Розділ «Урок 3. Фішинг»

Мета

Впізнавати ознаки фішингу в листах, SMS і месенджерах; виробити звичку перевіряти відправника й домен до того, як щось вводити.

Пояснення

Фішинг — вид шахрайства, при якому зловмисник видає себе за сервіс, банк чи установу, щоб виманити логіни, паролі, реквізити картки або коди підтвердження (НБУ Harazd). Кіберполіція застерігає: фішингові сайти можуть повністю копіювати дизайн маркетплейсів, банків, платформ оголошень і служб доставки.

Діє не дизайн, а психологія: терміновість («акаунт заблокують за 24 години»), страх («підозрілий вхід»), вигода («виплата нарахована»), авторитет («від банку/поліції»). Головне правило CERT-UA (п. 5): не відкривати вкладення і не переходити за посиланнями з листів, походження яких викликає сумнів; особливо небезпечні архіви, виконувані файли, документи з макросами і посилання на «сторінки авторизації».

Дві технічні звички: (1) дивіться на фактичну адресу відправника, а не на ім'я у полі «Від»; (2) наводьте на посилання курсором (або довго тисніть на телефоні) і читайте домен. Домен читається справа наліво: у «bank.security-check.example» зареєстрований домен — security-check.example, а «bank» — лише піддомен, який володар домену міг налаштувати як завгодно (усі домени у прикладах книги — із зарезервованої для навчання зони .example, у мережі вони не існують). Кіберполіція радить перед введенням авторизаційних даних уважно переглядати URL — неточність навіть в один символ може означати фішинговий ресурс. QR-коди — те саме (CERT-UA, п. 6): перед переходом подивіться, куди веде код.

Про HTTPS: замочок означає лише шифрування каналу. Технічний сертифікат може отримати і шахрайський сайт, тож HTTPS — не доказ справжності. Справжність підтверджується тим, що ви самі надійшли на сайт (набрали адресу, скористалися закладкою або застосунком), а не тим, що вас туди привело посилання з листа.

Життєві ситуації

Ситуація 1. SMS «Ваша посилка затримана, сплатіть 39 грн за зберігання: [посилання]».

Мала сума знімає бар'єр, а на сайті-клоні просять номер картки, строк дії та CVV «для оплати». Дії: не переходити; відкрити офіційний застосунок служби доставки, набравши адресу самостійно, і перевірити статус там; повідомлення передати кіберполіції через офіційну форму.

Ситуація 2. Лист «з банку» про підозрілий вхід із посиланням на сторінку входу, зовні ідентичну банківській.

Лист з посиланням на сторінку входу сам по собі ще не доказ шахрайства — але саме так виглядає і фішинг, тому реєстраційні дані за посиланням з листа не вводять. Перевірте адресу відправника (домен зазвичай не збігається з доменом банку) і домен під кнопкою. Дії: закрити лист і зайти в застосунок/сайт банку самостійно — набраною адресою або закладкою; за сумнівів — подзвонити на номер на звороті картки.

Практична вправа (розбір вигаданого листа; відкривати нічого не потрібно).

Нижче — текст повністю ВИГАДАНОГО листа. Знайдіть щонайменше 5 ознак фішингу:

«Шановний клієнте! Ми виявили спробу входу з-за кордону. Ваш акаунт буде видалено ПРОТЯГОМ 24 ГОДИН, якщо ви не підтвердите дані: перейдіть за посиланням banka-pidtverdzhennya.example/login і введіть номер картки, CVV та код із SMS». Підпис: «Служба безпеки банку» (без назви банку; адреса відправника у прикладі: [email protected]).

Підказки: терміновість і погроза; безособовість; домен не банківський (читайте справа наліво); прохання назвати CVV і код із SMS — цього не робить жоден банк; адреса відправника не збігається з доменом «банку». Домени в прикладі — із зарезервованої зони .example, у мережі вони не існують; вправа виконується на папері, без переходу за посиланнями.

Чекліст

1. Я не переходжу за посиланнями з листів/SMS про гроші, посилки й «блокування акаунта» — відкриваю офіційний застосунок сам.

2. Я перевіряю фактичну адресу відправника, а не ім'я у полі «Від».