Фишинг: если ввели данные карты на поддельном сайте

Пять каналов фишинга: где вас поймают вероятнее всего

Поддельные сайты банков чаще всего попадаются не в письмах, а в поиске: мошенники покупают рекламу по запросам вроде «сбербанк онлайн вход» или «втб личный кабинет», и подделка оказывается в выдаче выше настоящего сайта. Дизайн копируют пиксель в пиксель, отличается только домен — что-нибудь вроде sber-online.site вместо sberbank.ru. Введённые логин и пароль мгновенно уходят злоумышленникам, а иногда страница тут же просит «подтвердить вход» кодом из СМС — это и есть момент кражи. Правило простое: в личный кабинет банка заходите только из приложения или по закладке, которую сделали сами, а не по первой строчке поисковой выдачи.

Схема «оплата доставки» на Авито начинается с покупателя, который очень хочет ваш товар, но просит перейти в WhatsApp или Telegram — потому что внутри Авито мошеннические ссылки блокируются автоматически. В мессенджер приходит ссылка на страницу «Авито Доставки», где продавцу якобы нужно «получить деньги», введя полные данные карты, включая CVV. Настоящей Авито Доставке ничего вводить не нужно: деньги за проданный товар приходят сами после того, как покупатель его забрал. Любая просьба «получить перевод» через ввод данных карты — это кража, других вариантов не бывает.

QR-фишинг — самый молодой канал: поддельные коды клеят поверх настоящих на парковках, самокатах, в подъездных объявлениях о «задолженности за домофон». Смартфон честно открывает ссылку, а там — страница оплаты, неотличимая от банковской. Спасает одна привычка: после сканирования смотреть, что именно открылось, до нажатия «оплатить». При оплате по QR через СБП приложение банка всегда показывает название получателя — если вместо «Городские парковки» там незнакомое физлицо или ИП, закрывайте окно. Если деньги всё же ушли, действуйте по инструкции про возврат перевода по СБП.

Письма «от налоговой» приходят волнами перед сроками уплаты: «задолженность», «недоимка», кнопка «оплатить со скидкой 50%». ФНС так не работает: официальные требования появляются в личном кабинете на nalog.gov.ru и на Госуслугах, а не в письме со ссылкой на оплату. Отдельная большая тема — фейковые страницы входа в сами Госуслуги: через ваш аккаунт мошенники получают паспортные данные и пробуют оформить займы. Этой схеме посвящён подробный разбор — от признаков подделки до восстановления доступа к учётной записи.

Как проверить сайт за 20 секунд

Первые десять секунд — на домен. Читайте адрес справа налево от первого одиночного слэша: настоящий владелец сайта — слово непосредственно перед зоной .ru или .com. У страницы sberbank.secure-login.ru владелец — secure-login.ru, и к Сбербанку он отношения не имеет: «sberbank» слева — просто украшение. Проверьте и сами буквы: мошенники заменяют латинскую l на заглавную I, букву o на ноль, регистрируют домены с дефисами вроде gosuslugi-vhod.ru. Если адрес пришёл в сообщении или письме — вообще не переходите по нему: наберите название сервиса руками или откройте своё приложение.

Вторые десять секунд — на возраст домена. Откройте любой whois-сервис (такие есть у Рег.ру, nic.ru и других регистраторов), вставьте домен и посмотрите дату регистрации. «Сайту банка», зарегистрированному на прошлой неделе, доверять нельзя: настоящим доменам банков и госсервисов — больше десяти лет. И забудьте миф про замочек в адресной строке: https означает лишь, что соединение зашифровано, а не что сайт настоящий. Сертификаты выдаются бесплатно и автоматически любому владельцу домена, поэтому замочек есть у большинства фишинговых страниц.

Есть и подсказки от поисковиков: в выдаче Яндекса рядом с официальными сайтами банков стоит специальная отметка, которую присваивают по данным реестра Банка России. У подделки такой отметки не будет, как бы высоко она ни поднялась за счёт рекламы. Но самый надёжный способ — не проверять каждый раз заново: один раз сохраните настоящие адреса банка, Госуслуг и налоговой в закладки и заходите только через них. Двадцать секунд проверки нужны для незнакомых сайтов; для сервисов, где лежат ваши деньги, должен работать маршрут, в котором проверять нечего.

Первый час: если ввели данные карты

Первые пять минут — блокировка. Откройте приложение банка, найдите карту, нажмите «Заблокировать» и сразу закажите перевыпуск: в большинстве крупных банков он бесплатный, а номер счёта не меняется — зарплата и переводы дойдут как обычно. Блокируются только реквизиты пластика, поэтому деньги на счёте остаются доступны вам через приложение и СБП. Если приложения под рукой нет, звоните по номеру с оборота карты или с официального сайта банка — ни в коем случае не по номеру из письма или с той страницы, где вы вводили данные.

Дальше проверьте операции за последний час: мошенники часто начинают с мелких списаний на 100–200 рублей, проверяя карту, и лишь потом выводят крупные суммы. Увидели чужую операцию — сразу сообщите банку, что она совершена без вашего согласия. По ст. 9 закона № 161-ФЗ критично сделать это не позднее дня, следующего за днём, когда банк уведомил вас об операции: опоздание формально лишает права на возмещение. Полный маршрут — заявление в банк, чарджбэк, полиция — расписан в инструкции «списали с карты».

Пока свежа память, зафиксируйте доказательства: скопируйте адрес фишинговой страницы текстом, сделайте скриншоты с видимой адресной строкой, сохраните письмо или СМС со ссылкой. Фишинговые сайты живут считаные дни — когда банк или полиция дойдут до проверки, домен уже будет заблокирован, и ваши скриншоты останутся единственным подтверждением того, что подделка существовала. Отдельно запишите точное время: когда перешли, когда ввели данные, когда пришли коды. Такая хронология превращает эмоциональный рассказ в доказуемую историю.

Первый час: если ввели пароль

Начните с почты, даже если пароль вводили не от неё. Почта — мастер-ключ: через кнопку «восстановить пароль» из неё открывается доступ к банкам, маркетплейсам и соцсетям. Смените пароль почты с заведомо чистого устройства, затем — пароль сервиса, который вводили на подделке, и везде, где этот же пароль повторялся. В настройках безопасности каждого сервиса нажмите «завершить все сессии» — это выбросит мошенника, если он уже успел войти. После этого включите двухфакторное подтверждение входа там, где его ещё нет: украденный пароль без второго фактора почти бесполезен.

Если утёк пароль от Госуслуг или онлайн-банка, думайте на шаг вперёд: главный риск — не сам аккаунт, а кредиты и займы, которые могут оформить от вашего имени. Проверьте кредитную историю: список бюро, где она хранится, приходит по запросу через Госуслуги, а отчёт в каждом бюро бесплатен дважды в год. Обнаружили займ, который не брали, — не откладывайте: чем раньше вы его оспорите, тем проще доказать непричастность и остановить просрочки. Пошаговый план на этот случай — в материале «на меня оформили кредит».

Проверьте и устройство, с которого попались: если перед вводом пароля вы что-то скачивали или ставили «приложение поддержки», в телефоне может работать троян, перехватывающий СМС и push-коды. Удалите незнакомые приложения, отзовите права «специальных возможностей» у всего подозрительного, обновите систему. На компьютере пересмотрите расширения браузера: вредоносные расширения умеют подменять страницы банков прямо в открытой вкладке. Менять пароли имеет смысл только после этой чистки — иначе новые утекут тем же путём, что и старые.

Куда жаловаться на сайт-подделку и зачем это делать

Жалоба на фишинговый сайт — не формальность: домены реально блокируют, и счёт идёт на дни. Сообщите в Банк России через форму обратной связи на cbr.ru — по инициативе регулятора ежегодно прекращается работа десятков тысяч мошеннических ресурсов, а Роскомнадзор только за 2025 год заблокировал больше 100 тысяч фишинговых сайтов. Параллельно напишите в компанию, чей бренд подделали: у банков и крупных сервисов есть выделенные каналы для таких сообщений, и они сами добиваются блокировки. Чем раньше сайт закроют, тем меньше людей повторят ваш сценарий.

Если вы потеряли деньги, к жалобам добавьте заявление в полицию: фишинг квалифицируется как мошенничество по ст. 159 УК РФ, а изготовление поддельных страниц платёжных сервисов может подпадать и под ст. 187 УК. Заявление обязаны принять в любом отделе полиции независимо от прописки, подать его можно и онлайн через сайт МВД. Талон-уведомление о регистрации заявления пригодится в споре с банком: он подтверждает, что вы действовали добросовестно и без промедления. Как составить заявление и что в нём писать — в инструкции про обращение в полицию.