Фишинговое письмо — это попытка выманить у сотрудника пароль, деньги или конфиденциальные данные, выдав себя за коллегу, банк, поставщика или почтовый сервис. Статья поможет сотрудникам замечать такие письма, а администраторам — правильно реагировать и снижать риск для всей компании.
Чего добиваются мошенники
Почти все фишинговые письма преследуют одну из нескольких целей:
- Украсть пароль. Письмо «ваш ящик переполнен» или «подтвердите учётную запись» ведёт на поддельную страницу входа, которая выглядит как веб-почта.
- Получить деньги. «Директор» просит срочно оплатить счёт, «поставщик» сообщает о смене банковских реквизитов.
- Заразить компьютер. Во вложении — архив, документ с макросами или файл с двойным расширением вроде
akt_sverki.pdf.exe. - Собрать данные. Просьба прислать список сотрудников, копии паспортов, выгрузку из учётной системы.
Антиспам и антивирус отсекают значительную часть таких писем, но не все: хорошо подготовленное письмо без вложений и с «чистой» ссылкой может пройти любой фильтр. Поэтому последний рубеж — внимательность сотрудника.
Признаки фишингового письма
Одного признака бывает недостаточно, но сочетание двух-трёх — серьёзный повод остановиться.
| Признак | Пример |
|---|---|
| Срочность и давление | «Оплатите до 15:00, иначе договор будет расторгнут», «ящик заблокируют через 24 часа» |
| Нестандартный канал или просьба | Директор пишет с личного адреса и просит купить подарочные карты или никому не говорить о платеже |
| Адрес не совпадает с именем | Отображаемое имя «Бухгалтерия», а адрес — buh.office2024@gmail.com |
| Похожий домен | examp1e.uz вместо example.uz, example-uz.com, example.uz.secure-login.net |
| Ссылка ведёт не туда | Текст ссылки — адрес вашей веб-почты, а при наведении курсора видно совсем другой домен |
| Подозрительное вложение | Архив с паролем в тексте письма, файлы .exe, .js, .scr, .iso, документы с просьбой «включить содержимое» |
| Обезличенное обращение | «Уважаемый пользователь» вместо имени, хотя отправитель якобы вас знает |
Подмена отправителя: как это работает
Поле «От кого» в письме — это просто текст, и технически его можно заполнить чем угодно. Мошенники используют несколько приёмов:
- Подмена отображаемого имени. Адрес чужой, но имя совпадает с именем руководителя. На телефоне почтовая программа часто показывает только имя, поэтому подмену легко не заметить.
- Похожий домен. Регистрируется домен, отличающийся одной буквой, или домен в другой зоне. Такое письмо может даже пройти проверки SPF и DKIM — но для домена мошенника, а не для вашего.
- Прямая подделка вашего домена. Отправитель указывает в поле From адрес на вашем домене. Именно от этого защищают SPF, DKIM и DMARC: при правильной настройке и политике DMARC
quarantineилиrejectпринимающие серверы будут отправлять такие письма в спам или отклонять их. - Взломанный настоящий ящик. Самый опасный вариант: письмо приходит от реального партнёра, из реальной переписки, но ящик партнёра уже контролирует злоумышленник. Технические проверки здесь бессильны — помогает только проверка просьбы по другому каналу.
Чтобы увидеть настоящий адрес отправителя, нажмите на имя в заголовке письма или откройте исходный текст письма. В заголовке Authentication-Results видно, прошло ли письмо проверки SPF, DKIM и DMARC.
Что делать сотруднику
Если письмо вызывает сомнения, действуйте по простому порядку:
- Не переходите по ссылкам и не открывайте вложения. Не отвечайте на письмо — ответ подтверждает, что адрес активен.
- Проверьте просьбу по другому каналу. Позвоните коллеге или партнёру по известному вам номеру, а не по номеру из письма. Это особенно важно для любых просьб о платежах и смене реквизитов.
- Сообщите администратору или ответственному за ИТ. Перешлите письмо как вложение — так сохранятся заголовки, нужные для анализа.
- Если уже ввели пароль на подозрительной странице — сразу смените пароль от ящика с другого, заведомо чистого устройства и сообщите администратору. Подробнее — в статье о безопасности ящика.
- Если открыли вложение — отключите компьютер от сети и сообщите администратору. Не пытайтесь «вылечить» его сами.
Никогда не меняйте банковские реквизиты партнёра и не проводите срочный платёж только на основании письма, даже если оно пришло из знакомой переписки. Всегда подтверждайте такие изменения звонком.
Что делать администратору
Задача администратора — уменьшить число фишинговых писем, которые доходят до сотрудников, и ограничить ущерб, если кто-то всё же ошибётся.
При инциденте
- Сохраните исходный текст письма с заголовками: в них видны сервер-отправитель и результаты проверок.
- Выясните, кто ещё получил такое письмо, и предупредите этих сотрудников.
- Если пароль был введён на поддельной странице — смените его, завершите активные сеансы и проверьте настройки ящика: правила пересылки, фильтры и автоответчик. Злоумышленники часто добавляют скрытую пересылку на внешний адрес.
- Если письмо пришло с вашего домена, проверьте, не отправлялось ли оно реально с одного из ваших ящиков.
Профилактика
- Включите двухфакторную аутентификацию. Даже если пароль украден, без второго фактора войти в ящик не получится. Аппаратные ключи WebAuthn/FIDO2 к тому же не срабатывают на поддельных сайтах.
- Настройте SPF, DKIM и DMARC для своего домена и постепенно переходите к строгой политике DMARC.
- Регулярно проверяйте карантин спама: там бывают как пропущенные фишинговые письма от похожих доменов, так и нужные письма.
- Договоритесь о внутреннем правиле: любые изменения реквизитов и срочные платежи подтверждаются голосом.
- Проводите короткие инструктажи для сотрудников, показывайте реальные примеры писем, которые пришли в компанию.
Чем помогает почтовый сервис
В MCMail входящие письма проверяют антиспам Rspamd и антивирус ClamAV, подозрительные письма попадают в карантин спама, а SPF, DKIM и DMARC для вашего домена настраиваем мы. Также доступна двухфакторная аутентификация, включая ключи WebAuthn/FIDO2, и блокировка подбора паролей. Это заметно снижает риск, но не заменяет внимательность: ни один фильтр не даёт полной защиты от писем, написанных специально для вашей компании.
Если вы получили письмо, которое кажется подозрительным, и не уверены, как поступить, напишите в поддержку @mycloudsupport — поможем разобрать заголовки.