Фишинг

Фишинг для владельца сайта опаснее, чем для обычного пользователя: у вас крадут не пароль от почты, а рабочий инструмент, который приносит заявки. Одно письмо «от хостинга» с просьбой срочно подтвердить данные — и через сутки на сайте чужие страницы, редиректы на казино и падение из выдачи, которое потом лечится месяцами. За годы работы с чужими проектами я видел этот сценарий десятки раз, и почти всегда он начинался не со взлома, а с добровольно введённого пароля.

Здесь собрано то, что касается именно сайтов: как выглядят письма и страницы, рассчитанные на администратора, что делают с угнанным доступом, по каким признакам понять, что ресурс уже используют втёмную, и какие настройки закрывают большую часть рисков за один вечер.

Почему сайт — привлекательная добыча

Обычный пользователь интересен мошеннику один раз: увели деньги с карты — и всё. Сайт интересен постоянно, потому что он приносит доход месяцами, пока владелец не заметил проблему. Ценность вашего домена для злоумышленника складывается из нескольких вещей сразу.

• Возраст домена и накопленное доверие поисковиков — на таком ресурсе размещают ссылки и дорвеи, которые с нового домена не сработали бы.
• Живой трафик — посетителей можно перенаправлять на партнёрские страницы, и часть из них дойдёт до оплаты.
• Технические ресурсы хостинга — сервер используют для рассылки спама или как звено в чужой схеме.
• Клиентская база — заявки, телефоны, переписка в CRM, привязанная к сайту.
• Сам домен как имущество — его переоформляют на другого владельца и продают.

Отсюда простой вывод: доступ к панели управления сайтом стоит защищать так же, как доступ к расчётному счёту. Пароль вида «имя компании плюс год» здесь неуместен ровно по тем же причинам.

Приёмы, рассчитанные на администратора сайта

Массовые рассылки «вы выиграли миллион» владельцы сайтов давно фильтруют автоматически. Работают другие письма — те, что выглядят как рутинная рабочая переписка и попадают в момент, когда вы действительно чего-то ждёте от подрядчика или сервиса.

Легенда письма	Что просят сделать	Что выдаёт подделку
Хостинг: «превышена нагрузка, аккаунт будет заблокирован через 24 часа»	Войти в панель по ссылке и подтвердить тариф	Домен ссылки похож на настоящий, но с лишней буквой или другой зоной
Регистратор: «домен не продлён, освободится через двое суток»	Оплатить продление по прямой ссылке	Реальная дата окончания домена в вашем личном кабинете другая
Поисковый сервис: «на сайте обнаружены нарушения, требуется подтверждение прав»	Ввести логин и пароль от аккаунта	Настоящие сервисы не просят пароль по почте и не шлют формы входа в письме
Правообладатель: «вы используете нашу фотографию, вот претензия»	Открыть архив или документ с «доказательствами»	Вложение в виде исполняемого файла или архива с паролем в теле письма
Рекламная площадка: «ваш платёж не прошёл, объявления остановлены»	Заново привязать карту	Просьба ввести CVV и срок действия на странице, не относящейся к платёжному шлюзу
Коллега или подрядчик: «глянь макет, он в облаке»	Войти в почтовый аккаунт, чтобы «получить доступ к файлу»	Почтовый ящик отправителя отличается одним символом от привычного

Общее у всех этих писем одно: искусственный дефицит времени. Мошеннику нужно, чтобы вы не успели переспросить у подрядчика, сверить домен и зайти в панель управления обычным путём. Отсюда и «через 24 часа», и «до конца дня», и «иначе сайт удалят».

Домены-двойники: как читать адрес ссылки

Основной инструмент фишера — адрес, который мозг достраивает до знакомого. Человек читает не посимвольно, а узнаёт форму слова целиком, и подмена одной буквы проходит незамеченной. Приёмов немного, и их полезно один раз запомнить.

Приём	Как выглядит	Проверка
Подмена похожего символа	Единица вместо строчной «l», ноль вместо «o», «rn» вместо «m»	Прочитать домен по буквам, вслух
Смена доменной зоны	Знакомое имя, но зона не та, что у настоящего сервиса	Сверить с адресом из закладок, а не из письма
Настоящее имя в поддомене	Имя известного сервиса стоит слева, а реальный домен — справа, перед первым слешем	Читать адрес справа налево до первого слеша
Длинный «хвост» в пути	Адрес забит правдоподобными словами, чтобы отодвинуть настоящий домен за край строки	Скопировать ссылку в текстовый редактор и посмотреть целиком
Подмена текста ссылки	В письме написан один адрес, а ведёт он на другой	Навести курсор и посмотреть адрес в строке состояния

Замок в адресной строке давно не показатель безопасности: сертификат выдаётся бесплатно и за пару минут, поэтому у фишинговых страниц он есть почти всегда. Единственное, что подтверждает замок, — соединение не читают по дороге. О том, кому принадлежит страница, он не говорит ничего.

Подробнее об этом — в статье «Всплывающее окно на весь экран: Яндекс за него понижает, а вы теряете людей».

Практическое правило, которое экономит массу нервов: в панель хостинга, в почту, в кабинет регистратора и в аналитику вы заходите только из своих закладок или набирая адрес руками. Ни одна ссылка из письма не ведёт вас туда, где вводится пароль. Если письмо про реальную проблему, вы увидите ту же информацию, зайдя обычным путём.

Что делают с угнанным доступом к сайту

Помогу с продвижением: SEO-продвижение сайтов — вывожу сайты в топ Яндекса белыми методами.

Здесь начинается та часть, из-за которой фишинг попадает в блог о продвижении. Взломанный сайт редко ломают демонстративно — гораздо выгоднее, чтобы владелец ничего не заметил как можно дольше.

Если интересно направление с сайтами — базу даю в своём курсе:

8:14

1. Скрытые ссылки. В шаблон или в старые записи добавляют ссылки на чужие ресурсы, часто оформленные так, что их не видно глазом. Работают они месяцами и утекают в поисковый индекс.
2. Дорвейные разделы. На домене поднимают сотни сгенерированных страниц в чужой тематике. Индекс раздувается, тематика сайта в глазах поисковика размывается.
3. Редиректы по условию. Настоящий сайт видят администратор и робот, а посетитель с мобильного или с поиска попадает на стороннюю страницу. Владелец заходит по закладке и видит, что всё в порядке.
4. Клон вашего сайта на чужом домене. Копия витрины с подменёнными реквизитами: заказы принимает мошенник, претензии получаете вы.
5. Рассылка с вашего домена. Спам уходит от вашего имени, домен попадает в почтовые чёрные списки, и потом даже уведомления о заказах перестают доходить до клиентов.

Последствия для продвижения одинаковые во всех случаях: поисковые системы фиксируют вредоносный или чужеродный контент, сайт помечается как заражённый, позиции проваливаются. Снятие пометки после чистки занимает не один день, а вернуть прежние позиции обычно дольше, чем занял сам взлом.

Как понять, что сайт уже используют втёмную

Регулярная проверка занимает минут пятнадцать в месяц и обнаруживает почти все типовые сценарии. Смотреть нужно не на главную страницу, а на то, что видит поисковик и посетитель со стороны.

• Количество страниц в индексе. Резкий рост на сотни и тысячи адресов при том, что вы ничего не публиковали, — самый громкий сигнал.
• Список проиндексированных адресов в панели вебмастера: пролистайте страницы, которых вы не создавали.
• Внешние ссылки с вашего сайта: сравните текущий список с тем, что вы ставили осознанно.
• Дата изменения файлов на хостинге. Файлы движка, изменённые в ночь на вторник, когда вы ничего не трогали, требуют объяснения.
• Список пользователей в админке: лишние учётные записи с правами администратора.
• Поведение сайта при переходе из поиска с мобильного устройства, а не по прямому адресу.
• Письма с жалобами на спам от вашего домена и рост отказов в почтовых отчётах.
• Уведомления о проблемах безопасности в панелях вебмастера обеих поисковых систем.

Отдельно проверьте, не появился ли клон вашего сайта. Возьмите точную фразу из описания услуг, поставьте её в кавычки и поищите: копии обычно берут текст целиком, не переписывая.

Тему разбирал отдельно: «Хлебные крошки — это не украшение, а карта сайта для робота Яндекса».

Защита: что настраивается один раз

Большинство успешных атак проходит не через дыры в коде, а через пароли и человеческую спешку. Соответственно, и защита начинается не с плагинов.

Мера	Что закрывает	Сложность
Двухфакторная подтверждение входа в почту, хостинг, регистратор, админку	Украденный пароль сам по себе перестаёт работать	Полчаса на все аккаунты
Менеджер паролей с уникальным паролем на каждый сервис	Утечка на одном сайте не открывает остальные	Вечер на первичное заполнение
Запрет на смену владельца домена без подтверждения	Угон домена через кабинет регистратора	Одна галочка
Отдельные учётные записи для подрядчиков с минимальными правами	Уход исполнителя не требует смены всех паролей	По мере подключения людей
Резервные копии на внешнем хранилище, а не только у хостера	Быстрый откат вместо ручной чистки	Настройка расписания
Обновление движка и расширений по графику	Автоматические атаки по известным уязвимостям	Раз в месяц по календарю
Почтовые записи домена, подтверждающие отправителя	Рассылка писем от вашего имени	Три записи в настройках домена

Двухфакторное подтверждение стоит первым пунктом не случайно. Оно превращает украденный пароль в бесполезную строку и обесценивает сам фишинг: злоумышленник получает то, что не работает. Все остальные меры важны, но именно эта закрывает основной сценарий целиком.

Защита людей, а не только техники

В компании, где сайтом занимаются несколько человек, слабое звено — договорённости. Их полезно зафиксировать письменно и повесить рядом с рабочим местом, пока они не станут привычкой.

• Пароли не передаются в мессенджерах и почте — только через менеджер паролей или разовые ссылки с истечением срока.
• Любая просьба «срочно оплатить» или «срочно войти» подтверждается вторым каналом связи: звонком по номеру из договора, а не из письма.
• Реквизиты для оплаты сверяются с договором, даже если письмо пришло из знакомой переписки.
• Доступы уволившегося сотрудника отзываются в тот же день, а не «когда дойдут руки».
• Рабочие сервисы не открываются из публичных сетей без защищённого подключения.
• Файл с паролями в облачном документе — запрещённая практика без исключений.

Отдельный пункт про подрядчиков. Когда SEO-специалист, программист и дизайнер работают под одной общей учётной записью администратора, вы теряете и безопасность, и возможность понять, кто что менял. Отдельная учётная запись каждому — это ещё и журнал действий, который однажды сэкономит вам день разбирательств.

Порядок действий, если доступ уже увели

Если нужна помощь по теме — обучение SEO-продвижению.

Скорость здесь важнее аккуратности: чем дольше чужой имеет доступ, тем глубже он закрепляется. Последовательность такая.

Смежный материал по теме — «Как заблокировать накрутку поведенческих через .htaccess: реальный кейс, 6 подсетей и −95% ботов за час».

1. Сменить пароль почты, к которой привязаны все остальные сервисы. Она первая, потому что через восстановление пароля почта открывает всё прочее.
2. Сменить пароли хостинга, панели управления сайтом, базы данных и учётной записи регистратора домена.
3. Завершить все активные сессии во всех сервисах, где такая кнопка есть, — смена пароля не всегда выкидывает уже вошедшего.
4. Проверить список пользователей админки и удалить незнакомые, особенно с правами администратора.
5. Просмотреть, не настроена ли в почте пересылка на посторонний адрес и правила, скрывающие уведомления, — это типовой способ остаться в системе после смены пароля.
6. Сравнить файлы сайта с резервной копией и восстановиться из той, что заведомо чистая. Копия, снятая вчера, может уже содержать закладку.
7. Обновить движок и все расширения, удалить те, которыми не пользуетесь.
8. Проверить сайт на вредоносный код инструментами хостинга и панелей вебмастера, отправить запрос на перепроверку после чистки.
9. Если утекли данные клиентов — предупредить их прямо, не дожидаясь, пока они узнают сами.
10. Проследить индекс в течение месяца: мусорные страницы нужно убрать из выдачи, а не только с сервера.

Пункт про резервную копию требует внимания. Взлом обычно обнаруживается не сразу, поэтому берите копию, датированную заведомо раньше первых подозрительных признаков, а свежие материалы переносите вручную. Иначе восстановление вернёт вместе с сайтом и закладку.

Когда фишинг маскируется под ваш сайт

Обратная ситуация встречается реже, но бьёт по репутации сильнее: под вашим именем работает чужая страница. Клиент оплачивает заказ мошеннику, а претензии приносит вам, потому что бренд на странице ваш.

Что помогает раньше заметить и быстрее прекратить:

• Периодический поиск точных фраз с вашего сайта и названия компании вместе со словами «официальный сайт».
• Регистрация похожих доменов в основных зонах, если бюджет позволяет, — самые очевидные варианты просто не достанутся другим.
• Жалоба хостеру клона и регистратору домена: у обоих есть процедура для случаев с чужим брендом, и работает она быстрее судебной.
• Заметное уведомление на своём сайте с перечнем настоящих адресов и реквизитов, если случай уже был.
• Проверка того, что ваши собственные письма клиентам не выглядят как фишинг: без сокращённых ссылок, с адресом отправителя на вашем домене, без просьб ввести пароль.

Частые вопросы

Может ли фишинг навредить позициям, если пароль украли, но на сайте ничего не менялось? Напрямую нет. Но узнать наверняка, что ничего не менялось, можно только после сверки файлов и базы с чистой копией. Скрытые ссылки и условные редиректы как раз и рассчитаны на то, чтобы владелец решил, будто всё в порядке.

Достаточно ли антивируса на компьютере? Он закрывает часть сценариев с вложениями, но не помогает, когда вы своими руками вводите пароль на поддельной странице. Против этого работают только двухфакторное подтверждение и привычка не ходить в панели по ссылкам из писем.

Сообщения в мессенджерах опаснее почты? Сейчас — да, и по двум причинам: ссылка там показывается коротким текстом, а сообщение от знакомого контакта вызывает больше доверия. Взломанный аккаунт коллеги, который «скидывает документ», обходит любую почтовую фильтрацию.

Нужен ли платный сканер безопасности небольшому сайту? На старте достаточно бесплатных инструментов: уведомления панелей вебмастера, проверка хостинга, ручной осмотр индекса и списка пользователей. Платные решения имеют смысл, когда через сайт идут деньги и простой стоит дороже подписки.

Что делать, если пароль от админки вводили на подозрительной странице, но признаков взлома нет? Действовать так, будто он уже украден: сменить его и связанные пароли, завершить сессии, включить второй фактор, проверить список пользователей. Это дешевле, чем разбирать последствия через месяц.

Коротко

• Фишинг против владельца сайта нацелен не на деньги напрямую, а на доступы: почту, хостинг, регистратора домена и админку — через них монетизируется всё остальное.
• Письма-приманки маскируются под рабочую рутину и всегда торопят; проверка одна — заходить в панели только по своим закладкам и подтверждать срочные просьбы вторым каналом связи.
• Замок в адресной строке не подтверждает подлинность сайта, а адрес нужно читать справа налево до первого слеша.
• Угнанный сайт чаще используют тихо: скрытые ссылки, дорвейные разделы, редиректы по условию — поэтому смотреть надо на индекс и на вид сайта со стороны, а не на главную из закладки.
• Двухфакторное подтверждение обесценивает украденный пароль и закрывает основной сценарий атаки; всё остальное — резервные копии, обновления, отдельные учётки — дополняет его.
• При подозрении на компрометацию порядок жёсткий: почта, потом хостинг и домен, завершение сессий, проверка пользователей и правил пересылки, откат на заведомо чистую копию.

Если сайт уже пострадал и непонятно, что чинить в первую очередь — восстановление файлов, чистку индекса или возврат позиций, приходите на SEO-консультацию: разберём состояние сайта и составим порядок работ, чтобы не тратить время на второстепенное.