несколько часов — мошенники регистрируют сотни доменов, используют зеркала и постоянно меняют адреса. Поэтому полагаться только на «чёрные списки» недостаточно. Ключевая защита — ваша внимательность и знание базовых признаков подделки: несоответствие домена официальному, ошибки в URL, отсутствие HTTPS-замка (хотя мошенники научились ставить и его), а также любое давление — «срочно», «последний день», «иначе аккаунт заблокируют».

Встроенная защита браузера: как включить антифишинг

Современные браузеры — Chrome, Яндекс.Браузер, Firefox, Safari — имеют встроенные механизмы антифишинга, которые проверяют каждый сайт по базам Google Safe Browsing или Yandex Safe Browsing. Если вы попытаетесь перейти на подозрительную страницу, браузер покажет предупреждение красного цвета: «Обманный сайт», «Небезопасно» или «Фишинг». Однако эта защита работает только при включённом режиме. В Chrome настройка находится в разделе «Конфиденциальность и безопасность» → «Безопасное соединение» → выберите «Расширенная защита». В Яндекс.Браузере — «Настройки» → «Безопасность» → включите «Защита от фишинга и вредоносных программ».

Помимо браузера, стоит установить бесплатные антифишинговые расширения: например, Bitdefender TrafficLight или Avira Browser Safety. Они проверяют ссылки в реальном времени и блокируют переходы на сайты из свежих баз мошенников. Однако помните: ни одно расширение не даёт 100% гарантии. Мошенники постоянно обновляют домены, и базы защиты могут отставать на несколько часов — этого достаточно, чтобы жертва успела ввести данные.

Дополнительный уровень — использование менеджеров паролей (KeePass, Bitwarden, 1Password). Они автоматически подставляют пароль только на том домене, для которого он сохранён. Если вы попали на фишинговый сайт, менеджер просто не предложит автозаполнение — это надёжный сигнал, что страница поддельная. Никогда не копируйте пароль вручную на незнакомом сайте.

Двухфакторная аутентификация и уведомления банка

Двухфакторная аутентификация (2FA) — обязательная защита для всех аккаунтов, где она доступна: Госуслуги, онлайн-банк, почта, соцсети. Даже если мошенники узнают ваш пароль через фишинговый сайт, без второго фактора — одноразового кода из SMS, push-уведомления или кода из приложения-аутентификатора (Google Authenticator, Яндекс.Ключ) — они не смогут войти. На Госуслугах 2FA можно включить в разделе «Безопасность» → «Вход в систему» → выберите «Одноразовый код по SMS» или «TOTP-приложение». Для интернет-банка — в приложении или через поддержку.

Важный нюанс: мошенники адаптировались. Они могут позвонить и под видом сотрудника банка попросить назвать код из SMS, якобы для «подтверждения операции». Помните: сотрудники банка или ЦБ никогда не просят коды из SMS, CVV/CVC и данные карты и не предлагают перевести деньги на «безопасный счёт» — такого счёта не существует. Любой такой звонок — мошенничество. Положите трубку и перезвоните в банк сами по номеру на официальном сайте или на карте.

Также подключите SMS- и push-уведомления обо всех операциях по карте и счетам. Большинство банков позволяют настроить уведомления на суммы от 1 рубля — это бесплатно или стоит символическую сумму. Если вы получили уведомление о списании, которого не совершали, действуйте немедленно: заблокируйте карту в приложении и звоните в банк.

Что делать сразу после ввода данных на поддельном сайте

Если вы поняли, что ввели данные на фишинговом сайте, — не паникуйте, но действуйте быстро и последовательно. Первый шаг — немедленно смените пароль от того аккаунта, данные которого вы ввели. Если пароль совпадает с паролями от других сервисов (что делать категорически не рекомендуется), смените их все — на уникальные и сложные. Используйте менеджер паролей для генерации и хранения.

Второй шаг — если вы ввели данные банковской карты (номер, срок, CVV/CVC), немедленно заблокируйте карту через мобильное приложение или позвоните в банк. Даже если списания ещё не было, мошенники могут использовать данные позже. После блокировки закажите перевыпуск карты — новый номер и CVV-код сделают украденные данные бесполезными. Если вы ввели SMS-код, который пришёл от банка, — срочно звоните в банк и сообщите, что код мог быть передан мошенникам. Банк может приостановить подозрительные операции.

Третий шаг — проверьте, не изменились ли настройки безопасности вашего аккаунта. Мошенники могли подключить переадресацию почты, изменить номер телефона для восстановления или добавить «доверенное устройство». В личном кабинете каждого сервиса есть история входов и сессий — завершите все активные сеансы, кроме текущего. Если доступ к аккаунту уже утерян, немедленно воспользуйтесь процедурой восстановления через официальный сайт (не через поиск — вводите адрес вручную).

Куда сообщить о фишинговом сайте: банк, полиция, ЦБ

Сообщить о фишинговом сайте нужно в несколько инстанций, чтобы заблокировать ресурс и помочь другим потенциальным жертвам. Первый адресат — ваш банк. Даже если вы не потеряли деньги, передайте банку ссылку на фишинговый сайт, скриншоты страницы и время, когда вы на неё зашли. Банк передаст информацию в службу кибербезопасности и может инициировать блокировку домена через регистратора. Контактный центр банка работает круглосуточно, номер указан на обороте карты.

Второй адресат — полиция. Подайте заявление в отдел «К» (подразделение по борьбе с киберпреступлениями) по месту жительства или через онлайн-приёмную МВД. К заявлению приложите скриншоты, ссылку и, если есть, данные о переводах. Заявление обязаны принять и зарегистрировать в течение трёх дней. Однако будьте готовы: возбуждение уголовного дела по факту фишинга без материального ущерба маловероятно, но ваше сообщение пополнит статистику и может помочь при расследовании других эпизодов.

Третий адресат — Банк России. На сайте ЦБ есть форма для приёма жалоб на мошеннические сайты (раздел «Интернет-приёмная»). ЦБ ведёт базу мошеннических счетов и доменов, и с 2024 года банки обязаны приостанавливать переводы на счета из этой базы. Если банк пропустил перевод на такой счёт, он обязан вернуть клиенту деньги в течение 30 дней. Также можно сообщить о фишинговом сайте в Генеральную прокуратуру через портал Госуслуг. Чем больше сигналов — тем быстрее ресурс будет заблокирован.

Ваши права: возврат денег при несанкционированном списании

Если мошенники списали деньги с вашей карты после того, как вы ввели данные на фишинговом сайте, закон на вашей стороне — но при соблюдении сроков. Согласно ФЗ-161 (статья 9), банк обязан вернуть средства, если клиент сообщил о несанкционированной операции не позднее следующего дня после получения уведомления о списании. Важно: вы не должны нарушать правила безопасности — например, сообщать мошенникам коды из SMS или CVV/CVC. Если вы добровольно передали эти данные, банк может отказать в возврате, сославшись на вашу халатность. Поэтому при списании действуйте немедленно: звоните в банк, блокируйте карту и пишите заявление о спорной операции.

С 25 июля 2024 года вступили в силу поправки в ФЗ-161 (369-ФЗ), которые усиливают защиту. Теперь банк обязан на два дня приостанавливать переводы на счета из базы мошеннических операций ЦБ РФ. Если банк пропустил такой перевод, он обязан вернуть клиенту деньги в течение 30 дней. Это означает, что если фишинговый сайт вёл на счёт, уже известный ЦБ, вы имеете право на полный возврат — даже если сами передали данные. Уточните в банке, был ли счёт получателя в «чёрном списке».

По заявлению о спорной операции банк обязан ответить в течение 30 дней (по трансграничным переводам — 60 дней). Требуйте письменный ответ — он понадобится для жалобы в ЦБ или для суда. Если банк отказывает в возврате, подавайте жалобу в интернет-приёмную Банка России. ЦБ рассматривает обращения в течение 30 дней и может обязать банк пересмотреть решение. Также вы вправе обратиться в суд с иском о защите прав потребителей — в этом случае госпошлина не уплачивается, а срок исковой давности составляет три года.

Простые привычки, чтобы больше не попасться

Защита от фишинговых сайтов — это не разовое действие, а набор повседневных привычек. Первая: никогда не переходите по ссылкам из писем, SMS или мессенджеров, особенно если сообщение содержит срочный призыв («ваш аккаунт заблокирован», «вы выиграли приз», «подтвердите данные»). Всегда вводите адрес сайта вручную в адресной строке браузера или используйте закладки. Для интернет-банка — только официальное приложение, скачанное из App Store, Google Play или RuStore.

Вторая привычка: проверяйте домен перед вводом данных. Официальный сайт Сбербанка — sberbank.ru, а не sberbank-online.ru или sberbank-login.com. Обращайте внимание на лишние символы, дефисы, поддомены (например, gosuslugi.ru — официальный, а gosuslugi-return.ru — фишинг). Если сомневаетесь — откройте сайт через поиск Яндекса или Google, но не по ссылке из письма, а найдя его вручную.

Третья: используйте отдельную карту для онлайн-покупок с установленным лимитом трат и отключённым овердрафтом. Не храните крупные суммы на карте, которой расплачиваетесь в интернете. Раз в квартал проверяйте список регулярных списаний в приложении банка и отключайте неиспользуемые подписки — мошенники могут подключать микро-списания после кражи данных. И главное: если что-то кажется подозрительным — не кликайте, не вводите данные, положите трубку. Лучше перепроверить и потерять минуту, чем потерять деньги.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.