Прислали документ, приглашение на встречу, ссылку на облако или страницу входа - и адрес вроде бы привычный. Но одного знакомого вида недостаточно, чтобы доверять ссылке. По сообщениям, у части российских пользователей бывают перебои с доступом к популярному сервису VirusTotal, и это лишний повод понять главное. Безопасность ссылки нельзя установить одной проверкой в одном сервисе, надежная оценка складывается из нескольких сигналов. Короткий алгоритм такой - посмотреть настоящий адрес, проверить домен, оценить репутацию и понять, что именно страница предлагает сделать.
Как проверить ссылку на безопасность до перехода
Главное правило - подозрительную ссылку не нужно открывать, чтобы узнать ее адрес. И на компьютере, и на телефоне настоящий адрес можно увидеть заранее, не переходя по нему, и уже по нему сделать первые выводы.
Как посмотреть, куда ведет ссылка
Видимый текст ссылки и ее фактический адрес - разные вещи, за словами «нажмите здесь» может скрываться любой сайт. На компьютере наведите курсор на ссылку и посмотрите адрес в нижнем углу браузера или в контекстном меню по правой кнопке, там же ссылку можно скопировать без перехода и спокойно рассмотреть. На телефоне удобно нажать и удерживать ссылку, чтобы открылось меню с адресом. Учтите только, что в некоторых приложениях предварительный просмотр уже подгружает страницу, поэтому безопаснее копировать адрес, а не открывать превью.
Как отличить настоящий адрес сайта от поддельного
Смотреть надо на домен, то есть на имя сайта перед первым знаком косой черты, и читать его справа налево. Мошенники играют на невнимательности. Они используют опечатки и похожие символы, добавляют к названию бренда лишние слова, прячут известное имя в поддомен или в путь адреса, так что настоящий сайт компании и адрес вида имя-бренда.чужой-домен.ru - совершенно разные вещи. Отдельная ловушка на мобильном, где длинный адрес виден не полностью и подмену легко пропустить. Если домен вызывает малейшие сомнения, дальше по ссылке лучше не идти.
Как проверить ссылку на безопасность онлайн
Онлайн-сервисы проверяют то, что не видно по одному адресу - репутацию домена, наличие в базах известного фишинга, вредоносное содержимое и скрытые перенаправления. Важно правильно понимать их роль. Такая проверка дополняет оценку адреса, но не отменяет ее, потому что ни один сервис не дает стопроцентной гарантии.
Какие сервисы проверяют ссылки
Для быстрой проверки обычно хватает сочетания нескольких независимых сервисов. Ниже основные, с их сильными сторонами и ограничениями.
| Сервис | Что проверяет | Что показывает | Ограничения |
|---|---|---|---|
| VirusTotal | Ссылку и файл десятками антивирусных движков и репутационных баз | Кто из движков считает адрес опасным | У части пользователей в РФ бывают перебои с доступом |
| Google Transparency Report | Домен по базе Google Safe Browsing | Замечен ли сайт как опасный или фишинговый | Только база Google, без сторонних антивирусов |
| urlscan.io | Поведение страницы, ресурсы и перенаправления | Детальный технический отчет о сайте | Сложен для новичка, ориентирован на специалистов |
| Kaspersky и другие антивирусы | Ссылки и трафик в реальном времени | Предупреждение и блокировку перехода | Полный функционал обычно в платной версии |
| URLVoid, PhishTank | Репутацию домена и базы фишинга | Оценку по нескольким спискам сразу | База неполная, свежие сайты могут отсутствовать |
Чем проверить ссылку, если VirusTotal не открывается
Если доступ к привычному сервису пропал, у вас есть рабочие альтернативы. Домен можно проверить через Google Transparency Report, поведение страницы - через urlscan.io, а быстрый вердикт даст встроенная защита браузера или антивирус со своим модулем проверки ссылок. Полностью повторить возможности VirusTotal ни один аналог не обещает, поэтому здесь особенно полезно сверять сразу несколько источников.
Что означают результаты проверки
Результат читается по трем ситуациям. Если угрозы обнаружены несколькими источниками, ссылку однозначно не открываем. Если срабатывает лишь один сканер из многих, это повод насторожиться и перепроверить, иногда это ложная тревога, а иногда первый признак свежей угрозы. Если сведений нет или все результаты чистые, расслабляться рано. Новый фишинговый сайт может просто еще не попасть в базы, а содержимое страницы способно измениться уже после вашей проверки. Формула простая, «угроз не обнаружено» не равно «безопасность гарантирована».
Как через ссылки крадут аккаунты и данные
Почти все схемы устроены по одной цепочке - приманка, поддельная страница, нужное мошеннику действие пользователя и последствия. Если понимать эту логику, распознать ловушку становится гораздо проще.
Поддельные страницы популярных сервисов
Чаще всего копируют оформление почты, облачного хранилища, Telegram или корпоративного портала, а затем предлагают «повторно войти», «посмотреть документ» или «подтвердить аккаунт». Внешне такая страница неотличима от настоящей, а вводимые данные уходят прямо к злоумышленнику. Отдельно стоит запомнить, что поддельная страница может располагаться и на настоящем облачном сервисе с известным доменом. Знакомый адрес облака не гарантирует добросовестность того, что разместил там другой пользователь.
Зачем просят пароль, код подтверждения или вход по QR-коду
За этими просьбами стоят три разные цели, и их полезно различать. Пароль у вас выманивают, чтобы войти в аккаунт напрямую. Код подтверждения просят, чтобы подтвердить вход с чужого устройства, то есть привязать к вашему аккаунту постороннего. Вход по QR-коду выдает стороннему приложению или устройству доступ к вашей учетной записи. И важно понять, включенная двухфакторная защита не делает безопасными все последующие действия, если вы сами передали код или подтвердили чужой сеанс, она уже не спасет.
Почему ссылка от знакомого или коллеги тоже требует проверки
Аккаунт отправителя могли захватить, и тогда вредоносная ссылка приходит с доверенного контакта. Насторожить должны характерные несоответствия - неожиданный документ, необычная или срочная просьба, требование срочно куда-то повторно войти. Правило здесь одно, любую сомнительную просьбу стоит подтвердить по другому известному каналу, например позвонить человеку напрямую, а не отвечать в том же чате.
Защищают ли HTTPS и режим инкогнито
Вокруг этих двух вещей больше всего заблуждений, поэтому разберу их отдельно. Ни то, ни другое не является проверкой безопасности, хотя многие на них полагаются.
Можно ли доверять сайту с HTTPS и SSL-сертификатом
HTTPS и замочек в адресной строке означают только то, что соединение с сайтом зашифровано, но ничего не говорят о честности его владельца. Мошеннический сайт тоже может иметь сертификат, и тогда ваши данные просто в зашифрованном виде доедут прямо до злоумышленника. Не случайно разработчики Chromium со временем убрали слово «надежный» рядом со значком, подчеркивая, что защищенное соединение это не то же самое, что безопасный сайт.
Можно ли безопасно открыть подозрительную ссылку в режиме инкогнито
Режим инкогнито создает отдельный сеанс и после закрытия не сохраняет историю и данные сайта на вашем устройстве. Но это не изолированная среда для проверки угроз. Инкогнито не мешает вам передать пароль фишинговому сайту, не обезвреживает скачанные файлы и не защищает от эксплуатации уязвимостей. Открывать в нем подозрительные ссылки в расчете на безопасность - ошибка.
Что делать, если ссылка ведет на файл
Здесь связка простая - безопасный домен и защищенное соединение не подтверждают безопасность самого файла. Проверка адреса это только первый шаг, дальше решает содержимое документа.
Ссылки на Excel, Word, PDF и архивы
Типичная приманка - предложение открыть «счет», «резюме», «акт» или «отчет». Важно различать три действия, скачивание файла, его открытие и запуск активного содержимого внутри него, риск растет от первого к третьему. И снова оговорка, файл, лежащий в известном облаке, не обязательно кем-то проверен и безопасен, облако лишь хранит его.
Почему документ просит включить макросы или внешнее содержимое
Макросы - это команды автоматизации внутри документа, по сути маленькая программа, и именно через них часто доставляют вредоносный код. Не путайте три разные вещи, макросы, внешние подключения к данным и обычные гиперссылки в таблице работают по-разному. Классическая приманка выглядит как надпись «включите содержимое, чтобы увидеть документ». Microsoft прямо рекомендует не включать макросы, если вы не понимаете их назначения и не доверяете источнику файла.
Как проверить скачанный файл перед открытием
Короткий порядок такой. Сначала оцените источник и тип файла, ждали ли вы его и логично ли расширение. Затем выполните локальную проверку антивирусом. При любых сомнениях по рабочему файлу обратитесь в ИТ-службу, а не открывайте его наугад. Подробный разбор мы вынесли в отдельный материал о том, как проверить файл на вирусы.
Что делать, если уже перешли по подозрительной ссылке
Меры зависят от того, что вы успели сделать, и одинаково реагировать на простой просмотр страницы и на передачу доступа неправильно. Ниже короткая шпаргалка.
| Что успели сделать | Что нужно сделать |
|---|---|
| Только открыли страницу | Закрыть ее, проверить неожиданные загрузки и выданные разрешения |
| Ввели пароль, код или подтвердили вход | Сменить пароль на настоящем сайте, завершить чужие сеансы, проверить восстановление |
| Открыли файл или включили макросы | Прекратить работу с файлом, на рабочем устройстве сообщить в ИБ-службу |
| Передали рабочие данные или доступ | Оповестить ответственных, оценить инцидент, при персональных данных учесть 152-ФЗ |
Открыли страницу, но ничего не вводили
Скорее всего, ничего страшного не случилось. Закройте страницу, проверьте, не началась ли неожиданная загрузка и не запросил ли сайт лишних разрешений. Объявлять устройство зараженным только из-за факта перехода не нужно, обычный просмотр без ввода данных и без скачивания редко приводит к заражению.
Ввели пароль, код или подтвердили вход
Действуйте быстро и только через настоящий сайт или приложение, открытые вручную, не по ссылке из письма. Смените раскрытый пароль, проверьте и завершите посторонние сеансы, посмотрите настройки восстановления и список приложений с доступом. Учтите, что одной смены пароля иногда недостаточно, ведь если посторонний сеанс уже открыт или включена пересылка данных, их нужно отключить отдельно.
Открыли файл или включили макросы
Прекратите взаимодействие с подозрительным содержимым и не выполняйте того, что просит документ. На личном устройстве проверьте его антивирусом, а на рабочем сразу сообщите в ИТ- или ИБ-службу и сохраните сведения об источнике файла. Дальнейшие шаги зависят от признаков инцидента, и лучше, если их оценит специалист.
Передали рабочие данные или доступ к корпоративному аккаунту
Это самый серьезный случай, последствия могут затронуть почту, облако, документы и данные клиентов. Первым делом оповестите ответственных и ограничьте доступ скомпрометированного аккаунта. Если среди данных были персональные, инцидент должны оценить ответственные специалисты с учетом 152-ФЗ, вплоть до уведомления регулятора. При этом сам переход по ссылке еще не означает доказанную утечку, каждый случай разбирается отдельно. Готовность к таким ситуациям хорошо отрабатывается на киберучениях и аудите информационной безопасности.
Частые вопросы
Можно ли проверить ссылку, не открывая ее
Да, и это правильный подход. Настоящий адрес видно по наведению курсора или в контекстном меню, а домен и репутацию можно проверить онлайн-сервисом, ни разу не переходя по самой ссылке.
Можно ли доверять ссылке из рекламы в поиске
Не автоматически. Рекламные блоки в выдаче мошенники используют, чтобы вывести поддельный сайт выше настоящего. Проверяйте домен так же тщательно, как и в письме, а лучше заходите на известные сервисы по прямому адресу.
Почему браузер предупреждает об опасности, а сканер ничего не находит
Такое бывает, потому что источники данных разные. Браузер может опираться на свежие сигналы и поведение страницы, а сканер - на базу, куда новый сайт еще не попал. Расхождение это повод довериться предупреждению и не открывать ссылку.
Гарантирует ли проверка ссылки отсутствие фишинга
Нет. Проверка заметно снижает риск, но стопроцентной гарантии не дает, ведь свежий фишинг может отсутствовать в базах, а содержимое страницы меняется после проверки. Поэтому оценивайте ссылку по совокупности признаков и обращайте внимание на то, что именно она предлагает сделать.
