Фишинговый сайт под ваш бренд: как мошенники копируют компанию и что делать, если клиенты уже пострадали

Фишинговый сайт под ваш бренд обычно обнаруживается не вами, а клиентом: он звонит и спрашивает, почему оплаченный заказ так и не пришёл, хотя «на сайте всё было как у вас». Логотип ваш, фотографии ваши, тексты слово в слово, только адрес отличается одной буквой, а реквизиты для оплаты принадлежат неизвестно кому. В этот момент у владельца два вопроса: как снять подделку и что сказать людям, которые уже перевели деньги. Ниже — порядок действий, который опирается на официальные правила доменных зон .RU и .РФ и справку Яндекса, таблица «шаг → куда → что приложить» и то, что стоит сделать заранее, пока копии ещё нет.

Сразу честная оговорка. Я не специалист по информационной безопасности и не юрист. С 2005 года я продвигаю и сопровождаю сайты, и копии клиентских проектов, взломы и спам-страницы в индексе проходили через мои руки не раз. Поэтому здесь — практика владельца бизнеса, а там, где нужен следователь или юрист, я прямо об этом скажу.

Как выглядит подделка глазами клиента

Всё, что делает ваш бизнес узнаваемым, уже лежит в открытом доступе, поэтому клиент на копии видит знакомую картину. Признаки, по которым подделку можно распознать:

• Похожий адрес. Лишняя или пропущенная буква, дефис, другая доменная зона, слово «official», «shop» или название города в домене. В справке Яндекса о мошенничестве приводится характерный пример такой подмены — yanclex.ru вместо yandex.ru.
• Скопированный дизайн и тексты. Часто копия грубее оригинала: съехавшая вёрстка, битые ссылки в меню, разделы, которые никуда не ведут.
• Цены заметно ниже ваших. Скидка «только сегодня», акция с таймером, «последние остатки со склада».
• Другие контакты. Телефон не ваш, вместо формы заявки — ссылка на мессенджер, а адрес офиса либо отсутствует, либо ваш, но без телефона.
• Оплата переводом на карту частного лица или по ссылке на непонятную платёжную страницу, где просят ввести данные карты.
• Реклама по вашему названию. Клиент ищет компанию по имени и кликает первое, что увидел, — а это объявление копии.

Яндекс описывает такое поведение как отдельный вид нарушения — «Мимикрия»: сайт копирует внешний вид или функциональные возможности другого популярного или официального ресурса, в том числе через похожее доменное имя, иконку, логотип, заголовки и контент. В справке Вебмастера о мимикрии прямо сказано, что такие сайты вводят пользователей в заблуждение и наносят репутационный и финансовый ущерб владельцам официальных ресурсов. То есть проблема признаётся на уровне поисковой системы, и вы не одиноки со своей бедой.

Отдельно отмечу разницу с похожей историей, когда мошенники не строят копию сайта, а выдают себя за вас на площадках фриланса и в соцсетях, показывая ваши работы. Этот сценарий я подробно разбирал в статье мошенники продают ваши кейсы от вашего имени. Здесь же речь именно о сайте-двойнике, который принимает деньги.

Как узнать, что копия уже существует

Идеального мониторинга для малого бизнеса нет, но несколько простых привычек ловят подделку за дни, а не за месяцы.

Поиск по собственному названию. Раз в неделю вбивайте в Яндекс название компании, название плюс город, название плюс «официальный сайт» и «купить». Смотрите не только органическую выдачу, но и рекламные блоки. Если в выдаче появился незнакомый адрес с вашим логотипом в описании — это повод открыть его немедленно, но ничего там не вводить.

Поиск по уникальной фразе. Возьмите кусок текста с вашей страницы «О компании» или необычную формулировку из описания услуги и поищите её в кавычках. Копии часто переносят тексты целиком.

Вопросы клиентов. Самый надёжный датчик. Научите менеджеров не отмахиваться от странных звонков: «я оплатил, где заказ», «у вас другой номер на сайте», «почему вы просите перевод на карту». Каждый такой звонок нужно записать: дата, что человек видел, по какому адресу заходил.

Похожие домены. Проверьте, не заняты ли очевидные опечатки вашего адреса. Сервис WHOIS+ на сайте Координационного центра доменов показывает по домену в зонах .RU и .РФ регистратора, дату регистрации и, если администратор — юрлицо, его наименование и ИНН. Молодой домен, зарегистрированный на неизвестное лицо, с вашим названием в имени — тревожный сигнал.

Первые часы: сначала доказательства, потом жалобы

Самая частая ошибка — сразу бросаться писать всем подряд. Поддельный сайт может исчезнуть через день и появиться по другому адресу, а у вас не останется ничего, кроме пересказа. Поэтому первый шаг — зафиксировать.

1. Сделайте скриншоты главной, страницы товара или услуги, контактов и страницы оплаты. На скриншоте должны быть видны адресная строка, дата и время.
2. Сохраните полные адреса страниц текстом — в отдельный файл.
3. Если копия пришла через рекламу — сохраните скриншот объявления и запрос, по которому оно показалось.
4. Выгрузите данные WHOIS по домену: регистратор, дата регистрации.
5. Соберите обращения клиентов: кто, когда, сколько перевёл, на какие реквизиты. Попросите пострадавших сохранить чеки и переписку.
6. Подготовьте документы о своих правах: свидетельство на товарный знак, если есть, дату регистрации вашего домена, подтверждение, что тексты и фото созданы для вас.

Не пытайтесь «проверить» мошенников: не вводите на копии данные карты, не звоните по их номерам от имени компании, не переводите тестовые платежи. Для фиксации достаточно просмотра. Всё, что сверх этого, — работа полиции.

Кто может остановить домен в зонах .RU и .РФ

Здесь многих ждёт неожиданность: регистратор не удалит домен по вашему письму «это мошенники». На сайте Координационного центра доменов .RU/.РФ в разъяснениях к пункту 5.7 Правил регистрации сказано, что ни сам Координационный центр, ни аккредитованные регистраторы не наделены полномочиями определять, используется ли домен для незаконной деятельности. Ответственность за домен несёт его администратор.

Остановить работу домена без согласия администратора можно двумя официальными путями.

Через компетентную организацию. По пункту 5.7 регистратор вправе прекратить делегирование, если получил мотивированное обращение организации, которую Координатор признал компетентной, и в обращении есть сведения, что сайт применяется для фишинга — получения конфиденциальных сведений за счёт введения людей в заблуждение относительно принадлежности сайта из-за сходства доменного имени, оформления или содержания. Перечень компетентных организаций опубликован на сайте Координационного центра, у многих из них есть горячие линии. На странице сервиса WHOIS+ Координационный центр прямо рекомендует при обнаружении подозрительного сайта обращаться с жалобой в одну из компетентных организаций. Если копия маскируется под банк или платёжный сервис, в перечне есть и Банк России.

Через правоохранительные органы. Проект Координационного центра «Доменный патруль» в разделе советов по безопасности описывает порядок для мошеннического сайта, подпадающего под признаки нарушения УК РФ: сначала заявление в правоохранительные органы, которые вправе провести проверку и вынести письменное решение о прекращении делегирования; затем через WHOIS+ определяется регистратор, которому направляется копия этого решения. Помочь с подготовкой заявления, по словам «Доменного патруля», может ресурс МВД для приёма обращений.

Отдельно — хостинг. В справке Координационного центра о доменах и товарных знаках указано: если нарушение выражено в размещении на сайте информации, на которую у вас есть авторские права, претензии направляются хостинг-провайдеру этого сайта, а если нарушение связано с самим доменным именем — его администратору. Споры о доменах, похожих на товарный знак, в России решаются в суде: альтернативных процедур, по данным той же справки, пока нет. Для доменов в других зонах порядок свой, его определяют правила конкретного регистратора.

Что можно сделать в Яндексе

Поиск. В справке Яндекс Поиска есть страница «Пожаловаться на спам или вирусы» с формой обращения. Опишите, что сайт выдаёт себя за вашу компанию, приложите адреса и суть обмана. Решение принимает Яндекс, сроков и результата никто не обещает, но это официальный канал.

Реклама. Если копия продвигается через Директ, справка Директа «Жалобы и претензии на объявления» разделяет случаи. Когда нарушены права на интеллектуальную собственность и вы правообладатель, предусмотрена отдельная форма. Когда объявление, по вашему мнению, не соответствует закону, можно обратиться в ФАС. При этом Яндекс оговаривает, что расследование правонарушений и признание виновности третьих лиц не входит в его компетенцию — это задача правоохранительных органов и суда.

Свой сайт в Вебмастере. Убедитесь, что ваш сайт подтверждён в Вебмастере и там нет пометок о нарушениях: иногда двойник появляется после взлома оригинала. О том, как искать такие следы, я писал в материале о фишинге против владельцев сайтов.

Как предупредить клиентов и не потерять доверие

Молчать нельзя. Люди, которых обманули от вашего имени, всё равно напишут отзыв — и напишут его про вас. Спокойное официальное предупреждение, наоборот, показывает, что компания держит ситуацию под контролем.

• Плашка на сайте. Короткий текст вверху страниц: «Наш единственный сайт — такой-то адрес. Мы не принимаем оплату переводом на карты частных лиц. Если вам предлагают иное — позвоните нам по номеру…». Без паники и без адреса подделки, чтобы не давать ей лишних переходов.
• Карточка организации и соцсети. Проверьте, что везде указаны только настоящие телефон и сайт, и опубликуйте то же предупреждение там, где площадка это позволяет.
• Скрипт для менеджеров. Как отвечать пострадавшему: посочувствовать, объяснить, что это не ваш сайт, попросить сохранить чек и переписку и посоветовать сразу обратиться в свой банк и в полицию.
• Рассылка действующим клиентам, если подделка активно рекламируется: коротко, с настоящими контактами и способами оплаты.

Возвращать чужие деньги вы не обязаны, но то, как вы разговариваете с пострадавшими, клиенты запомнят надолго. Если после истории с копией в выдаче по названию компании поднялись негативные отзывы, пригодится статья о том, сколько клиентов стоит негативный отзыв на первой странице по бренду.

Условный пример, чтобы оценить масштаб. Допустим, по названию компании вас ищут 600 человек в месяц, и за две недели, пока копия висела в рекламе, на неё ушла пятая часть этих людей. Это около 60 потенциальных клиентов, часть из которых потеряла деньги и теперь связывает обман с вашим именем. Цифры здесь придуманы для иллюстрации, ваши считайте по Метрике и статистике запросов.

План действий: шаг, адресат, документы

Шаг	Куда	Что приложить
1. Зафиксировать подделку	Внутренняя папка с датой	Скриншоты с адресной строкой, список адресов, скриншоты рекламы, данные WHOIS
2. Собрать обращения клиентов	Там же	Даты, суммы, реквизиты, куда переводили, чеки и переписка
3. Заявление	Полиция	Всё из шагов 1–2, документы о правах на бренд и домен
4. Сообщить о фишинге	Компетентная организация из перечня Координационного центра	Адрес сайта, описание, в чём сходство с вашим сайтом, скриншоты
5. Определить регистратора	Сервис WHOIS+ (для .RU и .РФ)	Имя домена
6. Направить решение	Регистратор копии	Копия письменного решения правоохранительных органов
7. Претензия по контенту	Хостинг-провайдер копии	Доказательства ваших прав на тексты и фото, ссылки на страницы
8. Жалобы в Яндекс	Форма «Пожаловаться на спам или вирусы», жалобы на объявления в Директе	Адреса, описание обмана, для рекламы — документы правообладателя
9. Предупредить клиентов	Сайт, карточка организации, соцсети, рассылка	Текст с настоящими контактами и способами оплаты

Шаги 3 и 4 можно делать параллельно, не дожидаясь друг друга. Шаг 9 — в первый же день.

Как защитить бренд заранее

Полностью исключить копирование невозможно, но можно сделать подделку заметнее, а жизнь мошенника — короче.

Одни и те же официальные контакты везде. Сайт, карточки на картах, соцсети, счета и договоры — один телефон, один адрес сайта, одна почта на вашем домене. Когда контакты едины, клиенту проще заметить чужой номер.

Явное правило оплаты. Напишите на сайте и в договоре, как именно вы принимаете деньги. Фраза «мы никогда не просим перевести на карту частного лица» спасает людей лучше любого технического решения.

Домены-опечатки. Зарегистрируйте самые очевидные варианты своего адреса и настройте с них переадресацию на основной сайт. Все варианты не выкупить, но самые напрашивающиеся — стоит.

Товарный знак. Регистрация знака не мешает мошенникам физически, но сильно упрощает претензии хостингу, рекламной площадке и спор в суде. Координационный центр предлагает сервис проверки товарных знаков, сходных с доменным именем.

Сильная выдача по названию. Когда по брендовому запросу первые строки занимают ваш сайт, карточка, отзывы и публикации о компании, копии сложнее пробиться наверх. Как работать с такими запросами, я разбирал в статье про брендовый трафик.

Доступы к собственному сайту. Сложные пароли, защита входа в личный кабинет регистратора, почта в данных домена, доступ к которой есть только у вас, автопродление — всё это есть в рекомендациях «Доменного патруля». Копию иногда делают из вашего же угнанного аккаунта.

Когда без юриста и специалиста не обойтись

• Пострадавших много или суммы крупные — нужен юрист, который выстроит позицию компании и поможет с заявлением.
• Есть подозрение, что копию сделали из ваших же исходников или через взлом вашего хостинга, — нужен специалист по информационной безопасности и поддержка хостера.
• Подделка расположена в иностранной доменной зоне или на зарубежном хостинге — порядок жалоб другой, и самостоятельно в нём легко потерять недели.

Частые вопросы

Можно ли написать регистратору напрямую и попросить удалить домен?

Написать можно, но по разъяснениям Координационного центра регистратор не определяет, законно ли используется домен. Прекратить делегирование в зонах .RU и .РФ он вправе по мотивированному обращению компетентной организации о фишинге или по письменному решению правоохранительных органов.

Сколько времени занимает блокировка подделки?

Официальных сроков для всей цепочки нет: они зависят от скорости проверки в полиции, компетентной организации и реакции регистратора и хостинга. Поэтому предупреждение клиентов нельзя откладывать до момента, когда сайт исчезнет.

Клиент перевёл деньги мошенникам. Мы что-то должны?

Это вопрос для юриста в каждом конкретном случае. Практически же стоит сразу направить человека в его банк и в полицию и сохранить все его обращения к вам — они пригодятся для вашего собственного заявления.

Коротко

Подделку выдают похожий адрес, скопированный дизайн, цены ниже ваших, чужие контакты и оплата переводом на карту. Яндекс описывает такие сайты как мимикрию.

Сначала фиксируете всё: скриншоты с адресной строкой, адреса, данные WHOIS, обращения клиентов. Только потом жалобы.

В зонах .RU и .РФ регистратор останавливает домен по обращению компетентной организации о фишинге или по решению правоохранительных органов, а не по письму владельца бренда.

Претензии к скопированному контенту — хостингу копии, в Яндекс — через форму жалобы на спам и через жалобы на объявления в Директе.

Клиентов предупреждаете в первый же день: единственный адрес сайта, настоящие контакты, правила оплаты.

Заранее: единые контакты, домены-опечатки, товарный знак, защищённые доступы и сильная выдача по названию.

Сайт, домен, рекламный кабинет и карточка компании — такие же активы бизнеса, как склад или касса: пока ими пользуются мошенники, вы теряете заявки и доверие. Если хотите понять, насколько уязвимы ваши, на консультации я проверю доступы и уязвимые места сайта и рекламных кабинетов и покажу, что закрыть в первую очередь. А продвижение бренда в Яндексе помогает, чтобы по вашему названию клиент находил вас, а не двойника; технические доработки после инцидента можно заказать через доработку сайта.

Если у вас или ваших клиентов уже украли деньги или данные, обращайтесь в полицию и в банк сразу, не дожидаясь блокировки сайта. При сомнениях в правовой стороне вопроса — к юристу, в технических — к специалисту по информационной безопасности.