Сначала остановитесь и разберитесь, что произошло на самом деле
Большинство людей, столкнувшись с фишинговой страницей, меняют всё сразу или решают, что устройство уже заражено. Ни то, ни другое не помогает принять решение. Полезный вопрос уже: что именно вы ввели, отправили или запустили?
Прежде чем что-либо трогать, заполните таблицу ниже. Записывайте ответ по одному пункту в строке. Если не уверены, ставьте «не уверен», а не угадывайте.
| Что произошло | Что это значит и чего не значит | Первое действие |
|---|---|---|
| Вы только перешли по ссылке | Страница открылась; ничего не отправлено. Один клик сам по себе не доказывает, что что-то установлено. | Закройте вкладку. Не открывайте ссылку снова. Запишите отправителя и компанию, от имени которой пришло сообщение. |
| Вы ввели пароль и нажали «Отправить» | Теперь учётные данные могут быть известны тому, кто управляет страницей. Это самый приоритетный случай. | Смените этот пароль с устройства, которому доверяете, начиная с аккаунта, к которому он относится. |
| Вы ввели финансовые данные (карта, банк, платёжное приложение) | Эти данные могут быть использованы для мошенничества, даже если пароль аккаунта не изменился. | Свяжитесь с банком или эмитентом карты по номеру на карте или через его официальное приложение. |
| Вы скачали или открыли файл | Файл был сохранён или запущен. Это единственная строка, где всерьёз встаёт вопрос о вредоносном ПО. | Не открывайте его снова; выполните шаги для загрузок ниже. |
| Вы сделали несколько из перечисленного | Рассматривайте каждую строку отдельно; одно не отменяет другое. | Идите сверху вниз, начиная со строк про пароль и финансовые данные. |
Здесь важны два ограничения. Клик не доказывает компрометацию, а чистая проверка не доказывает безопасность. Проверки ищут то, что умеют находить; они не подтверждают, что ничего не произошло. Воспринимайте «антивирус сказал, что всё в порядке» как один факт, а не как приговор.
Подтверждайте через канал, который выбрали вы, а не тот, что связался с вами
Само сообщение не может сказать, настоящее ли оно. FTC советует при сообщении с просьбой перейти по ссылке или открыть вложение самостоятельно связаться с компанией по известному настоящему номеру или через её сайт.
FTC советует при сообщении с просьбой перейти по ссылке или открыть вложение самостоятельно связаться с компанией по известному настоящему номеру или через её сайт. Источник
На практике: откройте сайт компании, набрав адрес самостоятельно или через её приложение, найдите там контакты поддержки или безопасности и спросите, было ли это сообщение от них. Не отвечайте на сообщение и не используйте номер телефона или ссылку из него. Если компания не может подтвердить сообщение, считайте его ненастоящим и действуйте по строкам о рисках выше.
Этот шаг также подскажет, что исправлять. Если компания подтвердит, что сообщение настоящее, возможно, достаточно просто войти как обычно. Если нет — строка про пароль становится срочной.
Разберитесь со скачанным файлом без догадок
Если вы сохранили или открыли файл, рекомендация FTC конкретна: обновите защитное ПО и запустите проверку.
При подозрении на вредоносную загрузку обновите защитное ПО и запустите проверку. Источник
Редакционный совет, а не правило из источника: сохраните файл, а не удаляйте его сразу, если он может понадобиться, чтобы показать его банку, работодателю или компании, от имени которой действовали мошенники. Переместите его в папку, которую вы случайно не откроете. Не запускайте его снова, чтобы «проверить», был ли он проблемой.
Результат проверки — это отправная точка. Если устройство начинает вести себя необычно — новые запросы на вход, незнакомые приложения, настройки браузера, которые вы не меняли, — считайте это отдельным сигналом и обратитесь за помощью, а не запускайте ту же проверку снова.
Если вы сообщили личные или финансовые данные
Тем, кто раскрыл личные или финансовые данные, FTC указывает на IdentityTheft.gov, где есть следующие шаги в зависимости от того, что было утрачено.
Если были раскрыты личные или финансовые данные, IdentityTheft.gov предлагает следующие шаги в зависимости от утраченной информации. Источник
Это важно, потому что путь восстановления зависит от того, что было раскрыто. Номер карты, вход в банк и номер удостоверения личности ведут к разным действиям. Прежде чем что-либо подавать, заполните таблицу, чтобы точно перечислить, что вы отправили.
По финансовым данным свяжитесь с банком или эмитентом карты напрямую. По паролям аккаунтов меняйте их с доверенного устройства и проверяйте недавнюю активность аккаунта и настройки восстановления. Если тот же пароль использовался где-то ещё, смените его и там — но делайте это после того, как защитили аккаунт, данные которого вы действительно отправили, чтобы не оказаться сразу с несколькими заблокированными аккаунтами.
Сохраните способ восстановления, который контролируете вы
Когда вы меняете пароль, платформа обычно предлагает обновить данные для восстановления. Оставьте хотя бы один способ восстановления, к которому у вас действительно есть доступ, — номер телефона, приложение-аутентификатор или почтовый ящик, который вы контролируете. Не заменяйте данные для восстановления одноразовым адресом, в который вы не сможете вернуться, и не удаляйте существующие способы восстановления, пока не убедитесь, что новые работают.
Если вы решите закрыть аккаунт, который был раскрыт, сначала завершите закрытие и только потом удаляйте привязанные к нему способы восстановления. Удаление входа или очистка профиля сами по себе не доказывают, что сохранённые данные исчезли.
Решите, что делать дальше
Используйте этот список по порядку. Останавливайтесь, когда строка к вам не относится.
- Таблица заполнена? Каждая строка отмечена «да», «нет» или «не уверен».
- Пароль отправлен? Смените его на настоящем сайте с доверенного устройства, затем проверьте недавнюю активность и настройки восстановления.
- Финансовые данные отправлены? Позвоните в банк или эмитенту карты по номеру, который вы нашли сами.
- Файл скачан или открыт? Обновите защитное ПО, запустите проверку и сохраните файл для справки, не открывая его снова.
- Личные данные раскрыты? Посмотрите на IdentityTheft.gov, какие шаги предусмотрены для утраченной информации.
- Сообщение всё ещё не подтверждено? Свяжитесь с компанией через канал, который выбрали вы, и спросите, настоящее ли оно.
- Восстановление в порядке? Хотя бы один способ восстановления, который вы контролируете, подтверждённо работает.
Если в сообщении утверждалось, что оно от службы поддержки или проверки социальной платформы, логика та же, а следующий шаг — проверить, как эта платформа на самом деле связывается с пользователями: проверка поддельных аккаунтов поддержки в социальных сетях.
Чего делать не стоит: платить кому-либо, кто связывается с вами и предлагает «убрать» компрометацию, отправлять скриншот кодов восстановления или повторно вводить те же данные на второй странице, чтобы «проверить» первую. Ни один из этих шагов не подкреплён рекомендациями выше, и каждый создаёт новый риск.
Что из этого следует
Цель — не доказать, что вы в безопасности. Цель — закрыть конкретный риск, который вы создали, и сохранить путь обратно в свои аккаунты. Клик без отправки данных обычно небольшая проблема. Отправленный пароль плюс повторно использованные учётные данные — проблема крупнее. Скачанный файл — отдельный вопрос, на который проверка может дать подсказку, но не окончательный ответ.
Если вы не уверены, к какой строке относитесь, считайте, что к более серьёзной, пока не проверите. Это не паникёрство; это самый дешёвый способ не обнаружить проблему позже.