Фишинг: как распознать поддельное письмо, сайт и ссылку — памятка бизнесу

Малому бизнесу фишинг приходит в рабочую почту: счёт от «поставщика», требование «из налоговой», напоминание «продлите домен». Письмо похоже на обычную работу, и открывает его тот, кто разбирает почту, — бухгалтер, администратор, сам владелец. Ниже — признаки поддельного письма, сайта и ссылки, примеры писем 2026 года, порядок действий, если сотрудник уже ввёл пароль, и памятка, которую можно переслать команде.

Что такое фишинг простыми словами

Фишинг — это вид интернет-мошенничества, при котором человека заманивают на поддельную страницу или заставляют открыть заражённый файл, чтобы получить логины, пароли, данные карты или доступ к компьютеру. Слово происходит от английского fishing — «рыбалка»: мошенник забрасывает наживку и ждёт, кто клюнет.

Аналитики F6 отделяют фишинг от скама: цель фишинга — данные, цель скама — деньги, которые человек переводит сам. Для бизнеса граница размыта: поддельный счёт приходит тем же письмом, а украденный пароль от почты потом помогает выставить счёт вашим клиентам от вашего имени.

• Фишинговое письмо — это письмо от имени знакомой организации или человека с просьбой перейти по ссылке, открыть вложение, ввести данные или оплатить.
• Фишинговый сайт — это копия страницы входа, оплаты или личного кабинета на чужом домене.
• Фишинговая ссылка — это адрес такого сайта или вредоносного файла, спрятанный за текстом кнопки или коротким адресом.

Система защиты почты F6 за январь — июнь 2026 года нашла в корпоративной почте 196 тыс. вредоносных писем, в среднем одно каждые 80 секунд, и 96% рассылок пришлись на понедельник — четверг (исследование F6 от 06.08.2026).

Какие бывают виды фишинга

Тайпсквоттинг — это регистрация домена с опечаткой в чужом имени: rornashka.ru вместо romashka.ru, где «rn» на экране похоже на «m».

В сентябре 2026 года сенатор Артём Шейкин предупреждал о мультиканальной схеме от имени ФНС: сначала бумажное письмо, затем электронное «уведомление в личном кабинете» со ссылкой на копию сайта налоговой. Бумага заранее снимает подозрения.

Какие признаки указывают на фишинговое письмо

Этот вопрос часто встречается в тестах по кибергигиене для сотрудников. Смотрите, чего письмо просит и как давит: грамотный текст и логотип ничего не доказывают, шаблон копируется за минуту.

По данным F6, архивы и HTML-файлы — 87% форматов вредоносных вложений. Архив закрывают паролем, чтобы почтовый фильтр не заглянул внутрь, а пароль пишут в тексте письма. Ещё один приём — документ Word или Excel просит «Включить содержимое», чтобы запустить вредоносный макрос. Мошенники охотно пишут на общие ящики: в выборке F6 на info@ пришлось 12,8% вредоносных писем.

Как выглядит фишинговое письмо: примеры для малого бизнеса

Все сюжеты копируют настоящий рабочий процесс и уводят на чужую страницу или к переводу денег. Пять сюжетов, которые чаще других приходят малому бизнесу.

Поддельный счёт и смена реквизитов

«Во вложении счёт по вашей заявке. С этого месяца у нас новый расчётный счёт». Письмо приходит с похожего адреса или со взломанного ящика настоящего поставщика. F6 в июле 2026 года описала сеть копий сайтов российских предприятий с подменёнными контактами: покупателям слали счета с подставными реквизитами, одна компания потеряла около 150 тыс. долларов. Новые реквизиты подтверждают звонком по номеру из договора, а не из письма.

Письмо от налоговой

«У вас задолженность. Ознакомьтесь с требованием в личном кабинете по ссылке». УФНС по Ярославской области пишет: письма от налоговиков приходят только с доменов nalog.ru, остальные поддельные. Сотрудники ФНС не запрашивают персональные данные, коды и банковские данные. Уведомление проверяют в личном кабинете, набрав адрес вручную, или по номеру 8-800-222-22-22.

«Продлите домен» или «оплатите хостинг»

«Срок регистрации домена истекает, оплатите продление» — и кнопка «Оплатить». Рег.ру предупреждает: кнопка, которая ведёт на сторонний ресурс, — признак мошенников, платить нужно в личном кабинете. F6 в октябре 2025 года описала волну таких писем с QR-кодом на 2 190 ₽: деньги уходили переводом по номеру телефона. Дату окончания регистрации мошенники берут из WHOIS, поэтому письмо приходит вовремя.

«Пройдите идентификацию домена»

С 1 сентября 2026 года администраторы доменов .ru, .рф и .su подтверждают себя через Госуслуги — порядок разобран в статье об идентификации домена. Настоящие письма об идентификации регистраторы присылают сами — на почту из реестра, за 60–50 дней до годовщины регистрации домена (п. 29 Правил, утверждённых постановлением № 1119). Поэтому подделка «Пройдите идентификацию до пятницы, иначе домен удалят» с кнопкой на копию входа в Госуслуги выглядит правдоподобно. Настоящая идентификация начинается в личном кабинете регистратора, который вы открываете сами, а вход идёт на сайте Госуслуг. Рег.ру отдельно предупреждает о письмах «подтвердите домен» с просьбой положить файл в корневую папку сайта: так права не подтверждают.

Банк, маркетплейс, электронная подпись

«Зафиксирован подозрительный вход», «Сертификат вашей электронной подписи скомпрометирован», «Продавец, подтвердите данные магазина». Такие кампании F6 фиксировала в 2026 году. Ответ на все одинаковый: закрыть письмо, открыть сервис из закладки или приложения и посмотреть уведомления там.

Как распознать фишинговый адрес отправителя

Почта показывает имя отправителя крупно, а адрес — мелко или прячет его. Имя мошенник пишет любое, поэтому смотрят на домен — часть адреса после @.

1. Нажмите на имя отправителя: почта покажет полный адрес.
2. Сравните домен после @ с официальным сайтом организации и с прошлыми письмами от неё. Банк не пишет с gmail.com, поставщик не меняет romashka.ru на romashka-ru.shop.
3. Нажмите «Ответить» и посмотрите, чей адрес подставился. Другой ящик в поле ответа — признак подделки.
4. Откройте служебные заголовки: в Яндекс Почте — кнопка «…» на странице письма и пункт «Свойства письма», в Gmail — «Ещё» и «Показать оригинал». В строке Authentication-Results значения spf=pass, dkim=pass и dmarc=pass значат, что письмо действительно пришло от домена из адреса, fail — что проверку оно не прошло.
5. Если сомнения остались, позвоните отправителю по номеру из договора или с официального сайта.

У проверки заголовков есть предел. Домен-двойник romashka-ru.shop пройдёт все три проверки: он и есть владелец своего домена. А письмо с настоящего адреса партнёра могли отправить из взломанного ящика. Поэтому, когда речь о деньгах, звонок ничем не заменить.

Свою почту от подделки защищают записи SPF, DKIM и DMARC: с ними почтовые сервисы отбрасывают или помечают письма, которые чужой сервер шлёт от имени вашего домена, — настройка разобрана в статье о почте на своём домене. Через рабочую почту восстанавливают доступ к банку, регистратору и хостингу, поэтому второй фактор на неё включите по инструкции о двухфакторной аутентификации.

Как проверить ссылку на фишинг, не открывая её

Текст ссылки и её адрес — разные вещи: кнопка «Личный кабинет ФНС» может вести куда угодно. Сначала узнайте адрес.

Домен читают справа налево: от зоны (.ru, .shop, .com) к имени. Владельцу принадлежит пара «имя + зона» перед первой одиночной косой чертой, а всё левее он дописывает сам. Как устроен адрес сайта, объясняет статья «Домен простыми словами».

Если в одном имени смешаны латиница и кириллица, Chrome по своим правилам показывает домен в виде xn--…, и это повод закрыть страницу. Короткую ссылку раскрывают без перехода — способы собраны в разделе «Как проверить, куда ведёт короткая ссылка». По данным F6, в первом полугодии 2026 года 69,2% ссылок из вредоносных писем вели сначала на облачные хранилища, публичные платформы, сокращатели и трекинговые адреса, так что знакомый домен в начале ссылки ничего не гарантирует.

Сервисы проверки репутации знают только адреса из своих баз, а вчерашний сайт туда мог ещё не попасть. Ссылки в MAX проверяют так же — подробнее в статье о том, как отправить ссылку в MAX, схемы обмана в мессенджере — в разборе мошенников в MAX.

Как распознать фишинговый сайт и домен-двойник

Домен-двойник — это адрес, который на беглый взгляд не отличить от настоящего: лишний дефис, другая зона, похожая буква, имя бренда в поддомене. Признаки фишингового сайта:

• Адрес не совпадает с официальным. Откройте сайт из закладки или наберите адрес вручную и сравните.
• Домен зарегистрирован недавно. Для .ru и .рф дату показывает WHOIS Координационного центра, строка «Дата регистрации». «Банк» на домене двухнедельной давности — повод уйти.
• Страница сразу просит данные. Логин, пароль, номер карты, код из СМС.
• Нет реквизитов и живых контактов. Ни ИНН, ни адреса, только форма и чат.
• Цены ниже рынка и таймер. «Скидка 60%, осталось 10 минут» давит так же, как письма.

Замок в адресной строке значит одно: соединение шифруется. Главная страница тоже не доказательство: в волне писем о продлении доменов, которую F6 описала в 2025 году, главная фишингового сайта переадресовывала на настоящий сайт регистратора, а поддельной была только страница оплаты.

По данным F6, в первом полугодии 2024 года 95% новых фишинговых доменов против российских пользователей регистрировали в .ru, в 2025 году — 49%, в первом полугодии 2026 года — 5%. Причины, по оценке F6, — быстрые блокировки (от регистрации до снятия домена в .ru обычно проходит меньше суток) и усиление законодательных мер. Адрес в зоне .shop или .pro у «российского банка» или «налоговой» — сильный сигнал.

Если нашли двойник своего сайта

1. Сохраните адрес и снимки страниц.
2. Посмотрите в WHOIS, какой регистратор обслуживает домен, и напишите ему жалобу.
3. Для .ru и .рф отправьте сообщение через «Доменный патруль» Координационного центра: там проверка домена и контакты организаций, которые добиваются снятия вредоносных доменов.
4. Предупредите клиентов в канале и на сайте, перечислите свои настоящие адреса и реквизиты.

Официальные домены, почта и реквизиты на сайте помогают клиенту сверить подозрительное письмо — что разместить, рассказано в статье о сайте-визитке. Мошенники, по наблюдению F6, копируют даже предупреждения, заменив в них домен, поэтому дублируйте их там, где клиент вас точно знает.

Что делать, если сотрудник перешёл по фишинговой ссылке

Счёт идёт на минуты. Сначала выясните, что успел сделать человек, и не ругайте его: тот, кто сообщил сразу, сэкономил вам деньги.

Ветка с вложением самая опасная: по данным F6, 63,6% вредоносных программ из корпоративной почты — стилеры и кейлоггеры, которые крадут сохранённые пароли и перехватывают ввод с клавиатуры. Если ссылка пришла в MAX, действуйте по инструкции «Перешли по ссылке мошенников», а если чужие уже вошли в аккаунт — по разбору «Взломали аккаунт MAX».

Что изменил закон 210-ФЗ для малого бизнеса

Федеральный закон от 26.06.2026 № 210-ФЗ называют вторым антифрод-пакетом. Он меняет закон «О связи», законы о банках, о национальной платёжной системе, о ГИС «Антифрод» и ещё несколько актов (текст на КонсультантПлюс, проверено 26.09.2026). Основные нормы заработают в 2027 году.

Обязанности закон кладёт в основном на операторов связи, банки, хостинг-провайдеров и владельцев агрегаторов. Для ИП или небольшой компании с сайтом, почтой и каналом прямых новых обязанностей в тексте мы не нашли; идентификацию доменов по закону № 569-ФЗ он лишь поправил. Защита почты и сотрудников от фишинга остаётся делом самого бизнеса.

Как научить сотрудников распознавать фишинг: памятка

Разовый курс по кибергигиене быстро забывается. Лучше работают короткая памятка под рукой и десятиминутный разбор настоящих подозрительных писем раз в месяц. Правила удобнее раздать по ролям.

На рабочих компьютерах включите показ расширений файлов: Windows по умолчанию прячет их, и «счёт.pdf.exe» выглядит как «счёт.pdf». Если команда общается в рабочем чате, фишинговые ссылки приходят и туда — готовый список слов «мошенничество и фишинг» для фильтра есть в статье о стоп-словах для чата.

Памятку ниже скопируйте, впишите имя ответственного и разошлите команде.

Памятка: как не попасться на фишинг
1. Смотрите адрес отправителя целиком, а не имя. Домен после @ должен совпадать с сайтом компании.
2. Не входите в кабинеты по ссылкам «войти», «оплатить», «подтвердить» из писем. Открывайте сервис из закладки или приложения.
3. Не открывайте архивы с паролем, файлы .html и .exe и документы, которые просят «Включить содержимое».
4. Никому не сообщайте коды из СМС и пароли — ни «банку», ни «налоговой», ни «руководителю».
5. Новые реквизиты и срочные оплаты подтверждайте звонком по номеру из договора, а не из письма.
6. Сомневаетесь — перешлите письмо [имя ответственного] и ничего не нажимайте.
7. Нажали, ввели пароль или оплатили — сразу скажите [имя ответственного]. За быстрое сообщение не ругаем.

Частые ошибки

• Верить замку в адресной строке. Сертификат может получить владелец любого домена, в том числе мошенник, а замок говорит только о шифровании.
• Проверять ссылку, переходя по ней. Адрес узнают наведением курсора или копированием, без перехода.
• Звонить по номеру из письма или отвечать «это вы?». Ответит тот же мошенник. Номер берут из договора или с официального сайта.
• Молчать, если уже нажал. Каждый час тишины даёт мошеннику время на пересылку почты и новые письма от вашего имени.
• Один пароль на почту, банк и регистратора. Один украденный пароль открывает всё сразу.
• Считать знакомый адрес гарантией. Ящик партнёра могли взломать, поэтому деньги подтверждают звонком даже при «настоящем» отправителе.

Чек-лист