Проверяйте подозрительное письмо до перехода по ссылкам, открытия вложений и ввода данных: сначала оцените, ждали ли вы сообщение, затем сверьте полный адрес отправителя, фактический адрес ссылки и тип вложения. Если есть сомнения, подтвердите запрос через официальный сайт или известный вам канал связи. Не отвечайте на письмо и не используйте его контакты.
Что проверить до взаимодействия с письмом
- Совпадает ли письмо с ожидаемым событием, заказом или перепиской.
- Кто именно отправитель: проверьте полный адрес, а не только имя.
- Куда ведёт ссылка: наведите курсор или используйте штатный просмотр адреса.
- Ожидаемо ли вложение и безопасен ли его формат.
- Просит ли сообщение срочно заплатить, сообщить пароль или подтвердить данные.
Сначала оцените контекст: ждали ли вы это письмо
Этот порядок подходит для личной и рабочей почты, особенно если сообщение просит войти в аккаунт, оплатить счёт, открыть документ или сообщить конфиденциальные сведения. Не выполняйте просьбу прямо из письма, если вы не ожидали её или не можете подтвердить её происхождение.
Сверьте тему и содержание с недавними действиями: оформляли ли вы заказ, обращались ли в поддержку, ждёте ли файл от конкретного человека. Если письмо неожиданное, проверьте ситуацию через приложение, официальный сайт или ранее известный номер телефона. Не звоните по номеру и не пишите на адрес, указанные только в подозрительном письме.
Сверьте адрес отправителя, а не только отображаемое имя
Для проверки достаточно доступа к почте и возможности посмотреть подробности отправителя. В большинстве почтовых клиентов полный адрес открывается нажатием на имя отправителя или через меню с деталями письма. Для дополнительной проверки используйте контакты организации, сохранённые заранее, а не сведения из самого сообщения.
Сравните домен после символа @ с официальным доменом организации. Обращайте внимание на лишние слова, похожие символы, необычные окончания и адреса бесплатных почтовых сервисов, если письмо якобы отправлено от компании. Совпадение имени отправителя само по себе не подтверждает подлинность: отображаемое имя можно подменить.
Если корпоративная почта получила подозрительное сообщение, передайте его в ИТ-службу или службу безопасности по установленному в организации каналу. Такая защита электронной почты от фишинга дополняет личную проверку, но не отменяет её.
Проверьте ссылку, не переходя по ней
- Найдите ссылку, не нажимая на неё. На компьютере наведите курсор и посмотрите адрес в строке состояния браузера или почтового клиента. На телефоне используйте предварительный просмотр долгим нажатием, если он доступен, но не выбирайте команду перехода.
- Сравните домен с официальным. Ищите домен организации в адресе и проверяйте его написание целиком. Осторожно относитесь к похожим буквам, дополнительным дефисам и длинным адресам с непонятными поддоменами.
- Оцените, соответствует ли адрес заявленной цели. Ссылка на оплату, вход или просмотр документа должна вести на ожидаемый официальный сервис. Сокращённый или скрытый адрес нельзя считать безопасным только потому, что он выглядит знакомо.
- Подтвердите запрос независимо от письма. Откройте приложение или вручную введите адрес официального сайта в браузере. Если сообщение связано с рабочим аккаунтом, уточните его подлинность у отправителя через известный вам канал.
- При сомнениях не проверяйте ссылку переходом. Сервисы для проверки ссылок на фишинг онлайн могут помочь оценить уже известный URL, но не гарантируют безопасность и сами могут получить переданный им адрес. Не отправляйте в такие сервисы ссылки с персональными токенами, кодами доступа или закрытыми данными.
Быстрый режим
- Не нажимайте ссылку и не открывайте файл.
- Сверьте полный адрес отправителя и домен ссылки.
- Проверьте запрос через приложение или известный контакт.
- При сомнениях сообщите о письме почтовому провайдеру или ИТ-службе.
Разберите подозрительное вложение без открытия
Проверьте письмо и файл, не открывая вложение и не включая предварительный просмотр, если он автоматически отображает содержимое. Используйте встроенную защиту почты или установленный антивирус для проверки вложений в письмах; не загружайте конфиденциальный файл на случайный сайт для сканирования.
- Убедитесь, что отправитель и сам файл ожидались.
- Посмотрите полное имя файла и его расширение; насторожитесь, если тип файла не соответствует обещанному содержимому.
- Не открывайте исполняемые файлы и документы, которые неожиданно просят включить макросы или другое активное содержимое.
- Не считайте значок или название файла доказательством безопасности.
- Проверьте вложение средствами защиты, установленными на устройстве или предоставленными вашей организацией.
- Если почтовый сервис пометил файл как опасный, не обходите предупреждение.
- При деловом письме уточните у отправителя через отдельный известный канал, действительно ли он отправлял этот файл.
Распознайте давление, подмену и другие признаки фишинга
- Требование немедленно действовать. Угрозы блокировкой или потерей доступа создают давление. Не переходите по ссылке; проверьте состояние аккаунта напрямую через официальный сервис.
- Просьба сообщить пароль или код подтверждения. Не отправляйте секреты в ответном письме и не вводите их на странице из сообщения. Откройте сервис привычным способом и проверьте уведомления там.
- Неожиданная смена реквизитов или способа оплаты. Подтвердите изменение у контрагента по уже известному номеру или адресу. Не используйте контакты из письма.
- Несовпадение имени и адреса. Имя может выглядеть знакомо, а адрес — относиться к другому домену. Проверяйте полный адрес и при необходимости передайте сообщение специалистам.
- Необычный стиль или ошибки. Они могут быть поводом для проверки, но грамотный текст тоже бывает мошенническим. Ориентируйтесь на совокупность признаков.
- Неожиданный файл или ссылка. Не открывайте их только потому, что письмо пришло из знакомой переписки: аккаунт отправителя мог быть скомпрометирован. Уточните отправку напрямую.
- Уверенность, что антивирус всё обнаружит. Защита от фишинговых писем включает проверку контекста и адресов, а не только сканирование файлов. В компаниях антифишинговая защита для бизнеса обычно требует также понятного порядка сообщения о подозрительных письмах.
Что делать, если письмо уже открыли или на него ответили
- Открыли только письмо. Закройте его, не нажимайте ссылки, не загружайте вложения и не отвечайте. Если письмо выглядит подозрительно, отметьте его как фишинговое или перешлите в службу безопасности по правилам вашей организации.
- Нажали ссылку, но ничего не вводили. Закройте страницу и не загружайте предложенные файлы. Если устройство ведёт себя необычно, отключите его от сети и обратитесь к ИТ-специалисту; дальнейшие действия зависят от устройства и правил организации.
- Ввели пароль или код. Через официальный сайт или приложение смените пароль, завершите неизвестные сеансы и включите дополнительную защиту, если она доступна. Если пароль использовался ещё где-то, смените его и в этих сервисах.
- Открыли вложение, отправили данные или заплатили. Как можно скорее обратитесь в ИТ-службу или службу безопасности; при передаче платёжных данных свяжитесь с банком по официальному номеру. Сохраните письмо и сведения о действиях, не пересылая их посторонним.
Нестандартные ситуации при проверке фишинговых писем
Письмо пришло с адреса знакомого человека. Оно безопасно?
Не обязательно: доступ к его аккаунту могли получить посторонние. Если просьба неожиданная, подтвердите её звонком или сообщением в отдельном канале.
Можно ли открыть письмо, если я не нажимаю ссылки?
Само отображение письма не подтверждает безопасность, а загрузка удалённых изображений может раскрыть отправителю, что сообщение просмотрено. Если почтовый клиент позволяет, отключите автоматическую загрузку внешнего содержимого и не взаимодействуйте с письмом до проверки.
Что делать, если адрес ссылки сокращён?
Не переходите по нему ради раскрытия адреса. Запросите у отправителя подтверждение через известный канал или откройте нужный сервис вручную.
Достаточно ли проверить файл антивирусом?
Нет: проверка снижает риск, но не доказывает, что файл безопасен. Если вложение неожиданное, сначала подтвердите его происхождение и не игнорируйте предупреждения защиты.
Как проверить ссылку, если она нужна для работы?
Откройте рабочий сервис привычным способом или уточните ссылку у ИТ-службы. Не вставляйте закрытые или персонализированные адреса в сторонние публичные анализаторы.
Что делать, если сообщение выглядит настоящим, но я сомневаюсь?
Не отвечайте и не переходите по ссылке. Найдите официальный контакт организации самостоятельно и проверьте, отправляла ли она это сообщение.