Как распознать фишинг и скам-сайты

Как распознать фишинг и скам-сайты в 2026 году: не по красоте страницы, а по цепочке событий. Откуда пришла ссылка, какой домен в адресной строке, зачем тебя торопят и почему прямо сейчас просят карту, пароль или одноразовый код. Современный фишинг уже не обязан выглядеть криво. Он часто выглядит слишком нормально.

Коротко

• HTTPS и аккуратный дизайн не доказывают, что сайт настоящий.
• Главный красный флаг: неожиданная ссылка просит деньги, пароль, карту или код.
• Домен читается справа налево: важен основной адрес перед зоной, а не знакомые слова в начале.
• При сомнении закрывай ссылку и открывай сервис вручную через приложение или официальный сайт.
• Если данные уже введены, действовать надо сразу: банк, смена пароля, выход из сессий, проверка устройства.

Почему тема всплыла из-за Lighthouse

Дело Lighthouse хорошо показывает, как выглядит фишинг нового уровня. По данным Reuters, Google в ноябре 2025 года подала иск против 25 неизвестных ответчиков, которых связывает с международной SMS-фишинговой схемой. В жалобе утверждалось, что программа Lighthouse помогала создавать поддельные страницы под Google, USPS, E-ZPass и другие сервисы, а за 20 дней через неё появилось почти 200 000 фейковых сайтов.

Это важный момент. Речь не о школьной странице с кривым логотипом. Lighthouse в материалах дела описывается как phishing-as-a-service: набор инструментов, шаблонов и сценариев для людей, которым не нужно быть сильными технарями. WIRED писал, что такие наборы могли имитировать доставку, дорожные сборы, банки, магазины и государственные сервисы. Поэтому обычная проверка «страница выглядит солидно» больше слабая.

В 2026 году история стала ещё жёстче. Reuters сообщил о новом иске Google против создателей фишингового набора Outsider. По утверждению Google, он копировал сотни доверенных сайтов, использовал инструкции с AI-инструментами и был связан с более чем 1,5 млн URL. Названия Lighthouse и Outsider могут меняться, но модель одна: скам становится продуктом, который можно купить, настроить и пустить в массовую рассылку.

Главная ловушка

Фишинг больше не обязан палиться плохим дизайном. Он палится несостыковкой: случайная ссылка ведёт к срочному действию и просит чувствительные данные.

Как распознать фишинг и скам-сайты по сценарию

Я бы начинал не с логотипа и шрифта, а с вопроса: это действие начал ты или тебя втянули? Если ты сам открыл приложение банка, сам зашёл в маркетплейс и сам перешёл к оплате, риск ниже. Если сообщение само пришло в SMS, почту, iMessage, Telegram или рекламу и сразу ведёт на форму оплаты, риск резко растёт.

Типовой сценарий простой: «посылка задержана», «оплата не прошла», «аккаунт заблокирован», «штраф растёт», «доступ отключат через 30 минут». Потом ссылка ведёт на страницу, где надо ввести карту, пароль, паспортные данные или код из SMS. FTC прямо описывает такие крючки: мошенники пишут про подозрительную активность, проблему с оплатой, фейковый счёт, возврат или купон, чтобы заставить человека кликнуть.

Фраза «проверка безопасности» сама по себе ничего не значит. Скам часто говорит языком защиты: подтвердите личность, отмените списание, разблокируйте доставку, защитите аккаунт. Если путь начинается с паники, а заканчивается вводом данных, я закрываю страницу без сожаления.

Проверь домен до ввода данных

Домен надо читать как адрес собственности. В ссылке support.google.example.com знакомое слово google ничего не доказывает. Основной домен там example.com. Мошенники часто ставят бренд, банк или службу доставки в начало адреса, чтобы глаз зацепился за знакомое слово, а настоящий адрес спрятался ближе к концу.

Быстрая проверка подозрительной ссылки

Что видно	Почему это опасно	Что делать
Бренд в поддомене	bank.secure-check.example.com может не иметь отношения к банку	Открыть банк вручную через приложение
Похожее написание	Одна буква или символ имитирует настоящий бренд	Сверить адрес с официальным сайтом
Короткая ссылка	Она скрывает конечный домен	Не открывать из SMS, искать сервис вручную
Случайная доменная зона	Фейковый магазин часто живёт на дешёвом или странном домене	Проверить продавца, отзывы и юридические данные
Ссылка из рекламы	Скам может попасть в рекламную выдачу или промо-пост	Не доверять первому результату автоматически

Отдельно про HTTPS. Замочек означает, что соединение с сайтом зашифровано. Он не означает, что владелец сайта честный. Фишинговая страница тоже может иметь сертификат, замочек и нормальную мобильную верстку. Я смотрю на HTTPS только как на технический минимум, а не как на знак доверия.

Пошаговая инструкция перед оплатой или входом

1. Остановись перед вводом данных. Не закрывай баннеры, не спорь с сайтом, просто сделай паузу на 20 секунд.
2. Посмотри на адресную строку. Найди основной домен перед зоной: .com, .no, .ru или другой.
3. Сравни повод с реальностью. Ты правда ждёшь эту посылку, платёж, штраф, возврат или вход в аккаунт?
4. Открой сервис вручную. Набери адрес сам, используй официальное приложение или старую закладку.
5. Не вводи одноразовый код, если ты не начинал действие сам. Код часто подтверждает вход, платёж или изменение настроек.
6. Проверь способ оплаты. Перевод физлицу, gift card, крипта, мутный платёжный шлюз и форма без продавца — плохой сигнал.
7. Если что-то не сходится, закрывай страницу. Проверка должна идти вне подозрительной ссылки.

Моё правило

Любая неожиданная ссылка, которая просит оплату, пароль, карту или код, должна проиграть ручному входу. Закрыл сообщение, открыл официальный сервис сам.

Какие признаки чаще всего выдают скам-сайт

У скам-сайта обычно не один признак, а связка. Один странный момент ещё можно списать на маленький магазин или плохую верстку. Но когда сайт одновременно торопит, прячет продавца, требует лишние данные и ведёт только к оплате, это уже не случайность.

• Срочность без нормальной причины. Таймер, угроза блокировки, штраф «через 15 минут», возврат посылки сегодня ночью.
• Маленький платёж. Частая ловушка: «доплатите 1,99 € за доставку». Сумма маленькая, но карта настоящая.
• Лишние данные. Для отслеживания посылки не нужен пароль от почты, PIN-код, полный номер карты или код из SMS.
• Нет нормального продавца. У сайта нет компании, адреса, правил возврата, понятной поддержки и истории.
• Вывод из официального канала. «Оплатите в Telegram», «переведите на карту», «не заходите в приложение, оно временно не работает».
• Слишком выгодное предложение. Новый телефон, видеокарта, подписка или скин в разы дешевле рынка без объяснения.

Не надо ждать идеального доказательства. В безопасности работает обратная логика: если сайт просит чувствительные данные и при этом не проходит простую проверку, ему не нужно давать второй шанс.

Почему SMS и мессенджеры особенно опасны

На телефоне фишинг сильнее, потому что экран маленький, адрес обрезан, уведомления летят потоком, а клик занимает секунду. В Lighthouse-подобных схемах именно это и используется: короткое сообщение, знакомый повод, мобильная страница и форма, которую легко заполнить на автопилоте.

Канал не делает сообщение настоящим. SMS может быть фейковой. Профиль знакомого в мессенджере может быть взломан. QR-код на объявлении, парковке или квитанции может вести на подделку. Реклама в поиске тоже не гарантия. Легальность проверяется не каналом, а доменом и действием, которое у тебя требуют.

Особенно опасны одноразовые коды. Это не абстрактная «проверка личности», а подтверждение конкретного действия: входа, платежа, привязки карты, смены пароля. Если фейковая страница просит код, она может параллельно пытаться завершить реальное действие в настоящем сервисе. Формулировка «введите код, чтобы отменить списание» — почти всегда манипуляция.

Как отличить фейковый магазин от неизвестного магазина

Неизвестный магазин не обязан быть скамом. Малый бизнес может иметь простой сайт, мало отзывов и неидеальные карточки товаров. Но фейковый магазин почти всегда строится вокруг одной цели: быстро провести тебя к оплате, пока ты не начал проверять детали.

Нормальный малый магазин и скам-магазин

Параметр	Нормальный риск	Скам-риск
Цена	Скидка объяснима распродажей или остатками	Товар в разы дешевле рынка без причины
Оплата	Понятный платёжный шлюз, карта, счёт, нормальная квитанция	Перевод физлицу, крипта, gift card, мутная форма
Контакты	Есть компания, адрес, email, условия возврата	Только мессенджер или пустая форма
Отзывы	Мало отзывов, но они выглядят естественно	Одинаковые восторженные отзывы без деталей
Поведение сайта	Можно уйти, вернуться, спокойно сравнить	Таймеры, давление, «последний шанс», блокировка выхода

Для дорогой покупки я делаю скучную, но рабочую проверку: название магазина плюс слова scam, fraud, «отзывы», «обман», потом смотрю юридическое лицо и адрес. Если у магазина нет следов вне собственного сайта, а цена выглядит как ошибка рынка, это приманка, а не находка.

Браузерная защита помогает, но не заменяет проверку

Google Safe Browsing пишет, что защищает более 5 млрд устройств и показывает предупреждения при переходе на опасные сайты или при скачивании опасных файлов. Это полезный слой защиты: браузер, поиск, почта и Android могут подсветить опасную ссылку до того, как человек потеряет данные.

Но у таких систем есть естественная задержка. Новый фишинговый домен может появиться утром, разойтись по SMS днём и попасть в базы позже. Исследование PhishXplain отдельно подчёркивает проблему обычных предупреждений: если они просто пугают, но не объясняют признаки атаки, пользователь хуже учится распознавать фишинг без подсказки. Поэтому защита нужна в два слоя: технический фильтр и твоя ручная проверка.

Не жди красного экрана

Если браузер не показал предупреждение, это ещё не знак безопасности. Особенно если ссылка свежая, пришла из SMS и сразу просит данные.

Что делать, если ты уже перешёл по ссылке

Просто открыть страницу — ещё не катастрофа. Важнее, что было дальше. Если ты ничего не вводил, не скачивал и не подтверждал, риск ниже. Если ввёл пароль, карту, код или установил файл, надо действовать сразу, без надежды «может, пронесёт».

• Ввёл пароль: открой настоящий сервис вручную, смени пароль, выйди из всех сессий, включи MFA или passkey.
• Ввёл данные карты: звони в банк, блокируй или замораживай карту, проверяй операции.
• Ввёл одноразовый код: считай, что действие могло быть подтверждено. Срочно связывайся с банком или поддержкой сервиса.
• Скачал файл: не запускай его повторно, обнови защитное ПО, просканируй устройство.
• Отдал паспортные данные: следи за кредитными заявками, регистрациями и странными обращениями от банков.
• Это рабочий аккаунт: сообщи администратору сразу. Замалчивание почти всегда хуже самого клика.

FTC даёт простой принцип: если сообщение просит перейти по ссылке или открыть вложение, а ты не уверен, связывайся с компанией через сайт или номер, который точно знаешь, а не через данные из сообщения. Это скучно, зато именно так ломается большая часть массового скама.

Частые вопросы

Можно ли доверять сайту, если там есть HTTPS?

Нет. HTTPS означает шифрованное соединение, а не честного владельца. Фишинговый сайт тоже может иметь сертификат, замочек и нормальную мобильную верстку.

Что опаснее: SMS, письмо или реклама в поиске?

Опасен не канал, а сценарий: неожиданная ссылка, срочность и просьба ввести данные. Фишинг может прийти через SMS, email, мессенджер, QR-код, рекламу или взломанный аккаунт знакомого.

Что делать, если я не уверен, настоящий ли сайт?

Закрой ссылку и открой сервис вручную. Если проблема реальная, она обычно будет видна в официальном приложении, личном кабинете или через поддержку на настоящем сайте.

Финальная проверка перед кликом

Перед подозрительной ссылкой задай себе один вопрос: я сам начал это действие на официальном сайте или меня сюда привели страхом, скидкой, штрафом, доставкой или срочностью? Если второе, закрывай страницу. Современный фишинг стал промышленным, но ему всё ещё нужен твой быстрый клик до проверки.

Источники

• Google sues in New York to break up text phishing scheme
• This Is the Platform Google Claims Is Behind a 'Staggering' Scam Text Operation
• Google targets AI-powered phishing in New York lawsuit
• How To Recognize and Avoid Phishing Scams
• Safe Browsing
• Explain, Don't Just Warn! A Real-Time Framework for Generating Phishing Warnings with Contextual Cues