Найдорожчі втрати в малому бізнесі починаються не зі зламу сервера, а з одного листа, який виглядав нормально. Хтось із команди відкрив «рахунок від постачальника», ввів пароль на сторінці, схожій на банк, підтвердив код із SMS «службі підтримки» — і за кілька хвилин доступ до пошти, платежів чи сторінки в соцмережі вже не ваш. Тому питання «як розпізнати фішинг» — це не про технічну параною, а про звичку, яка рятує гроші й репутацію. Розберемо спокійно: за якими ознаками впізнати підробку, що робити, якщо ви вже клікнули, і як вибудувати захист, щоб один необережний клік не коштував бізнесу.

Що таке фішинг простими словами

Фішинг — це коли вас обманом змушують самому віддати доступ. Не зламують паролі перебором, не ставлять вірус на комп’ютер — просто надсилають повідомлення, яке виглядає як від банку, податкової, постачальника, маркетплейсу чи навіть вашого ж керівника. Мета одна: щоб ви перейшли за посиланням і ввели логін і пароль, підтвердили платіж або переслали код підтвердження.

Працює це не через технології, а через емоції. Фішинговий лист майже завжди тисне на одне з двох: страх («ваш акаунт заблоковано», «підозріла операція», «останнє попередження») або поспіх («оплатіть рахунок сьогодні», «доступ зникне за годину»). Коли людина нервує й поспішає, вона не перевіряє дрібниці. Саме на це й розрахунок. Тому перша навичка — не відповідати одразу, а зупинитися на п’ять секунд. Цієї паузи зазвичай достатньо, щоб побачити підробку.

Як розпізнати фішинг: ознаки, які видно одразу

Немає однієї чарівної ознаки, але є набір сигналів, і що більше їх збігається, то очевидніша підробка. Ось на що дивитися, коли думаєте, як розпізнати фішинг у конкретному листі чи повідомленні.

Адреса відправника, а не ім’я. У листі показується красива назва — «Служба безпеки банку». Наведіть курсор на саму адресу пошти. Якщо там набір символів, чужий домен або схожа, але не та назва (наприклад, зайва літера чи дефіс), — це підробка. Справжня організація пише зі свого домену, а не з безкоштовної пошти.

Посилання, яке веде не туди, куди написано. Наведіть курсор на кнопку чи посилання (на телефоні — затисніть, не клікаючи) і подивіться реальну адресу. Текст може казати «увійти в кабінет», а вести на зовсім інший сайт. Особлива небезпека — домени, дуже схожі на справжні: одна змінена літера, інша зона (.com замість .ua), піддомен, що маскується під бренд.

Звертання «шановний клієнте» замість вашого імені. Масові фішингові розсилки не знають, хто ви. Банк чи сервіс, де ви зареєстровані, зазвичай звертається на ім’я або називає останні цифри рахунку.

Прохання зробити щось терміново і в обхід звичного шляху. «Не заходьте в застосунок, перейдіть за цим посиланням», «продиктуйте код із SMS нашому оператору», «оплатіть на іншу картку, бо стара заблокована». Жоден справжній банк не просить код підтвердження — його не можна казати нікому взагалі.

Мова й оформлення з дрібними дефектами. Криві переклади, дивна пунктуація, логотип трохи не той, кнопки з’їхали. Це не завжди так — трапляються й акуратні підробки — але будь-яка неохайність у «офіційному» листі має насторожити.

Несподіваний вкладений файл. Рахунок-архів, «акт звірки.zip», документ, який просить увімкнути макроси. Якщо ви не чекали файла саме зараз від саме цієї людини — не відкривайте, доки не перепитаєте іншим каналом.

Окремо про месенджери й дзвінки. Фішинг давно вийшов за межі пошти: те саме приходить у Viber, Telegram, SMS, а «служба безпеки» дзвонить голосом. Правило те саме — хто тисне на терміновість і просить код чи оплату, той майже напевно шахрай.

Що робити відразу після підозрілого кліку

Припустімо, зупинитися не вдалося: хтось уже перейшов за посиланням і, можливо, ввів пароль. Головне — не панікувати й не мовчати. Швидка реакція в перші хвилини рятує ситуацію, коли гроші й доступ ще на місці.

Перше — змініть пароль до того сервісу, дані якого ви ввели, і зробіть це з іншого, довіреного пристрою. Якщо той самий пароль стояв ще десь (типова помилка) — міняйте скрізь, де він повторювався. Друге — увімкніть двоетапну перевірку входу, якщо її ще не було: навіть якщо пароль уже в шахраїв, без другого підтвердження вони не зайдуть. Третє — перевірте, чи не додалися чужі правила пересилання пошти, чужі пристрої в списку активних сесій, нові доступи. Зловмисники часто ставлять тихе пересилання, щоб читати вашу пошту навіть після зміни пароля.

Якщо йшлося про гроші — негайно телефонуйте в банк за номером із картки чи офіційного сайту (не за тим, що прийшов у листі) і блокуйте картку чи операцію. Якщо ввели код або підтвердили платіж — теж дзвоніть у банк, частину переказів устигають зупинити. І обов’язково попередьте команду: якщо один лист прийшов вам, така сама розсилка пішла й колегам, а зламана пошта одного співробітника стає джерелом переконливих листів для інших.

Чому один клік може коштувати всього бізнесу

Небезпека фішингу не в самому листі, а в тому, що відкриває вкрадений доступ. Пошта — це ключ від усього: через «відновлення пароля» на неї зав’язані банк, домен, соцмережі, застосунки. Отримавши доступ до однієї скриньки, шахрай тихо збирає інформацію, читає листування з клієнтами й постачальниками, а потім у слушний момент надсилає від вашого імені лист «ми змінили реквізити, оплачуйте сюди». Гроші йдуть повз вас, а репутацію б’є те, що обманули саме вашого клієнта і ніби вашими руками.

Друга типова ціна — втрата сторінки бізнесу в соцмережах чи рекламного кабінету: злам одного акаунта може обнулити роками напрацьовану аудиторію. Тому «як розпізнати фішинг» — це навичка не одного айтішника, а всіх, хто має доступ до пошти, платежів і сторінок компанії.

Як вибудувати захист, щоб не залежати від уважності

Уважність рятує, але покладатися лише на неї не можна — люди втомлюються, поспішають, помиляються. Тому надійний захист будується так, щоб один необережний клік не був фатальним.

Базовий набір простий за суттю. Двоетапна перевірка входу на пошті, у банку, в соцмережах і всюди, де є гроші чи клієнти. Різні паролі для різних сервісів, щоб злам одного не відчиняв решту. Розділені доступи — щоб у кожного співробітника було рівно стільки прав, скільки треба для роботи, і не більше. Регулярні резервні копії важливих даних, аби навіть у найгіршому сценарії було звідки відновитися. І коротка домовленість у команді: будь-яка «зміна реквізитів» чи термінове прохання про оплату підтверджується голосом або окремим каналом, а не тільки листом.

Ми в LPF з 2018 року будуємо й супроводжуємо цифрові системи для бізнесу на власній інфраструктурі, і безпека доступу тут не окрема послуга «згори», а частина того, як усе влаштовано з самого початку. Тверезий погляд збоку зазвичай показує кілька тонких місць, які власник просто не помічає щодня.

Якщо відчуваєте, що доступи в компанії тримаються «на чесному слові» й одна помилка може дорого коштувати, — почніть з розмови. Розкажіть, як усе влаштовано зараз, а ми підкажемо, де найтонше і що варто закрити насамперед.