Сижу, никого не трогаю, пью чай. Приходит письмо от «Яндекс.Почты»: мой ящик заблокируют, если в течение суток я не подтвержу, что не робот. Ссылка ведёт на страницу с логотипом Яндекса, где просят телефон, почту, пароль и дату рождения.
Это было в 2019 году, и это были мошенники. С тех пор такие письма стали только аккуратнее: без ошибок, с правильными логотипами, иногда с адресом, который почти не отличить от настоящего. Но выдают они себя по-прежнему в одних и тех же местах. Ниже — пять мест, куда смотреть, на примере того самого письма.
Само письмо
Классика: «заблокируем», «жалоба», «24 часа», номер заявки для солидности. Всё, чтобы вы испугались и нажали, не думая. Срочность — первый признак. Настоящие службы не блокируют ящик за сутки по жалобе и не просят подтвердить его по ссылке из письма.
1. Имя отправителя — не адрес
В письме отправитель — «Яндекс.Почта». Но имя можно написать любое, это просто подпись. Важен адрес рядом: suvorov@centit.ru. Не Яндекс.
Обратите внимание на зелёный замок рядом с адресом. Он не значит, что письмо от Яндекса. Он значит, что письмо действительно отправлено с сервера домена centit.ru: подписи SPF и DKIM в порядке. Скорее всего, ящик на этом домене взломали и рассылали с него. Про то, что такое SPF и DKIM и как их проверить, я писал в посте про почту с сайта.
2. Текст ссылки — не адрес ссылки
В письме написано https://activate.yandex.ru. Но текст ссылки и её адрес — разные вещи: под надписью «yandex.ru» может стоять любой адрес. Наведите на ссылку мышь и не нажимайте: настоящий адрес появится в левом нижнем углу браузера. На телефоне — долгое нажатие на ссылку покажет адрес, а открывать не обязательно.
3. Адресная строка: домен читается справа налево
Страница выглядит как Яндекс, а в адресной строке — yaverif.host. Это и есть главный ответ: сайт не Яндекса, сколько бы логотипов на нём ни было.
Сейчас мошенники маскируются хитрее, поэтому домен читайте так: возьмите часть адреса между https:// и первой косой чертой / и смотрите на её конец — два последних слова через точку. Это и есть владелец сайта. Всё, что левее, он может написать как угодно.
https://passport.yandex.ru/auth— доменyandex.ru, всё в порядке;https://yandex.ru.passport-check.com/auth— доменpassport-check.com, а «yandex.ru» в начале — просто поддомен, который владелец может назвать как угодно;https://passport-yandex.ru/— доменpassport-yandex.ru, не Яндекс, хоть слово и похоже.
4. Похожие буквы
Самый неприятный вариант — домен, где латинская буква заменена русской, которая выглядит так же: уandex.com, где первая «у» — русская. На глаз не отличить. Но такой домен на самом деле записывается латиницей в виде Punycode — xn--andex-dze.com, и браузеры, заметив смесь алфавитов, часто показывают именно его. Увидели в адресной строке xn-- там, где ждали знакомый сайт, — закрывайте вкладку. Проверить, что прячется за таким адресом, можно моим конвертером Punycode.
5. Замок — не знак безопасности
У поддельной страницы тоже https:// и замок. Замок значит одно: данные между вами и сайтом шифруются. Мошенники получат ваш пароль по защищённому каналу — но получат. Сертификат для любого домена выдаётся бесплатно за минуту, поэтому сейчас замок есть почти у всех, в том числе у мошенников.
И ещё одна подсказка из моего случая: я только что был в почте, а «Яндекс» по ссылке почему-то снова просит войти. Настоящий сайт вас бы узнал.
Что помогает лучше внимательности
Внимательность устаёт, особенно вечером и с телефона. Поэтому я полагаюсь не только на неё:
- Менеджер паролей. Он подставляет пароль только на том домене, для которого его сохранили. Если на «странице Яндекса» менеджер молчит — вы не на Яндексе. Это срабатывает даже с похожими буквами, которые глаз пропускает.
- Двухфакторный вход — код из приложения или СМС в дополнение к паролю. Украденного пароля тогда мало. Но мошенники знают и это и просят ввести код на той же странице — его не вводите нигде, кроме настоящего сайта.
- Закладки вместо ссылок. Пришло письмо «срочно войдите» — не нажимайте ссылку, а откройте сайт из закладок или наберите адрес сами. Если с аккаунтом правда что-то не так, вы увидите это там.
Если вы уже ввели пароль на такой странице — сразу смените его на настоящем сайте, включите двухфакторный вход и проверьте, не появились ли в аккаунте чужие устройства и правила пересылки почты. И смените пароль везде, где он был таким же.
