Кибербезопасность для школьника: как распознать фишинг и защитить аккаунт

Фишинг — это вид мошенничества и социальной инженерии. Злоумышленники выдают себя за банки, известные компании, онлайн-сервисы или знакомых людей, чтобы получить чужие данные или заставить человека совершить опасное действие. Для этого используют поддельные письма и сообщения, фальшивые сайты и вредоносные вложения.

Частый приём — заставить человека действовать не раздумывая. Сообщение может:

• пугать: «Ваш аккаунт заблокирован»;
• торопить: «Подтвердите данные прямо сейчас»;
• обещать выгоду: «Вы выиграли приз».

Фишинг часто можно распознать по характерным признакам. На подделку могут указывать адрес сайта, отправитель письма, содержание сообщения или требование срочно что-то сделать.

Поддельный сайт

Мошенники могут использовать домен, похожий на адрес настоящего сайта, например заменить в нём отдельные символы. Фальшивые страницы создают в том числе для кражи логинов, паролей и платёжных данных. При этом HTTPS не гарантирует, что сайт настоящий. Он лишь показывает, что соединение с сайтом зашифровано. HTTPS может быть и у мошеннического сайта.

Если собираешься что-то купить в незнакомом интернет-магазине, проверь информацию о продавце. Роспотребнадзор рекомендует обратить внимание на ИНН или ОГРН, географический адрес и контактные данные. Полезно посмотреть и отзывы на сторонних площадках.

Подозрительное письмо или сообщение

В электронном письме не ориентируйся только на имя отправителя. Даже если письмо выглядит так, будто пришло от знакомой компании или сервиса, посмотри на полный адрес электронной почты: незнакомый или странный адрес может быть признаком подделки.

Насторожить должно и требование действовать срочно: немедленно перейти по ссылке, ввести данные или передать код подтверждения.

Если запрос выглядит правдоподобно, проверь его независимо. Самостоятельно открой официальный сайт организации или свяжись с ней по известному официальному номеру. Не переходи по ссылке и не используй контакты из подозрительного сообщения. Неожиданные вложения тоже лучше не открывать: злоумышленники могут распространять через них вредоносные программы.

В соцсетях и мессенджерах мошенники могут выдавать себя за знакомых людей, известные бренды или сервисы. Такие схемы используют в том числе для атак на подростков.

Один из вариантов — фальшивый розыгрыш или обещание другой выгоды. Человеку предлагают перейти по ссылке, заплатить или предоставить данные, чтобы получить приз или выплату. Так злоумышленники могут похитить деньги или информацию.

Другая схема — сообщение от имени знакомого с просьбой срочно перевести деньги или перейти по ссылке.

Пароли, ПИН-коды и одноразовые коды подтверждения сообщать другим людям нельзя.

Пароли

Для каждого сервиса используй отдельный пароль. Если поставить один и тот же на почту, соцсети и другие аккаунты, его утечка может поставить под угрозу сразу несколько сервисов.

Необязательно специально добавлять заглавные буквы, цифры и специальные знаки: важнее длина и уникальность. При этом можно использовать буквы, цифры, знаки и пробелы, если сервис их поддерживает.

Чем больше аккаунтов, тем сложнее запоминать длинные и уникальные пароли. В этом помогает менеджер паролей: он позволяет создавать и хранить разные комбинации для разных сервисов.

Регулярно менять пароль просто для профилактики не нужно.

Если ты используешь его и в других сервисах, поменяй данные для входа и там.

Многофакторная аутентификация

Многофакторная аутентификация добавляет ещё один этап проверки при входе в аккаунт. Кроме пароля, нужно подтвердить свою личность другим способом — например, ввести код из приложения или СМС. Поэтому одного украденного пароля злоумышленнику уже недостаточно.

Для дополнительной защиты сервисы могут предлагать и другие способы входа. Например, ключ доступа (passkey) позволяет подтвердить вход на своём устройстве с помощью отпечатка пальца, распознавания лица или ПИН-кода. Если сервис поддерживает ключи доступа, включить их обычно можно в настройках безопасности аккаунта.

Банк России рекомендует не передавать их даже тому, кто представляется сотрудником банка. Если во время подозрительного звонка у тебя просят такой код, прекрати разговор и самостоятельно свяжись с банком по официальным контактам. Осторожно относись и к неожиданным СМС со ссылками: их тоже могут использовать для фишинга.

Если пароль был введён на фишинговом сайте или есть подозрение, что его узнали посторонние, действуй как можно быстрее. Мошенники могут попытаться войти в аккаунт, писать другим людям от твоего имени или получить доступ к связанным сервисам.

1. Смени пароль. Не забудь сделать это и в других сервисах, если используешь там тот же пароль.
2. Включи многофакторную аутентификацию. Это добавит дополнительную защиту при входе, если сервис поддерживает такую функцию.
3. Восстанови доступ, если не получается войти. Используй только официальную форму восстановления нужного сервиса.
4. Проверь настройки безопасности. Обрати внимание на незнакомые способы входа, номера телефонов, адреса электронной почты и другие подозрительные изменения.
5. Заверши незнакомые сеансы. Если сервис показывает устройства и активные сеансы, отключи те, которые тебе не знакомы.

Для связи используй официальный номер банка или его приложение, а не контакты из подозрительного сообщения. Уведомления об операциях помогут быстрее заметить списание, которое совершил кто-то другой.

Если деньги уже украдены, сразу сообщи об этом банку и следуй его инструкциям. Также обратись в полицию и сохрани информацию, связанную с мошенничеством: например, сообщения, номера телефонов и сведения о подозрительных операциях.

Сам переход по подозрительной ссылке ещё не означает, что устройство заражено. Но если после этого началась загрузка неизвестного файла, появилось предложение установить программу или приложение либо устройство стало вести себя необычно, стоит проверить его на вредоносное ПО.

Если на подозрительном сайте были введены логин и пароль, одной проверки устройства недостаточно. Как можно скорее смени пароль от этого аккаунта. Если такая же комбинация используется в других сервисах, замени её и там.

Чтобы снизить риск на будущее, не открывай неожиданные ссылки и файлы, особенно если в сообщении торопят перейти по ссылке или что-то скачать. Программы и приложения загружай с официальных сайтов разработчиков или из доверенных магазинов приложений.

Несколько правил помогут снизить риск столкнуться с мошенничеством и вредоносными программами:

• Осторожнее с публичным Wi-Fi. Перед вводом личных или платёжных данных убедись, что сайт использует HTTPS, и не игнорируй предупреждения браузера о безопасности. Для банковских операций и других важных действий можно использовать мобильный интернет или другую сеть, которой доверяешь.
• Устанавливай обновления. Регулярно обновляй операционную систему, браузер и защитное ПО. В обновлениях разработчики в том числе исправляют уязвимости, которыми могут воспользоваться злоумышленники.
• Проверяй незнакомые интернет-магазины. Перед покупкой поищи информацию о продавце и отзывы на независимых площадках. Не доверяй магазину только потому, что его сайт выглядит профессионально.
• Не публикуй слишком много личной информации. Номер телефона, место учёбы и другие сведения из открытого профиля могут помочь мошенникам сделать обман более убедительным. Проверь настройки приватности в социальных сетях и ограничь доступ посторонних к личной информации.

Фишинг бывает убедительным: злоумышленники используют доверие, страх, срочность и обещание выгоды, поэтому распознать обман не всегда просто. Перед вводом пароля или платёжных данных проверяй адрес сайта, а подозрительные просьбы перепроверяй через официальный сайт или известные контакты организации. Для разных сервисов используй уникальные пароли и включай многофакторную аутентификацию. Если пароль оказался скомпрометирован, замени его как можно быстрее.