Как распознать фишинговое письмо: 7 признаков, примеры и что делать, если уже кликнули

Люди и фишинг · 12.01.2026 · обновлено 14.10.2026 · 12 мин чтения · Команда НПП РЕКОРД

Фишинговое письмо притворяется своим: налоговой, банком, поставщиком или директором. С появлением нейросетей в нём всё реже бывают ошибки, поэтому старые советы «ищите опечатки» уже не работают. Разбираем 7 признаков, которые выдают фишинг и сегодня, типичные российские сценарии, как проверить ссылку и вложение и что делать, если по письму уже кликнули.

Коротко. Фишинговое письмо выдают семь признаков: адрес отправителя не совпадает с организацией, давление срочностью или страхом, неожиданное вложение, ссылка ведёт не туда, куда написано, просьба ввести пароль или код, просьба сменить реквизиты или срочно оплатить и необычная просьба от «знакомого». Грамотность текста больше не показатель — письма пишут нейросети. Главное правило: любую необычную просьбу проверяйте по другому каналу, например звонком по известному номеру. Если уже кликнули или ввели пароль — сразу сообщите в IT и смените пароль.

Фишинг — это письмо или сообщение, которое притворяется своим, чтобы вы перешли по ссылке, открыли вложение, ввели пароль или перевели деньги. Оно приходит «от налоговой», «от банка», «от поставщика» или «от директора» и выглядит убедительно. По данным Verizon, человеку в среднем нужно меньше минуты, чтобы попасться: секунды на клик и ещё секунды на ввод данных. Поэтому важно не «быть внимательным вообще», а знать конкретные признаки.

• 16% — взломов начинаются с фишинга
• <60 сек — медианное время, за которое человек попадается (клик и ввод данных)
• 33% — сотрудников кликают по фишингу без обучения (по учебным рассылкам)

Источник: Verizon Data Breach Investigations Report 2024–2025; KnowBe4 Phishing by Industry Benchmarking 2025

Фишинговое письмо давит на срочность и маскируется под знакомого отправителя

7 признаков фишингового письма

1. Адрес отправителя не совпадает с организацией. Имя отправителя может быть «ФНС России» или «Иван Петров, директор», а сам адрес — с бесплатного почтового сервиса или с домена, похожего на настоящий: лишняя буква, другая доменная зона, цифра вместо буквы. Смотрите на полный адрес, а не только на имя.

2. Срочность и страх. «Аккаунт будет заблокирован через 24 часа», «срочно оплатите задолженность», «последнее предупреждение перед судом». Цель — заставить действовать до того, как вы подумаете.

3. Неожиданное вложение. Документ, которого вы не ждали: «акт сверки», «счёт», «повестка», «претензия». Особенно подозрительны архивы с паролем в тексте письма, файлы с двойным расширением, HTML-файлы и документы, которые просят «включить содержимое» или макросы.

4. Ссылка ведёт не туда, куда написано. Текст ссылки — «gosuslugi.ru», а настоящий адрес, который виден при наведении курсора, — совсем другой. На телефоне адрес можно посмотреть, удерживая палец на ссылке.

5. Просьба ввести пароль, код или данные карты. Ни налоговая, ни банк, ни служба IT не просят прислать пароль или код подтверждения. Страница входа, открытая по ссылке из письма, — классическая ловушка.

6. Смена реквизитов или срочный платёж. «У нас сменился расчётный счёт, оплатите по новым реквизитам», «нужно срочно перевести предоплату». Это мошенничество с подменой реквизитов — одно из самых дорогих для бизнеса.

7. Необычная просьба от знакомого. Письмо или сообщение от директора или коллеги, но просьба странная: «купи подарочные карты», «переведи поставщику, я на совещании», «пришли список сотрудников». Учётную запись знакомого могли взломать, или имя просто подделали.

Важно. Старый совет «ищите ошибки и опечатки» больше не работает: мошенники пишут письма с помощью нейросетей, и тексты выглядят безупречно. Ориентируйтесь на смысл просьбы и адреса, а не на грамотность.

Типичные сценарии в России

• «Налоговая»: требование, штраф, «блокировка счёта» с вложением или ссылкой на «личный кабинет».
• «Госуслуги» и «суд»: повестки, штрафы, «подтверждение данных».
• «Поставщик» или «клиент»: счёт, акт сверки, договор, претензия — особенно опасно для бухгалтерии.
• «Банк»: подозрительная операция, блокировка карты, «обновление данных».
• «Служба доставки» и маркетплейсы: «посылка задержана, оплатите пошлину».
• «Директор» в мессенджере: новый аккаунт с фото руководителя и срочной просьбой.

Как проверить подозрительное письмо

1. Посмотрите полный адрес отправителя, а не только имя.
2. Наведите курсор на ссылку и сравните настоящий адрес с текстом.
3. Не открывайте неожиданные вложения, особенно архивы и документы с макросами.
4. Зайдите на сайт организации вручную, набрав адрес, а не по ссылке из письма.
5. Любую просьбу о деньгах, реквизитах или данных подтвердите звонком по номеру, который вы знаете заранее, а не из письма.
6. Сомневаетесь — перешлите письмо в службу IT. Лучше десять лишних вопросов, чем один взлом.

Что делать, если уже кликнули

1. Не скрывайте: сразу сообщите в службу IT. Каждая минута важна, а за честность не наказывают.
2. Если ввели пароль — немедленно смените его, а если такой же пароль используется где-то ещё, смените и там.
3. Если открыли вложение — отключите компьютер от сети (выдерните кабель, отключите Wi-Fi), но не выключайте его.
4. Если передали данные карты или подтвердили платёж — сразу звоните в банк.
5. Сохраните письмо: оно поможет найти и заблокировать такие же письма у коллег.

Совет. Технические меры страхуют людей: двухфакторная аутентификация делает украденный пароль бесполезным, записи SPF, DKIM и DMARC мешают подделывать письма от имени вашей компании, а пометка «внешний отправитель» помогает заметить письмо «от директора», пришедшее снаружи.

Хорошая проверка любого письма — один вопрос: «Чего от меня хотят и что будет, если я не сделаю это сразу?» Если просят срочно ввести пароль, открыть неожиданный файл или перевести деньги — остановитесь и проверьте другим способом.

Теги: фишинг, почта, сотрудники, социальная инженерия, мошенничество