Фишинг: как распознать поддельный сайт за 30 секунд

Десять признаков поддельного сайта в одной таблице, проверка адреса за полминуты, что делать, если данные карты уже введены, и куда жаловаться, если подделали ваш сайт. Сверено со справками Google Chrome, Яндекс Браузера и материалами Банка России на сентябрь 2026 года.

Фишинг — это вид интернет-мошенничества, при котором злоумышленники делают копию знакомого сайта (банка, маркетплейса, Госуслуг) и через письмо, СМС или мессенджер заманивают на неё человека, чтобы он сам ввёл логин, пароль или данные карты. Поддельный сайт внешне повторяет настоящий, а отличается почти всегда одним — адресом в строке браузера.

Поэтому самая надёжная проверка занимает полминуты: прочитать адрес до первой косой черты и убедиться, что это тот самый домен, а не похожий. Замок слева от адреса эту проверку не заменяет — он означает только шифрование и стоит у большинства фишинговых сайтов. Масштаб понятен по данным Банка России: за 2025 год регулятор инициировал блокировку 38,4 тыс. мошеннических сайтов и страниц в соцсетях.

Как выглядит типичная фишинговая схема

Фишинг почти всегда состоит из трёх шагов: сообщение с поводом, похожий сайт и форма, куда вы вводите данные сами. Мошенникам не нужно ничего взламывать — они рассчитывают, что вы поверите оформлению и не посмотрите на адрес.

Сообщение — это письмо «ваш аккаунт заблокирован», СМС «посылка задержана, оплатите 49 рублей» или просьба в мессенджере «проголосуй за племянницу». Повод срочный, решить его предлагают по ссылке. Сайт по ссылке копирует логотип, цвета и тексты настоящего, но живёт на другом домене. Форма просит войти в аккаунт, ввести номер карты «для подтверждения» или код из СМС. После нажатия кнопки данные уходят мошенникам, а на экране появляется «ошибка, попробуйте позже».

Отсюда главное правило: на важные сайты заходите не по ссылке из сообщения, а через закладку или приложение. Настоящее уведомление вы увидите и там.

Какие признаки выдают поддельный сайт

Самый надёжный признак — чужой домен: подмена букв, лишние слова через дефис или знакомое имя, спрятанное в поддомене. Остальные — срочность, ошибки, отсутствие реквизитов, свежий домен — работают как подтверждение.

Смотрите на то, что стоит перед первой одиночной косой чертой. Настоящий домен — только последняя пара слов перед ней.

Один признак из нижней половины таблицы ещё ничего не доказывает: опечатки бывают и у честных магазинов. Чужой домен из первых шести строк — приговор сам по себе.

Как проверить сайт за 30 секунд

Проверка сводится к пяти действиям: прочитать домен, посмотреть сертификат, поискать реквизиты, проверить возраст домена и открыть сайт своим путём. На компьютере это полминуты, на телефоне чуть дольше — адрес там обрезан.

1. Нажмите на адресную строку, чтобы увидеть адрес целиком, и найдите первую косую черту после «https://». Два слова перед ней — настоящий домен. Прочитайте его по буквам.
2. Нажмите на замок или значок настроек слева от адреса. Chrome покажет «Сайт использует защищённое соединение» и домен, на который выдан сертификат. Если домен в сертификате не тот, что вы ожидали, закройте вкладку.
3. Прокрутите страницу вниз и найдите реквизиты: юрлицо, ИНН, телефон, ссылки на оферту. Нажмите на одну из них — на подделках такие ссылки часто ведут в никуда.
4. Скопируйте домен и проверьте дату регистрации в любом whois-сервисе, например у регистратора. Домен младше нескольких месяцев у «банка» или «госсервиса» — повод уйти. Подробно этот шаг разобран в статье про возраст домена.
5. Закройте вкладку и откройте сервис сами: через приложение, закладку или набрав адрес руками. Если уведомление настоящее, вы увидите его и там.

Если браузер показал красный экран «Опасный сайт» или окно «Это правильный сайт?», дальше проверять нечего. По справке Google Chrome, предупреждение появляется, когда Безопасный просмотр нашёл сайт в базе опасных или адрес похож на известный. Яндекс Браузер показывает значок «Опасный сайт» в адресной строке и сообщение на весь экран.

Почему замок в адресной строке не защищает от фишинга

Замок означает, что данные между вами и сайтом зашифрованы и их не прочитает посторонний по дороге. Он не говорит, кому вы их отправляете: сертификат выдаётся бесплатно за несколько минут владельцу любого домена, в том числе мошеннику.

Замок подтверждает только шифрование между вами и сайтом. Кому принадлежит сайт и честен ли он — замок не знает.

Справка Google Chrome прямо оговаривает: даже при защищённом соединении «убедитесь, что в адресной строке указан именно тот сайт, который вы хотели открыть». Банк России тоже советует смотреть на замок — как на минимальное требование, а не как на доказательство подлинности. Что именно проверяет сертификат, мы разобрали в статье как работает HTTPS.

Отсутствие замка при этом остаётся плохим знаком: данные карты на странице «Не защищено» вводить нельзя ни при каких условиях.

Что делать, если вы уже ввели данные на поддельном сайте

Первое действие — заблокировать карту в приложении банка или по номеру на её обороте, второе — сменить пароль, если вводили его. По разъяснениям Банка России, банк обязан вернуть похищенные деньги в течение 30 дней, если списание произошло не по вашей вине.

1. Заблокируйте карту в приложении банка — это делается за несколько секунд в карточке карты — или по номеру на её обороте. Деньги на счёте при блокировке никуда не деваются, карту перевыпустят.
2. Если вводили пароль от почты, Госуслуг или соцсети — смените его на настоящем сайте и завершите там все активные сеансы. Тот же пароль стоял ещё где-то — поменяйте и там: мошенники первым делом пробуют его на других сервисах.
3. Включите подтверждение входа по коду (двухфакторную аутентификацию) там, где его ещё нет. Тогда украденный пароль сам по себе бесполезен.
4. Если деньги уже списали — напишите в банк заявление о несогласии с операцией. Сохраните ссылку на поддельный сайт, скриншоты и СМС: они понадобятся банку и полиции.
5. Подайте заявление в полицию — через сайт МВД или в отделении. Без него банк может отказать в возврате.

Если данные карты ввели, а деньги ещё не списали — не ждите: списание может прийти через несколько дней. Карту всё равно блокируют и перевыпускают.

Что делать владельцу сайта, если ваш сайт подделали

Владелец подделанного сайта жалуется в четыре адреса сразу: регистратору домена подделки, её хостинг-провайдеру, в Google Safe Browsing и в Яндекс. Первые двое могут отключить сайт, вторые — закрыть его красным экраном ещё до отключения. Если подделали банк или платёжный сервис, добавляется Банк России.

Для доменов .RU и .РФ есть ещё один канал: Координационный центр национального домена принимает сигналы о фишинге от компетентных организаций — среди них Банк России, Лаборатория Касперского, F6 и Роскомнадзор — и регистраторы снимают такие домены с делегирования без суда. Владельцу сайта проще всего попасть в этот механизм через жалобу регистратору.

Параллельно предупредите клиентов постом в соцсетях и баннером на главной с настоящим адресом. И проверьте свой сайт: если фишинговая страница лежала на вашем же взломанном сайте, Google и Яндекс могли пометить опасным именно вас. В Яндекс Вебмастере это видно в разделе «Безопасность и нарушения», а как принимается решение, разобрано в статье Safe Browsing: как Google и Яндекс решают, что сайт опасен.

Частые вопросы

Может ли фишинговый сайт быть в первой строчке поиска? Да, чаще всего через рекламу: мошенники покупают объявления по названию банка или магазина, и объявление стоит выше настоящего сайта. Поисковики их удаляют, но не мгновенно. На сайты, где вы платите, заходите по закладке или из приложения.

Опасно ли просто открыть фишинговую ссылку, ничего не вводя? В большинстве случаев — нет: фишинговый сайт ждёт, пока вы сами заполните форму. Риск появляется, если страница предлагает скачать файл или установить «приложение банка». Ничего не скачивайте и закройте вкладку; если уже установили — проверьте устройство антивирусом и смените пароли.

Вернёт ли банк деньги, если я сам ввёл данные карты на поддельном сайте? По разъяснениям Банка России банк обязан возместить похищенное, если операция прошла не по вашей вине. Если вы сами передали номер карты, код с обратной стороны или код из СМС, банк может отказать. Заявление подать всё равно стоит — особенно если вы обратились сразу и приложили заявление в полицию.

Почему браузер не предупредил меня о поддельном сайте? Безопасный просмотр Google и защита Яндекс Браузера работают по базам уже известных опасных адресов, а фишинговый сайт часто живёт несколько часов и попадает в базу позже, чем разослали ссылки. Отсутствие красного экрана не доказывает, что сайт настоящий.