В ней используется сразу несколько приемов социальной инженерии, при этом разные письма могут приходить подряд одному и тому же пользователю.
Как работает фишинговая схема?
Все письма оформлены одинаково и имитируют оригинальную рассылку от портала Госуслуг: верстка, логотип, шрифт и структура письма весьма правдоподобно изображают сообщение от настоящего сервиса. Содержание писем, однако, представляет собой одну из нескольких классических фишинговых схем. Качество текста в рассылке достаточно низкое, и при вдумчивом прочтении становится очевидно, что это набор слабо связанных между собой предложений. Они призваны надавить на эмоции и побудить читателя к целевому действию: кликнуть по ссылке и перейти на внешний сайт (также имитирующий дизайном портал Госуслуг), на котором будут похищены персональные и платежные данные пользователя.
Пример фишингового текста из кампании, содержащего орфографические, стилистические и логические ошибки:
«Здравствуйте! В новом 2021 году Вы по прежнему являетесь постоянным пользователем нашего интернет сервиса. Чтобы отпраздновать это, при поддерже официального подразделения вам выделяется субсидия в виде безоплатного доступа к розыгрышу. Акция проводится c 1 февраля 2021 года по 28 февраля, благодаря которой вы получили доступ к данному предложению. Для участия следуйте инструкциям на официальном сайте: ???? Получить Доступ к Розыгрышу Г0CЛ0T0 ???? Доступ действителен в течение трёх дней. Количество субсидий ограничено. В случае отсутствия вашей реакции после прочтения данной оферты, доступ может быть аннулирован. Активируйте письмо и переходите на официальный сайт. (для активации ссылки нажмите кнопку "Включить" вверху письма или кнопку "Не спам!")».
Обращают на себя внимание сразу несколько деталей: абсурдный предлог для написания письма, упоминание ограниченного времени, несуществующая лотерея Г0CЛ0T0 и даже угроза «аннулировать доступ в случае отсутствия реакции». Также следует обратить внимание на то, что госуслуги – это не сервис, а «официальный интернет-портал государственных услуг». Другие изученные экспертами Роскачества фишинговые тексты той же серии предлагают якобы получить социальные выплаты от государства (при этом для убедительности указываются какие-то номера документов и постановлений, фамилии госспециалистов – несуществующие либо произвольно взятые из интернета).
Независимо от оформления писем и используемого предлога, в конечном итоге мошенники преследуют одну цель: заставить жертву фишинга перейти по ссылке на внешний сайт и там ввести свои данные от портала Госуслуг (что само по себе уже грозит потерей персональных данных). Как правило, вдобавок к этому злоумышленники также стараются “развести” свою жертву на деньги – например, совершить “комиссионный” платеж для получения выигрыша в гослотерею. Они найдут, под каким предлогом выманить данные карты жертвы. Ваша задача – не вестись на “развод”, а для этого нужно научиться его определять.
Советы от Центра цифровой экспертизы Роскачества
-
Не переходите на порталы (в том числе на сайты Госуслуг и онлайн-магазинов) по внешним ссылкам из писем, даже если письма выглядят убедительно. Как правило, эти ссылки приводятся в сокращенном виде (типа bit.ly), и потому пользователь не видит, куда он переходит, а адрес сайта похож на настоящий. Если вы хотите перейти на портал и проверить наличие предложения, о котором идет речь в письме, введите адрес сайта в адресной строке вручную.
-
Внимательно читайте тексты писем и, если у вас возникли малейшие сомнения в том, что перед вами реальное предложение, отправляйте письмо в спам. Как правило, мошенники пользуются одним и тем же заезженным набором психологических уловок с обещанием выигрыша или социальных выплат – словом, давят на эмоции.
-
Обращайте внимание на наличие HTTPS, заходите в свойства сертификата безопасности и смотрите, на какой срок он был выдан (если он выдан несколько дней или недель назад, высока вероятность, что этот сайт мошеннический).
-
Пользуйтесь антивирусом. Достаточно часто эти программы предупреждают о попытке перейти на мошеннический сайт.
Схем онлайн-мошенничества – масса. Невозможно научиться узнавать все из них с первого взгляда. Единственное ваше оружие, которое защитит от мошеннических сетей, – знание базовых правил цифровой грамотности и применение их всякий раз, когда вы открываете письмо, сайт или, казалось бы, простое сообщение в мессенджере. Словом, внимательным в онлайне нужно быть всегда, особенно там, где замешаны эмоции, ведь социальная инженерия приносит мошенникам свои плоды.
Следите за новостями, подписывайтесь на рассылку.
При цитировании данного материала активная ссылка на источник обязательна.
