Як шахраї підробляють сайти: на що дивитися, крім дизайну

Підроблений сайт може виглядати майже так само, як справжній. Той самий логотип, кольори, шрифти, кнопки, форма входу і навіть знайомий текст не доводять, що сторінка належить потрібній компанії.

Саме на це й розраховують шахраї. Вони не обов’язково намагаються переконати вас у чомусь складному. Їм достатньо створити сторінку, яка викликає відчуття: «Я вже був тут, усе виглядає нормально».

Після цього користувач може самостійно передати пароль, код підтвердження, номер картки або інші дані.

Це продовження теми перевірки підозрілих посилань та фішингу. Тут зосередимося саме на тому, як створюється і працює копія справжнього сайту.

Як створюють копію справжнього сайту

Технічно підробити зовнішній вигляд сторінки не так складно.

Зловмисник може:

• скопіювати HTML і CSS справжнього сайту;
• використати ті самі логотипи та зображення;
• відтворити форму входу;
• зробити сторінку, яка нагадує сторінку оплати;
• скопіювати тексти з офіційного сайту;
• налаштувати адресу, схожу на справжню;
• розмістити копію на скомпрометованому або дешевому хостингу;
• показувати різний вміст залежно від пристрою чи джерела переходу.

Для користувача результат може виглядати переконливо.

Але зовнішній вигляд — це лише вміст вебсторінки. Він не відповідає на питання, кому належить домен.

1. Шахраям потрібен не ваш погляд, а ваша довіра

Підроблена сторінка не повинна бути ідеальною.

Вона повинна бути достатньо схожою, щоб ви не зупинилися перед введенням даних.

Тому шахраї часто копіюють саме ті елементи, які створюють відчуття знайомства:

• логотип;
• кольорову схему;
• форму входу;
• назву компанії;
• повідомлення про помилку;
• сторінку «підтвердження особи»;
• елементи бренду;
• звичну послідовність дій.

Це форма соціальної інженерії: технічна сторінка використовується разом із психологічним прийомом.

Наприклад, повідомлення «ваш акаунт буде заблоковано через 30 хвилин» зменшує ймовірність того, що людина спокійно перевірятиме адресу.

У моделі загроз це важливо враховувати: атакують не лише програмне забезпечення, а й рішення самої людини.

2. Логотип нічого не доводить

Логотип можна завантажити з відкритого сайту.

Те саме стосується:

• фотографій;
• іконок;
• шрифтів;
• текстів;
• назв розділів;
• скриншотів;
• кольорів бренду.

Тому питання «чи схожий цей сайт на справжній?» має значно меншу цінність, ніж питання «на якому домені я зараз перебуваю?».

Якщо сторінка виглядає абсолютно правильно, але адреса неправильна — це не справжній сайт.

Якщо адреса правильна, але сторінка виглядає трохи незвично, не робіть висновок автоматично. Сайт могли оновити, а браузер міг завантажити сторінку з помилкою. Перевірте адресу, а для критичних дій відкрийте сервіс через відомий вам канал.

3. HTTPS не робить сайт справжнім

Зелений замок або https:// часто створюють хибне відчуття безпеки.

HTTPS захищає з’єднання між браузером і сервером. Він не підтверджує, що власник сайту — саме та компанія, яку ви очікували побачити.

Шахрайський сайт теж може працювати через HTTPS.

Наприклад:

https://secure-bank-login.example.com

може мати дійсний сертифікат TLS. Але це не робить його сайтом банку.

FTC прямо попереджає: https означає шифрування з’єднання, але шахраї також можуть використовувати шифрування на підроблених сайтах. citeturn0search8turn0search11

4. Найважливіше — справжній домен

Розглянемо адресу:

https://login.example.com/account

Справжній домен тут — example.com.

Тепер:

https://login.example.com.bank.example.org/account

Справжній домен — example.org.

Назви login, bank та інші слова перед ним можуть бути піддоменами або частинами шляху. Вони не означають, що сайт належить банку.

Саме тому в попередній статті про підозрілі посилання ми радимо читати URL до справжньої доменної частини.

Приклад із брендом

Умовно справжній сайт:

https://example.com/

Підозрілі варіанти:

https://example.com.login-help.net/
https://secure-example.com/
https://example-login.net/
https://example.com.verify-account.org/

У кожному випадку потрібно дивитися, який домен стоїть безпосередньо перед першою /, а не шукати знайоме слово очима.

5. Шахраї використовують схожі домени

Один із найефективніших прийомів — зареєструвати адресу, яка на перший погляд нагадує справжню.

Наприклад:

example.com
examp1e.com
example-login.com
example-secure.com

Такі адреси можуть бути дуже переконливими в повідомленні або на маленькому екрані смартфона.

Особливо підступні homoglyphs — символи з інших алфавітів, які візуально нагадують звичайні латинські літери.

Через це адреса може виглядати правильно навіть тоді, коли символи технічно відрізняються.

6. Підробляють не лише адреси, а й результати пошуку

Ви можете потрапити на фальшивий сайт, навіть якщо нічого не натискали в SMS.

Шахраї можуть використовувати рекламу в пошукових системах, щоб їхня сторінка з’явилася поруч із результатами справжньої компанії.

FTC окремо попереджає, що шахраї можуть використовувати платні результати пошуку, назви відомих компаній або державних служб та посилання на сторінки, які виглядають офіційними. citeturn0search3

Тому правило «я знайшов це через Google, отже сайт справжній» теж не працює.

Якщо ви знаєте адресу сервісу, введіть її самостійно або використайте збережену закладку.

7. Підробляють сторінки входу

Сторінка входу особливо цінна для шахрая, тому що користувач сам вводить секрет.

Підроблена форма може просити:

• адресу електронної пошти;
• пароль;
• номер телефону;
• код із SMS;
• код автентифікатора;
• резервний код;
• відповіді на питання відновлення.

Іноді перша форма може навіть переспрямувати вас на справжній сайт після введення даних. Це створює враження, що все працює нормально, хоча пароль уже могли отримати зловмисники.

8. Підробляють сторінки оплати

Інший поширений сценарій — «доставка», «штраф», «рахунок», «повернення коштів» або покупка.

Сторінка може показувати:

Номер картки: [__________]
Термін дії:  [____]
CVV:         [___]

А після натискання кнопки «Оплатити» може з’явитися запит на SMS-код або підтвердження в банківському застосунку.

Важливо розуміти: навіть професійний дизайн платіжної форми не доводить, що платіж справжній.

Якщо ви почали оплату після повідомлення, краще зупинитися і відкрити магазин або банківський сервіс самостійно.

9. Фальшиві попередження браузера та «служби підтримки»

Деякі сайти не копіюють конкретний бренд. Вони створюють фальшиве попередження:

«Ваш комп’ютер заражений».

«Вам потрібно терміново оновити браузер».

«Зателефонуйте в службу підтримки».

«Підтвердіть, що ви людина, щоб продовжити».

Такі сторінки можуть намагатися змусити вас завантажити програму, встановити розширення, виконати команду або зателефонувати шахраям.

Якщо браузер показує справжнє попередження про небезпечний сайт, не ігноруйте його. Chrome, наприклад, використовує Safe Browsing для попередження про відомі фішингові, шкідливі та соціально-інженерні сайти. citeturn0search1turn0search18

10. Як перевірити сайт перед введенням даних

Використовуйте короткий алгоритм.

Крок 1. Зупиніться

Не вводьте пароль або картку одразу після переходу.

Крок 2. Подивіться на адресу

Перевірте домен повністю. Не орієнтуйтеся лише на назву сторінки.

Крок 3. Згадайте джерело переходу

Як ви сюди потрапили?

• SMS;
• Telegram або інший месенджер;
• електронний лист;
• реклама;
• QR-код;
• повідомлення в соцмережі;
• пошукова реклама.

Чим несподіванішим був шлях, тим обережніше потрібно діяти.

Крок 4. Відкрийте сервіс самостійно

Закрийте вкладку та введіть відому адресу вручну або відкрийте офіційний застосунок.

Крок 5. Перевірте, чи справді існує проблема

Якщо повідомлення казало «ваш акаунт заблоковано», перевірте стан акаунта в офіційному сервісі.

Якщо повідомлення казало «потрібно оплатити доставку», перевірте відправлення в офіційному застосунку доставки.

Що робити, якщо сайт виглядає абсолютно справжнім?

Саме тоді й потрібна дисципліна.

Не намагайтеся визначити справжність за кількістю правильних деталей. Шахрай може скопіювати дуже багато.

Замість цього перевірте властивості, які складніше підробити на рівні звичайної сторінки:

• правильний домен;
• очікуваний спосіб входу;
• відсутність дивного перенаправлення;
• відповідність сервісу тому, що ви самі хотіли відкрити;
• звичайний шлях доступу через офіційний застосунок або закладку.

Google також рекомендує не вводити приватну інформацію на сторінках із ненадійних джерел і звертати увагу на невідповідність URL посиланню або опису. citeturn0search0

Що робити, якщо ви вже ввели пароль?

Не витрачайте час на спроби зрозуміти, наскільки добре був зроблений сайт.

Дійте так:

1. Відкрийте справжній сайт самостійно.
2. Змініть скомпрометований пароль.
3. Якщо цей пароль використовувався ще десь — змініть його і там.
4. Завершіть невідомі сеанси та перевірте пристрої, підключені до акаунта.
5. Перевірте способи відновлення акаунта.
6. Перевірте MFA та активні способи автентифікації.
7. Якщо ви ввели банківські дані — негайно зв’яжіться з банком через офіційний канал.
8. Збережіть URL підробленого сайту та повідомлення, через яке ви на нього потрапили.

Якщо ситуація серйозна, варто також зафіксувати докази. Це стане в пригоді, якщо потрібно повідомити платформу, банк або правоохоронців.

Як виробити правильну звичку

Не потрібно навчатися розпізнавати кожен новий дизайн шахрайського сайту.

Набагато простіше сформувати кілька правил:

• Не вводити пароль після несподіваного переходу.
• Не вважати HTTPS доказом справжності.
• Не довіряти логотипу та дизайну.
• Не вважати перший результат пошуку автоматично правильним.
• Для банків, пошти та державних сервісів відкривати сайт самостійно.
• Для важливих акаунтів використовувати MFA.
• Не повідомляти коди підтвердження людині, яка просить їх у повідомленні або телефоном.

Ці правила значно простіші за спробу стати експертом із веброзробки.

Висновок

Підроблений сайт працює не тому, що користувач не вміє бачити різницю між синім і темно-синім кольором.

Він працює тому, що людина довіряє знайомому вигляду сторінки та діє в потрібний шахраю момент.

Тому найкращий захист — перенести перевірку з рівня дизайну на рівень джерела:

Хто надіслав повідомлення? Куди веде URL? Який справжній домен? Чи можу я відкрити цей сервіс самостійно?

Якщо мова йде про пароль, гроші або важливий акаунт, кілька секунд перевірки значно дешевші за відновлення доступу після атаки.

---

Джерела

• Google — Avoid and report phishing emails
• Google Chrome — Manage warnings about unsafe sites
• Google Chrome — How Safe Browsing protects your privacy
• FTC — Phishing Scams
• FTC — Online search results: the good, the bad, and the scammy
• FTC — Buying From an Online Marketplace