Пятница, без четверти пять. Бухгалтеру приходит письмо от директора: счёт нужно оплатить сегодня, он на совещании и не может ответить на звонок, реквизиты во вложении. Имя правильное, подпись правильная, даже манера письма похожа. Или знакомый поставщик пишет, что сменил банк и следующий платёж нужно перевести на новый счёт.
Обе ситуации классические. В ФБР это называют компрометацией деловой переписки (business email compromise), и в отчёте IC3 за 2024 год это второй по ущербу вид онлайн-мошенничества: 21 442 жалобы и около 2,77 млрд долларов потерь. Больше обошлось только мошенничество с инвестициями.
Как фишинг выглядит сейчас
Раньше советовали искать орфографические ошибки. Теперь это не помогает. CISA, американское агентство по кибербезопасности, предупреждает, что злоумышленники пишут фишинговые письма с помощью ИИ и без ошибок, так что язык их больше не выдаёт.
Выдаёт другое: чего письмо от вас хочет. В феврале 2026 года Государственная налоговая служба (ГНС) предупредила о поддельных уведомлениях от её имени о якобы временном удержании денег со счёта, подписанных именем директора службы. Они приходили в WhatsApp, и ГНС перечислила, что с ними не так: неверный адрес портала, выдуманный бланк, QR-коды и штрихкоды, которые служба использует только в электронных счетах-фактурах, и отсутствие электронной подписи, которая есть на любом настоящем документе ГНС. Если такое же сообщение придёт по почте, признаки будут те же.
Небольшой компании больше всего вреда приносят два вида писем:
- Поддельная страница входа. «Ваш ящик переполнен», «вам открыли доступ к документу», «подтвердите учётную запись»: ссылка ведёт на страницу, похожую на Microsoft, Google или ваш банк, и всё, что вы там введёте, получает злоумышленник.
- Поддельная просьба о деньгах. Ссылки здесь нет вовсе, только человек, которому вы доверяете, просит оплатить счёт или перевести деньги на новые реквизиты. Фильтры пропускают такие письма легче всего, потому что формально в них нечего заподозрить.
Что проверяют сотрудники
- Смотрите на адрес после @, а не на имя. Отображаемое имя может быть любым. Если настоящий адрес
@exemplu.md, то поддельный будет@exemplu-md.com,@exemp1u.mdили ящиком Gmail с именем директора. - Нажмите «Ответить» и посмотрите, какой адрес подставился. Если он не совпадает с адресом отправителя, остановитесь.
- Насторожитесь, если спешка, секретность и деньги оказались в одном письме. «Сегодня», «не могу говорить», «пока никому не говорите» рядом с номером счёта: именно так эти письма и выглядят.
- Проверяйте, куда на самом деле ведёт ссылка. На компьютере наведите на неё курсор и прочитайте адрес внизу окна, на телефоне нажмите и удерживайте. Чтобы войти в учётную запись, вводите адрес сами или открывайте его из закладок.
- Не открывайте вложения, которых не ждали: архивы, HTML-файлы, документы с просьбой «включить содержимое», всё, что названо вроде
factura.pdf.exe. - Прежде чем платить на новый счёт, позвоните. Берите номер из договора или из своих контактов, но никогда не из письма. Одно это правило останавливает большую часть денежного мошенничества.
Что отсекают SPF, DKIM и DMARC, а что нет
Об этих трёх записях мы писали в статье о том, почему письма попадают в спам. От фишинга они тоже защищают, но только от одного вида подделок.
Что они останавливают
Если DMARC настроен на p=reject, никто не сможет отправить письмо с адреса @vashafirma.md так, чтобы оно дошло до получателя. Поддельное письмо «от директора» с вашего же домена отклонят Gmail, Microsoft и большинство крупных почтовых сервисов. То же самое случится с поддельным счётом, который отправят вашим клиентам от имени компании. Национальный центр кибербезопасности Великобритании (NCSC) говорит прямо: настроенный DMARC не даёт злоумышленникам подделывать ваш домен.
Что они пропускают
- Похожий домен, например
vashafirma-md.com. Он принадлежит злоумышленнику, и тот может идеально настроить для него SPF, DKIM и DMARC. - Бесплатный адрес Gmail или Outlook с именем вашего директора.
- Настоящий ящик, к которому злоумышленник получил доступ. Если у поставщика украли учётную запись, поддельный счёт придёт с его настоящего адреса и пройдёт все проверки. Это самый трудный случай, и поймает его только звонок, о котором сказано выше.
Так что записи домена закрывают лишь часть задачи, и без людей не обойтись. С тем, что проходит мимо записей, помогают две настройки. Большинство почтовых сервисов умеют помечать каждое письмо извне компании меткой вроде «Внешний», и «директор», который пишет снаружи, сразу бросается в глаза. А двухфакторная аутентификация на каждом ящике означает, что одного пароля, украденного через поддельную страницу, уже недостаточно (см. статью о паролях компании).
Почему одной защиты всегда мало
NCSC описывает финансовую компанию примерно на 4 000 сотрудников, которая получила 1 800 писем с вредоносной программой. Письма выдавали себя за срочный счёт и были написаны грамотным английским. Фильтр остановил 1 750. Из 50, дошедших до ящиков, 36 сотрудники проигнорировали или сообщили о них. По 14 кликнули. В 13 случаях программа не запустилась, потому что на компьютерах стояли все обновления. Единственную установившуюся заметили, когда она попыталась связаться со своими хозяевами, и компьютер почистили за несколько часов.
Ни одна защита не поймала всё: фильтр пропустил 50 писем, люди не распознали 14, обновления не спасли от одного. Вместе они превратили атаку в несколько часов работы.
В том же руководстве есть мысль, которую небольшие компании часто упускают: не наказывайте того, кто кликнул. Кто боится потерять работу, не признается в ошибке, а спасает как раз сообщение, сделанное вовремя. Считайте, сколько человек сообщили о письме, а не только сколько кликнули.
Правило на одну страницу для команды
Распечатайте или закрепите в рабочем чате:
- Новый банковский счёт или срочная оплата по просьбе из письма: перезвоните по номеру, который у вас уже есть, и пусть платёж подтвердит второй человек.
- Пароль по почте никто не просит. Чтобы войти в учётную запись, вводите адрес сами.
- Что-то вызывает сомнения: перешлите письмо тому, кто отвечает за ИТ, затем удалите его. Поблагодарите того, кто сообщил, даже если письмо окажется настоящим.
- Вы кликнули или ввели пароль на странице, в которой не уверены: скажите об этом сразу. Смените этот пароль и попросите проверить компьютер.
- Если деньги уже ушли, немедленно звоните в банк. Чем раньше там узнают, тем больше шансов остановить перевод.
Коротко
Люди ловят подделки, которые проходят все технические проверки, а записи домена ловят те, что выдают себя за вас. Чаще всего фишинг доходит до небольшой компании потому, что нет одного из двух: DMARC так и не включили или бухгалтеру никто не сказал, что перезвонить для проверки можно и даже нужно.
Проверка почтовых записей домена и того, как ваша почта обрабатывает внешние письма, входит в наши ИТ-консультации. Если хотите, чтобы мы посмотрели вашу, напишите нам.