Финарус
Фишинг — мошенничество, при котором человека заманивают на поддельную страницу или в разговор, чтобы он сам отдал пароль, реквизиты карты или код из СМС. Взламывать банк не нужно: достаточно письма «ваш аккаунт заблокирован» и сайта, похожего на настоящий до последней кнопки. Слово пришло из английского: fishing, рыбалка, а буква ph в написании phishing досталась от хакерского сленга. Здесь собрано, как распознать фишинговую ссылку и письмо, какие схемы встречаются чаще всего, что делать, если реквизиты уже ввели, и когда банк обязан вернуть деньги по закону.
Что такое фишинг простыми словами
У любой фишинговой атаки три части: приманка, подделка и действие, которое жертва совершает сама. Приманкой служит сообщение, которое пугает или обещает выгоду: штраф, блокировка, выплата, выигрыш. Подделка выглядит как страница банка, Госуслуг, маркетплейса или службы доставки. Действие почти всегда одно: ввести логин и пароль, номер карты с кодом на обороте или продиктовать одноразовый код.
Технически это не взлом, а социальная инженерия: мошенник обходит защиту, уговорив владельца открыть дверь самому. Поэтому антивирус от фишинга спасает лишь частично. Он блокирует часть известных поддельных сайтов, но новый домен регистрируют за минуты, а код из СМС человек может продиктовать по телефону без всякой ссылки.
Фишингом называют и всю семью таких приёмов. Вишинг идёт голосом по телефону, смишинг приходит в СМС, квишинг прячет ссылку в QR-коде. Отличаются они каналом, а цель у всех общая.
Виды фишинга и частые схемы
Схемы меняются вслед за новостями: в сезон налоговых уведомлений приходят «штрафы ФНС», перед праздниками приходят «посылки». Но каркас у них повторяется, и узнать его проще, чем запомнить каждый вариант.
Письмо или СМС о взломе личного кабинета со ссылкой «отменить запрос», либо звонок «сотрудника портала», которому нужен код из СМС.
Сообщают о подозрительной операции и просят перейти по ссылке «для защиты», назвать код или перевести деньги на «безопасный счёт».
«Посылка задержана, оплатите пошлину» или «подтвердите адрес». Ссылка ведёт на копию страницы оплаты.
Пишут со взломанного аккаунта в Telegram, Max или WhatsApp: «проголосуй за племянницу». Голосование требует войти через поддельную форму.
Наклейка поверх настоящего кода на парковке или самокате, QR в письме «для входа». Камера открывает фишинговый сайт, адрес которого никто не читает.
Присылают файл APK под видом банковского приложения или антивируса. После установки мошенник видит экран и читает СМС.
Телефонные сценарии с «полицией» и «Центробанком», голосовые подделки близких и фальшивые подработки подробно разобраны в статье «Схемы мошенников», а обман при покупках — в материале «Мошенничество на маркетплейсах».
Фишинговая ссылка и фишинговый сайт: как распознать
Главная проверка — адрес. Читать его нужно справа налево до первой одиночной точки перед зоной: в адресе sberbank.ru.secure-login.com настоящий домен secure-login.com, а «sberbank.ru» в начале служит маскировкой. Подделки берут похожие буквы (rn вместо m, цифру 0 вместо o), дефисы и лишние слова: gosuslugi-vozvrat, sber-bank, ozon-dostavka. Короткие ссылки из сервисов-сокращателей прячут адрес целиком, их безопаснее не открывать вовсе.
Замочек в адресной строке давно перестал быть признаком надёжности. Он показывает только, что соединение шифруется, а сертификат для своего домена бесплатно получит и мошенник. Отсутствие замка насторожить должно, наличие ничего не гарантирует.
Выдаёт подделку и поведение страницы. Ссылки «О компании» и «Контакты» никуда не ведут, работает только форма ввода. Форма просит больше обычного: банк при входе не спрашивает код с оборота карты, а Госуслуги не требуют номер карты для «подтверждения личности». Таймер «осталось 10 минут» и угроза блокировки нужны, чтобы человек не успел подумать.
Поддельный «банк» может стоять первой строкой в выдаче за счёт оплаченной рекламы. В личный кабинет надёжнее входить через приложение из официального магазина или закладку в браузере, а не через поиск.
Фишинговое письмо: на что смотреть
Имя отправителя в почте можно написать любое, поэтому смотрят на адрес после него. Письмо «от Госуслуг» с ящика на бесплатном почтовом сервисе или на домене с лишними буквами можно удалять сразу. Обращение без имени («Уважаемый клиент»), срочность и ошибки в тексте добавляют подозрений, но аккуратно написанное письмо ещё ничего не доказывает: тексты для рассылок давно пишут нейросети.
Отдельная опасность — вложения. Архивы, файлы .exe, .apk, .scr и документы, которые просят «включить содержимое», устанавливают вредоносную программу. Настоящие организации не присылают «акт сверки» в архиве с паролем и не просят ответить реквизитами карты. Если письмо выглядит правдоподобно, проверьте информацию другим путём: откройте приложение банка или портал сами и посмотрите, есть ли там такое уведомление.
Что делать, если перешёл по фишинговой ссылке и ввёл реквизиты
Если вы только открыли страницу и ничего не вводили, обычно достаточно её закрыть. Хуже, когда скачался файл: его нужно удалить и проверить устройство антивирусом. Если же пароль, номер карты или код уже ушли мошенникам, считаются часы, и действовать стоит в таком порядке.
- Заблокируйте карту
В приложении банка или по номеру с оборота карты. Блокировка останавливает новые списания, перевыпуск займёт несколько дней.
- Заявите банку о несогласии с операциями
Не позднее дня, следующего за уведомлением об операции (часть 11 статьи 9 закона № 161-ФЗ). Пропуск срока лишает права на возмещение.
- Смените пароли и закройте чужие сеансы
Начните с почты и Госуслуг: через них восстанавливают доступ ко всему остальному. Включите вход с подтверждением.
- Подайте заявление в полицию
По номеру 102, в отделении или через сайт МВД. Талон о приёме заявления пригодится в споре с банком и в суде.
- Поставьте самозапрет на кредиты
Если мошенник получил паспортные сведения или вход в Госуслуги, запрет не даст оформить на вас заём дистанционно.
Через пару недель стоит заказать свою кредитную историю и проверить, нет ли там чужих заявок и займов. Как это сделать бесплатно, рассказано в статье «Кредитная история».
Вернёт ли банк деньги: правила 161-ФЗ
Возврат денег регулирует статья 9 закона № 161-ФЗ «О национальной платёжной системе». Если банк уведомил вас об операции, а вы в срок сообщили, что не совершали её, банк обязан возместить сумму в течение 30 дней после заявления. Отказать он может, только если докажет, что клиент нарушил порядок использования карты или приложения (часть 15). Если банк вообще не прислал уведомление о списании, вернуть деньги он обязан без этого условия (часть 13).
В случае утраты электронного средства платежа и (или) его использования без добровольного согласия клиента клиент обязан направить соответствующее уведомление оператору по переводу денежных средств в предусмотренной договором форме незамедлительно после обнаружения факта утраты электронного средства платежа и (или) его использования без добровольного согласия клиента, но не позднее дня, следующего за днем получения от оператора по переводу денежных средств уведомления о совершенной операции.161-ФЗ, статья 9, часть 11
Самое неприятное правило касается фишинга напрямую. Продиктованный код или введённые на поддельном сайте реквизиты банк считает нарушением порядка использования, и в таких случаях в возмещении обычно отказывают. Поэтому сообщать банку нужно сразу, а спор, если он дойдёт до суда, решается по обстоятельствам.
Есть и случай, когда вернуть обязаны, даже если код ввёл сам клиент. Банк должен проверять каждый перевод на признаки операции без добровольного согласия клиента, в том числе согласия, полученного обманом (часть 3.1 статьи 8). Если получатель уже числится в базе Банка России о мошеннических переводах, а банк всё равно провёл платёж, деньги он возмещает в течение 30 дней (часть 3.13 статьи 8). Сами признаки утверждает ЦБ: с 1 января 2026 года действует приказ № ОД-2506, где их двенадцать. Среди них совпадение получателя с базой ЦБ, нетипичная для клиента сумма или устройство, смена номера телефона в банке или на Госуслугах за 48 часов до перевода, следы вредоносной программы. Заметив признак, банк отказывает в переводе по карте и через СБП, а остальные переводы приостанавливает на два дня (часть 3.4 статьи 8).
Если банк отказал, деньги можно требовать с получателя как неосновательное обогащение (статья 1102 ГК РФ). Номер счёта получателя есть в выписке, а установить владельца помогает уголовное дело.
Антифрод-законы 2025–2026 годов
За последние два года государство добавило несколько защитных механизмов, и большинство из них нужно включить самому.
| Мера | Что даёт | Норма | |
|---|---|---|---|
| Кредиты | |||
| Самозапрет на кредиты | Банки и МФО не выдают потребительские кредиты и займы, кроме ипотеки и автокредита под залог машины. Ставится через Госуслуги или МФЦ, снимается только в МФЦ или с квалифицированной подписью | 218-ФЗ, ст. 5.1 | |
| Период охлаждения | Кредит от 50 до 200 тыс. ₽ выдают не раньше чем через 4 часа после подписания, свыше 200 тыс. ₽ — через 48 часов | 353-ФЗ, ст. 7 ч. 9.3 | |
| Связь | |||
| Отказ от массовых звонков и рассылок | Оператор связи прекращает массовые вызовы и рассылки по заявлению абонента | 126-ФЗ «О связи», ст. 44.1, 44.1-1 | |
| Запрет на новые сим-карты | Без вас на ваш паспорт не заключат договор мобильной связи. Ставится через Госуслуги или МФЦ | 126-ФЗ, ст. 45 п. 7.1 | |
| Наличные | |||
| Лимит в банкомате | При признаках обмана банк на 48 часов ограничивает выдачу наличных 50 тыс. ₽ в сутки | закон «О банках и банковской деятельности», ст. 24.3-1 | |
Самозапрет на кредиты появился по закону № 31-ФЗ от 26 февраля 2024 года и работает с 1 марта 2025 года. Меры со связью и банкоматами ввёл закон № 41-ФЗ от 1 апреля 2025 года, он же разрешил снимать самозапрет только лично или с квалифицированной подписью. Основная часть этого закона действует с 1 июня 2025 года, отдельные нормы вступали позже, а с 1 марта 2026 года заработала государственная система противодействия мошенничеству, через которую обмениваются сведениями банки, операторы связи и мессенджеры. Период охлаждения добавил закон № 9-ФЗ от 13 февраля 2025 года. Следующий пакет, закон № 210-ФЗ от 26 июня 2026 года, меняет правила проверки переводов с 1 марта 2027 года, поэтому к весне условия в договорах банков ещё обновятся.
Как защититься от фишинга
Большую часть атак отсекают несколько привычек. Входить в банк и на Госуслуги через приложение или закладку. Не переходить по ссылкам из сообщений о блокировке, штрафах и выплатах, а проверять их в официальном приложении. Никому не называть коды из СМС и пуш-уведомлений: их не спрашивают ни банк, ни портал, ни полиция. Ставить приложения только из официальных магазинов. Для почты и Госуслуг завести отдельные сложные пароли и включить подтверждение входа. Финарус тоже не просит реквизиты карты внутри приложения: оплата подписки открывается на странице Робокассы, и её адрес видно.
Про защиту самой карты и мессенджеров подробнее в статьях «Безопасность банковских карт» и «Как защитить аккаунт Telegram».
Куда жаловаться на фишинг
О списании без вашего согласия сообщают своему банку, это обязательный шаг для возврата денег. О преступлении заявляют в полицию. Фишинговый сайт или номер, с которого звонили мошенники, можно отправить в Банк России через интернет-приёмную на cbr.ru или по номеру 8 800 300-30-00: регулятор передаёт сведения регистраторам доменов и операторам, чтобы подделку заблокировали. Письмо в почте и сообщение в мессенджере лучше пометить кнопкой «Это спам» или «Пожаловаться», тогда сервис быстрее отфильтрует такие рассылки у других.
- Читаю адрес сайта до доменной зоны, а не первые буквы
- Замочек HTTPS не считаю гарантией
- Коды из СМС и пушей никому не называю
- В банк и на Госуслуги захожу через приложение или закладку
- Поставил самозапрет на кредиты и запрет на новые сим-карты
- Знаю, что о краже сообщить банку нужно не позже следующего дня
Частые вопросы
Мошенничество, при котором человека заманивают на поддельный сайт или в разговор, чтобы он сам ввёл пароль, реквизиты карты или продиктовал код из СМС. Название происходит от английского fishing, рыбалка.
По каналу: почтовый фишинг, смишинг через СМС, вишинг по телефону, квишинг через QR-код, поддельная реклама в поиске и фальшивые приложения. Цель у всех одна: получить доступ к деньгам или аккаунтам.
Прочитать адрес справа налево до доменной зоны: в sberbank.ru.secure-login.com настоящий домен secure-login.com. Насторожить должны похожие буквы, дефисы, лишние слова и сокращённые ссылки. Замочек HTTPS надёжность сайта не подтверждает.
Если ничего не вводили, закрыть страницу, а скачанный файл удалить и проверить телефон антивирусом. Если ввели реквизиты или код: заблокировать карту, заявить банку о несогласии с операцией не позже следующего дня, сменить пароли, подать заявление в полицию и поставить самозапрет на кредиты.
Чаще всего нет: банк вправе отказать, если докажет нарушение порядка использования карты (ч. 15 ст. 9 закона № 161-ФЗ). Вернуть обязаны, если банк не уведомил об операции или провёл перевод получателю из базы мошенников ЦБ (ч. 3.13 ст. 8).
Вишинг — разновидность фишинга, где приманка идёт голосом по телефону: звонит «служба безопасности банка» или «сотрудник Госуслуг» и выпрашивает код. Классический фишинг ведёт на поддельный сайт через ссылку.
Через Госуслуги или в МФЦ, бесплатно (ст. 5.1 закона № 218-ФЗ). Запрет действует на потребительские кредиты и займы в банках и МФО, кроме ипотеки и автокредита под залог. Снять его можно только в МФЦ или с квалифицированной электронной подписью.
В Банк России через интернет-приёмную на cbr.ru или по номеру 8 800 300-30-00, о краже денег — в свой банк и полицию. Письмо и сообщение можно пометить в почте или мессенджере как спам.