Как распознать поддельный документ с просьбой включить макросы

Письмо с вложением «Договор_на_подпись.docm», в котором текст просит нажать «Включить содержимое» или «Разрешить редактирование» — один из самых распространённых способов доставки вредоносного ПО. Легитимные документы почти никогда не требуют от получателя включать макросы для чтения. Если файл настойчиво об этом просит, по умолчанию считайте его подозрительным и проверяйте по признакам, описанным ниже.

Главный принцип прост: просьба включить макросы — это не техническая необходимость, а часть атаки. Злоумышленник не может запустить вредоносный код без вашего явного разрешения, поэтому вся «упаковка» письма и документа построена так, чтобы вы это разрешение дали. Ваша задача — распознать манипуляцию до клика.

Почему мошенники просят именно макросы

Макрос — это небольшая программа внутри документа Word, Excel или PowerPoint, которая может выполнять действия на компьютере: запускать процессы, скачивать файлы из интернета, изменять настройки системы. Современные офисные пакеты по умолчанию блокируют макросы из внешних источников именно потому, что через них чаще всего проникают троянцы, шифровальщики и кражи учётных данных.

Поэтому атака выглядит типично: вам приходит документ, который при открытии показывает пустую страницу или заглушку вроде «Этот документ защищён. Нажмите «Включить содержимое», чтобы увидеть текст». Пока вы не нажали кнопку, ничего не происходит. Нажали — код выполняется, и часто без видимых симптомов: документ может даже открыться нормально, чтобы вы ничего не заподозрили.

Признаки поддельного документа до его открытия

Проверьте письмо и отправителя

• Адрес отправителя целиком, а не только отображаемое имя. Имя может быть «Бухгалтерия Иванова», но адрес — случайный ящик на постороннем домене или бесплатном почтовом сервисе.
• Домен отправителя. Мошенники используют похожие написания: замена букв (rn вместо m), лишние дефисы, другой домен верхнего уровня. Сравните адрес с тем, что указан в подписи и на официальном сайте организации.
• Неожиданность вложения. Вы не запрашивали счёт, резюме, договор или «голосовую записку»? Это само по себе повод для проверки.
• Срочность и давление. Формулировки «срочно оплатите сегодня», «документ будет удалён через 24 часа», «ваш аккаунт заблокирован» — классический приём, чтобы вы действовали быстро и без проверки.
• Расширение файла. Настороженность должны вызывать .docm, .xlsm, .pptm (макроактивные форматы), а также двойные расширения вроде «Отчёт.pdf.exe» или «Договор.docx.scr». Включите отображение расширений файлов в проводнике, чтобы видеть настоящее имя.

Проверьте сам файл, не открывая его

1. Посмотрите размер файла. Документ на одну страницу весом в сотни килобайт или мегабайты обычно означает, что внутри спрятан исполняемый код.
2. Наведите курсор на вложение и посмотрите свойства: дату создания, автора, название программы. Автор «user1» или «admin» в документе от крупной компании — несоответствие.
3. Если есть возможность, загрузите файл на онлайн-сканер (например, VirusTotal) перед открытием. Он проверит файл десятками антивирусов. Учтите: свежие образцы могут ещё не определяться, поэтому чистый результат не даёт стопроцентной гарантии.
4. Никогда не отключайте защиту Office и предупреждения системы безопасности ради того, чтобы «открыть важный документ».

Признаки подделки внутри открытого документа

Если вы всё же открыли файл и он просит включить макросы, оцените содержимое. Поддельные документы часто собираются наспех, и следы видны невооружённым глазом:

• Заглушка вместо текста. Реальный договор или отчёт содержит текст сразу после открытия. Пустая страница с единственной кнопкой «Включить содержимое» — почти всегда приманка.
• Кривой дизайн. Размытые логотипы, съехавшая вёрстка, чужие реквизиты, орфографические ошибки, смешение языков.
• Нелогичные инструкции. Просьба «нажмите правой кнопкой → свойства → разблокировать», «откройте в режиме совместимости», «разрешите выполнение» — легитимный документ таких шагов не требует.
• Имитация системных сообщений. Картинка, изображающая окно Windows или Office с кнопкой «Enable Editing/Content», встроенная прямо в документ. Настоящие сообщения системы появляются вне документа, сверху окна приложения.
• Ссылки вместо вложений. Иногда вместо файла присылают ссылку на «документ» на стороннем файлообменнике, где вас просят ввести пароль от почты для просмотра. Это отдельная схема фишинга — пароль вводить нельзя нигде, кроме официального сайта сервиса.

Типовые сценарии атак и как они маскируются

Легенда письма	Цель злоумышленника	На что смотреть
«Счёт на оплату от поставщика»	Заставить бухгалтерию открыть макрос и получить доступ к платёжным данным	Совпадают ли реквизиты с ранее использованными; сверка по известному контакту
«Резюме кандидата»	Атака на HR-отдел, кража данных компании	Резюме приходит с личной почты без запроса вакансии; формат .docm
«Голосовое сообщение / факс»	Любопытство получателя	Аудиофайлы не приходят в формате документов Office
«Уведомление о посылке, штрафе, налоге»	Массовый фишинг	Официальные ведомства не рассылают документы с макросами
«Общий документ от коллеги»	Целевая атака после взлома чужой почты	Неожиданный стиль письма, ссылка на незнакомый ресурс

Что делать, если вы уже нажали «Включить содержимое»

Быстрые действия снижают ущерб. Действуйте в таком порядке:

1. Отключите компьютер от сети (вытащите кабель, выключите Wi-Fi), чтобы остановить передачу данных и распространение по локальной сети.
2. Запустите полную проверку антивирусом с обновлёнными базами. Если антивируса нет или он молчит — это не гарантия отсутствия заражения.
3. С другого, заведомо чистого устройства смените пароли от почты, рабочих систем, банковских сервисов. Начните с почты: через неё восстанавливают доступ ко всему остальному.
4. Проверьте правила пересылки в почтовом ящике и список активных сеансов — злоумышленники часто добавляют скрытую переадресацию.
5. Сообщите в IT-отдел или ответственному за безопасность, если это рабочий компьютер. Коллеги могли получить то же письмо.
6. Наблюдайте за признаками шифровальщика: переименованные файлы, новые расширения, требования выкупа. При их появлении немедленно выключите машину и обращайтесь к специалистам по реагированию на инциденты.

Чего делать не следует

• Не перезагружайте компьютер «на всякий случай» многократно и не пытайтесь удалить файлы вручную — это может затереть следы, нужные специалистам.
• Не продолжайте работу с банковскими и корпоративными системами на потенциально заражённой машине.
• Не отвечайте злоумышленникам и не переводите деньги «за возврат доступа» без консультации со специалистами и правоохранительными органами.
• Не пересылайте подозрительное вложение коллегам «для проверки» — так инфекция расходится внутри организации.

Как проверить подлинность документа законным путём

Если документ выглядит как настоящий, но вызывает сомнения, подтвердите его существование в обход самого письма:

• Позвоните отправителю по номеру, который у вас уже есть, а не по контактам из подозрительного письма.
• Напишите на официальный адрес организации, найденный на её сайте, и уточните, направлялся ли документ.
• Для юридически значимых документов проверяйте электронную подпись: в Word и PDF корректно подписанный файл показывает сведения о сертификате, и любое изменение содержимого делает подпись недействительной.
• Сверьте реквизиты (ИНН, расчётный счёт, адрес) с данными из предыдущих реальных документов или открытых реестров юридических лиц.

Профилактика для себя и организации

• Держите включённым блокирование макросов из интернета: в Microsoft Office такая политика существует и включается администратором.
• Используйте режим защищённого просмотра для файлов из почты и сети — он не позволяет макросам выполняться до явного решения пользователя.
• Регулярно обновляйте Office, операционную систему и антивирус: часть атак использует уязвимости, закрытые давно выпущенными патчами.
• Договоритесь в команде о правиле: любые изменения платёжных реквизитов подтверждаются звонком по известному номеру. Это нейтрализует большинство атак на бухгалтерию.
• Проводите короткие инструктажи: один разобранный пример фишингового письма экономит недели восстановления после инцидента.

Частые вопросы

Может ли настоящий документ требовать макросы?

Да, некоторые внутренние формы компаний действительно используют макросы для автоматизации. Но в этом случае отправитель заранее предупреждает, объясняет зачем и обычно присылает файл из доверенного канала. Если предупреждения не было — уточните у отправителя до включения.

Опасен ли просто просмотр документа без включения макросов?

Риск минимален, если приложение обновлено и работает в защищённом режиме. Основная угроза активируется только вашим разрешением. Однако старые версии Office и непатченные системы могут быть уязвимы и без макросов, поэтому обновления критичны.

Помогает ли антивирус на 100%?

Нет. Антивирусы хорошо ловят известные образцы, но новые атаки могут обходить обнаружение. Антивирус — необходимый, но не единственный слой защиты; главный фильтр — ваша внимательность.

Что делать, если подозрительный файл пришёл на рабочий почтовый ящик?

Не открывайте вложение, сообщите в IT-службу и, если возможно, используйте функцию «пожаловаться на фишинг» в почтовом клиенте. Специалисты смогут проверить письмо централизованно и предупредить остальных.

Главное правило и следующий шаг

Документ, который не открывается без включения макросов, — это не документ, а программа, притворяющаяся документом. Прежде чем что-либо разрешать, проверьте три вещи: настоящего ли отправителя вы знаете, ожидаете ли вы этот файл и совпадает ли формат и содержание с обычной практикой этой организации. Любое сомнение решается одним звонком по знакомому номеру — это занимает минуту и стоит дешевле любого инцидента.

Если письмо уже получено: не открывайте вложение, сверьтесь с отправителем по независимому каналу и при подтверждении атаки передайте письмо в IT-службу или службу безопасности. На домашнем компьютере при ошибочном открытии действуйте по алгоритму выше: отключение от сети, проверка антивирусом, смена паролей с чистого устройства.

Материал носит информационный характер и не заменяет консультацию специалиста по информационной безопасности. При подозрении на заражение корпоративных систем или финансовые потери обратитесь к профильным специалистам и, при необходимости, в правоохранительные органы.