Фишинговая страница может быть точной копией настоящей: тот же логотип, те же цвета, та же форма входа. Единственное, что подделать полностью нельзя, — адрес. Поэтому мошенники делают его похожим настолько, чтобы глаз не заметил разницы. Разберём пять приёмов, на которых строятся домены-двойники, и способы разоблачить каждый.
Как читается адрес сайта
Прежде чем искать подделку, полезно понимать, какая часть адреса главная. Браузер читает домен справа налево:
.com,.ru,.рф— доменная зона;- слово перед зоной — собственно домен, его регистрирует владелец;
- всё, что левее, через точку, — поддомены, их владелец домена создаёт сам и сколько угодно.
Отсюда первое правило: принадлежность сайта определяет пара «домен + зона», а не первое слово, которое вы видите. Адрес shop.example.com принадлежит владельцу example.com. А адрес example.com.secure-login.net принадлежит владельцу secure-login.net, сколько бы знакомых слов ни стояло слева.
Пять приёмов подделки
1. Опечатка, которую ждут
Мошенник регистрирует адрес с типичной ошибкой набора: пропущенная или удвоенная буква, переставленные соседние символы, лишний дефис. Расчёт на тех, кто набирает адрес вручную, и на тех, кто мельком смотрит на ссылку в письме.
2. Похожие символы
Цифра «0» вместо буквы «o», «rn» вместо «m», «l» вместо «I». В некоторых шрифтах разница почти незаметна, особенно на телефоне.
3. Буквы из другого алфавита
Самый коварный вариант — гомографический фишинг. Кириллическая «а», «е», «о», «р», «с» выглядят как латинские, но для компьютера это другие символы. Адрес, набранный частично кириллицей, визуально совпадает с оригиналом, а ведёт на чужой сервер.
4. Знакомое имя в поддомене
Название бренда ставят слева, как поддомен, а регистрируемый домен прячут в конце: brand.com.account-check.site. На узком экране телефона конец адреса часто просто не помещается.
5. Другая зона или приставка
Оригинальное имя, но в другой доменной зоне, или с добавкой: -support, -official, -login, -bonus. Выглядит как «ещё один официальный сайт компании».
Эти приёмы часто комбинируют: бренд в поддомене плюс приставка -secure, или опечатка плюс другая зона. А чтобы адрес вообще не бросался в глаза, ссылку прячут за коротким URL, кнопкой в письме или QR-кодом. Поэтому важно смотреть на адрес не в тексте сообщения, а в строке браузера — уже после перехода, но до ввода данных.
| Приём | Пример схемы | Как разоблачить |
|---|---|---|
| Опечатка | пропущенная или лишняя буква | Сравнить с адресом из закладки |
| Похожие символы | 0 вместо o, rn вместо m | Увеличить адрес, скопировать в текст |
| Другой алфавит | кириллическая «а» в латинском слове | Перевести адрес в punycode |
| Бренд в поддомене | бренд.com.чужой-домен | Найти пару «домен + зона» справа |
| Другая зона или приставка | -support, -official | Проверить возраст домена |
Punycode: как увидеть подмену букв
Домены с символами не из латиницы хранятся в системе DNS в особой записи — punycode. Она начинается с префикса xn--. Например, кириллический домен в зоне .рф выглядит для DNS как строка вида xn--...xn--p1ai.
Это и есть ключ к разоблачению гомографов. Разные символы дают разный punycode, даже если на экране адреса неотличимы. Проверка занимает секунды:
- Скопируйте адрес из ссылки или адресной строки.
- Вставьте его в конвертер punycode.
- Посмотрите результат. Если у адреса, который должен быть чисто латинским, появилась форма
xn--, в нём есть символы из другого алфавита. - Сравните с punycode оригинального адреса. Для латинского домена конвертер вернёт тот же адрес без изменений.
Сами по себе кириллические домены — нормальное явление: адреса в зоне .рф легитимны. Подозрение вызывает именно смешение алфавитов в одном слове, которое выдаёт себя за известный латинский бренд. Браузеры, кстати, иногда сами показывают такой адрес в форме xn--, когда замечают смешение, — если вы видите в строке непонятный xn--, это повод остановиться.
Адрес из письма или сообщения — не тот адрес, которому вы доверяете. Тот, которому доверяете, лежит у вас в закладках.
Возраст домена выдаёт двойника
Двойников регистрируют под конкретную кампанию и бросают через несколько недель. Поэтому у подделки почти всегда очень молодой домен — в отличие от оригинала, который работает годами.
Введите подозрительный адрес в проверку сайта: она покажет возраст домена, SSL и результат по чёрным спискам. Если «официальный сайт» крупной компании зарегистрирован в прошлом месяце, вопрос можно считать закрытым. Подробнее о том, как читать дату регистрации, — в нашей статье о возрасте домена и сайтах-однодневках.
Помните, что свежий фишинговый домен первое время может отсутствовать в чёрных списках: туда попадают адреса, на которые уже пожаловались. «Не найден» — не оправдание, если остальные признаки тревожные.
Привычки, которые защищают лучше проверок
Проверка полезна, когда ссылка уже вызвала сомнение. Но лучше выработать привычки, при которых двойнику просто негде вас поймать:
- Входите через закладки. Для почты, банка, маркетплейсов и рабочих сервисов сохраните адреса один раз и пользуйтесь только ими.
- Не переходите по ссылкам «срочно подтвердите». Откройте сайт сами и проверьте уведомления в личном кабинете.
- Смотрите на адрес до ввода пароля. Не на логотип, а на пару «домен + зона» в строке браузера.
- Используйте менеджер паролей. Он подставляет пароль только на том домене, для которого его сохранили. Если на «знакомой» странице автозаполнение молчит — это сигнал.
- Установите расширение sites.reviews. Оно показывает Trust Score сайта, который вы открыли, и отправляет на сервер только домен текущей вкладки.
Если двойник всё же сработал и вы ввели пароль, смените его на настоящем сайте как можно скорее и включите двухфакторную аутентификацию. Если ввели данные карты — сразу свяжитесь с эмитентом карты и сообщите о подозрительной операции. Общий порядок действий после неудачной оплаты есть в статье «Как распознать сайт-мошенник».
Что попробовать
- Переведите подозрительную ссылку в punycode и сравните с оригиналом.
- Проверьте возраст и чёрные списки двойника в скам-проверке.
- Поставьте расширение, чтобы видеть оценку доверия каждого открытого сайта.