Коротко. Надёжнее всего мошеннический сайт выдают технические признаки, которые нельзя быстро подделать: домен зарегистрирован недели назад (проверяется через WHOIS), адрес отличается от официального одной буквой или зоной, дешёвый сертификат без данных организации, скрытые контакты и реквизиты. Проверка занимает две минуты: посмотрите возраст домена, внимательно сверьте написание адреса, откройте данные SSL-сертификата и поищите юридическую информацию. Ни один признак по отдельности не приговор — оценивайте их в сумме. Ниже — полный чеклист из 12 пунктов с инструментами.
Почему «замок» в браузере ничего не гарантирует
Самое живучее заблуждение: «есть https и замочек — значит, сайт безопасен». Замок означает только одно: соединение зашифровано и данные по пути никто не перехватит. Кто сидит на другом конце этого зашифрованного канала — банк или мошенник, — замок не говорит.
Замок в адресной строке подтверждает, что канал зашифрован. Он ничего не говорит о том, кто на другом конце канала.
Бесплатный DV-сертификат (Domain Validation) выпускается автоматически за минуты и подтверждает лишь контроль над доменом. По данным антифишинговой рабочей группы APWG, подавляющее большинство фишинговых сайтов уже давно работают именно по HTTPS — с валидным замком. Поэтому замок — это гигиенический минимум, а не знак доверия: его отсутствие однозначно плохо, его наличие не значит ничего.
Технические признаки: что проверить за 2 минуты
1. Возраст домена
Главный «неподделываемый» признак. Настоящий магазин или банк живёт на своём домене годами; фишинговые сайты живут днями — их блокируют, и мошенники регистрируют новые пачками. Откройте WHOIS-проверку и посмотрите дату регистрации (Creation Date). Домену две недели, а сайт изображает «официального дилера с 2010 года» — можно закрывать вкладку. Как читать остальные поля, разбирали в гайде по WHOIS.
2. Написание адреса: подмена букв и зоны
Классика фишинга — тайпсквоттинг: адрес, отличающийся от настоящего на один символ. Приёмы: замена букв (sberbank → sberbannk), перестановка (ozon → ozno), другая зона (.ru → .ru.com, .online, .shop), дефисы и приставки (ozon-sale24). Отдельный приём — омоглифы: кириллическая «о» внешне неотличима от латинской «o», и браузер покажет такой адрес в виде xn---абракадабры (punycode). Известная демонстрация Сюйдуна Чжэна в 2017 году: адрес «apple.com», целиком набранный кириллицей, с валидным сертификатом.
3. Данные SSL-сертификата
Откройте проверку SSL и посмотрите не на «валиден/невалиден», а на детали: кому выдан, кем, когда. Сертификат выпущен на днях, тип — DV, в поле Organization пусто, хотя сайт изображает крупную компанию? У настоящих банков и корпораций обычно OV/EV-сертификаты с юрлицом внутри. Разница типов — в статье про виды сертификатов; там же — почему по CT-логам видна история всех сертификатов домена.
4. Куда на самом деле ведёт ссылка
Текст ссылки и её адрес — разные вещи. Наведите курсор (без клика) и посмотрите реальный URL в статусной строке. В письмах и мессенджерах мошенники прячут адрес за сокращателями — раскройте его без перехода через анализатор цепочки редиректов.
5. IP и география хостинга
«Российский интернет-магазин» на IP-проверке оказывается на абузоустойчивом хостинге в офшорной юрисдикции? Для местного бизнеса это странно. Не приговор, но ещё один минус в копилку.
6. Безопасность самой страницы
Прогоните адрес через сканер безопасности: у наспех слепленного фишинга обычно нет ни защитных заголовков, ни нормальной настройки cookies — сайт-однодневка не вкладывается в то, что не приносит денег.
Поведенческие признаки: как сайт себя ведёт
7. Цены-приманки и таймеры давления
Скидка 70% на дефицитный товар, «осталось 2 штуки», таймер на 15 минут и мигающий баннер. Задача одна — выключить критическое мышление и заставить заплатить до того, как вы начнёте проверять.
8. Только предоплата на карту физлица
Настоящий магазин принимает оплату через эквайринг на юрлицо, даёт наложенный платёж или оплату при получении. Перевод «на карту Ивану И.» или на электронный кошелёк — стоп-сигнал: такой платёж почти невозможно оспорить.
9. Нет реквизитов и настоящих контактов
Ищите ИНН/ОГРН, юридическое название, адрес, телефон. Нашли ИНН — сверьте его в открытых реестрах ФНС: существует ли компания, чем занимается, не ликвидирована ли. Только форма обратной связи и мессенджер — плохой знак.
10. Свежесозданные отзывы
Идеальные пятизвёздочные отзывы, все за последнюю неделю, с фотографиями со стоков. Поищите название сайта в поиске со словами «отзывы» и «мошенники» — жертвы обычно успевают отписаться на сторонних площадках.
11. Кривой текст и чужой дизайн
Машинный перевод, смесь раскладок, логотип соседнего бренда с изменённым названием, битые ссылки в подвале — у однодневки нет времени на аккуратность.
12. Просят лишние данные
Для оплаты покупки не нужны ни код из СМС «для подтверждения личности», ни ПИН-код, ни полные паспортные данные, ни «проверочный перевод». Запрос лишнего — фирменный почерк фишинга: мошеннику не нужно вас взламывать, если вы сами всё введёте.
Мошеннику не нужно взламывать ваш банк. Достаточно страницы, похожей на банк, и трёх минут вашей невнимательности.
Быстрый протокол проверки
1. Адрес: сверить написание посимвольно, зону — с официальной
2. WHOIS: /whois → возраст домена, регистратор
3. SSL: /ssl → кому выдан, тип (DV/OV/EV), дата выпуска
4. IP: /ip → страна и хостинг
5. Санитария:/security → заголовки, cookies
6. Реквизиты: ИНН → проверка в реестре ФНС
7. Отзывы: «название + отзывы», «название + мошенники»Пункты 2–5 занимают меньше двух минут и не требуют никаких специальных знаний — все инструменты бесплатны и работают из браузера.
Что делать, если вы уже ввели данные или заплатили
- Платёжные данные: немедленно заблокируйте карту через приложение банка и перевыпустите её. Сообщите банку о компрометации — по свежим следам шансы на chargeback выше.
- Пароль: смените его везде, где использовали такой же, начиная с почты. Включите двухфакторную аутентификацию — как это сделать правильно.
- Код из СМС: звоните в банк сразу — счёт могли уже опустошить, счёт идёт на минуты.
- Заявление: зафиксируйте скриншоты, адрес сайта, реквизиты платежа и подайте заявление в полицию. Сайт отправьте в жалобу регистратору домена и в сервисы репутации браузеров — заблокированный фишинг не соберёт следующих жертв.
Частые вопросы
Можно ли доверять сайту, если он первый в поиске?
Нет. Мошенники покупают рекламу по брендовым запросам, и фишинговая страница может показываться выше настоящей — с пометкой «реклама». Официальный сайт надёжнее открывать по сохранённой закладке или адресу с обратной стороны банковской карты.
Есть ли единый «чёрный список» мошеннических сайтов?
Единого нет, но экосистема работает: браузеры ведут собственные списки (Safe Browsing), ЦБ РФ и профильные CERT инициируют блокировки десятков тысяч фишинговых ресурсов ежегодно, у регистраторов есть процедура abuse-жалоб. Проблема в скорости: между появлением сайта и блокировкой проходят дни, и жить фишингу нужно ровно столько.
Чем проверить сайт автоматически?
Технический минимум за две минуты: WHOIS (возраст), SSL (кому и когда выдан сертификат), IP (где хостится), сканер безопасности (заголовки и cookies). Для собственного сайта имеет смысл пойти дальше и следить за появлением доменов-клонов — тайпсквоттеры регистрируют подделки под чужие бренды задолго до начала рассылок.
Чеклист на память
- Замок в браузере ≠ безопасность: он подтверждает шифрование, а не владельца.
- Самые надёжные признаки — возраст домена, точное написание адреса, детали сертификата.
- Оценивайте признаки в сумме: один минус — повод насторожиться, три — закрыть вкладку.
- Предоплата на карту физлица + таймер давления = почти наверняка мошенники.
- Уже заплатили — блокируйте карту и звоните в банк немедленно, не «завтра».