Почему мошенники используют похожие названия доменов и как не попасться на подмену сайта

Похожие названия доменов — один из самых дешёвых и эффективных инструментов фишинга. Мошенники регистрируют адреса, которые визуально или по звучанию почти неотличимы от известных сайтов: банков, маркетплейсов, госслужб, почтовых сервисов. Цель проста — чтобы человек на бегу, с телефона, не всматриваясь, поверил, что попал на настоящий ресурс, и ввёл логин, пароль, код из СМС или данные карты. Главный ориентир для защиты: никогда не оценивать сайт по внешнему виду, а проверять сам адрес в адресной строке до ввода любых данных.

В этой статье объясняется, почему приём с похожими доменами так хорошо работает, какие конкретные схемы подмены существуют, чем настоящий адрес отличается от поддельного и что делать, если вы уже перешли по такой ссылке или ввели на ней свои данные.

Почему приём с похожими доменами работает

Человек воспринимает адрес сайта как единый образ, а не как точную строку символов. Мозг «дочитывает» знакомое название, даже если в нём есть замена или лишний символ. Это не невнимательность, а свойство восприятия: при беглом чтении важнее общий силуэт слова, чем каждая буква. Мошенники строят всю схему именно на этом.

Вторая причина — привычка доверять внешнему виду. Современный поддельный сайт можно собрать за часы: скопировать дизайн, логотип, структуру страниц, даже favicon в вкладке браузера. Визуальное сходство создаёт ощущение подлинности, хотя дизайн ничего не подтверждает — скопировать интерфейс может кто угодно.

Третий фактор — контекст, в котором приходит ссылка. Фишинговые сообщения приходят в момент, когда человек ожидает что-то важное: «заблокирована карта», «посылка задержана на таможне», «ваша учётная запись будет удалена», «начислена выплата». Под давлением дедлайна («подтвердите в течение 24 часов») люди проверяют адрес гораздо реже, чем в спокойной ситуации.

И наконец, экономика атаки. Регистрация домена стоит сравнительно недорого, а рассылка ссылок массовая. Мошеннику достаточно, чтобы из тысяч получателей сработали единицы — это уже окупает затраты. Поэтому приём не исчезает годами, а лишь меняет детали.

Основные приёмы подмены доменных имён

Схем искажения адреса несколько, и каждая рассчитана на определённый тип ошибки при чтении. Полезно знать их все, потому что защита от одной схемы не защищает от другой.

Опечатка в известном названии (тайпсквоттинг)

Мошенник регистрирует домен с типичной опечаткой: пропущенная или удвоенная буква, переставленные символы, замена «и» на «u» в латинице. Расчёт на то, что часть людей, ошибившись при ручном вводе адреса, попадёт на подставной сайт. Такие домены часто заранее скупаются под популярные бренды.

Замена похожих символов

Некоторые буквы и цифры визуально почти одинаковы: латинские «l» и «I», «rn» и «m», «0» (ноль) и «O» (буква), «g» и «q». Адрес вида «rnicrosoft» на бегу читается как «microsoft». Кириллица добавляет ещё один слой: в ней есть буквы, неотличимые от латинских («а», «е», «о», «с», «х», «р»), поэтому возможны домены, где часть символов — русские буквы, а часть — английские, и внешне адрес выглядит нормально.

Дополнительные слова и дефисы

К настоящему названию добавляются «правдоподобные» слова: «sber-online», «ozon-pay», «gosuslugi-help», «wildberries-info». Человек видит знакомый бренд в составе адреса и делает вывод, что сайт связан с компанией. На деле домен принадлежит мошеннику: компания обычно использует один основной адрес, а все «дополнительные» домены с её названием — чужие.

Подмена в поддомене

Самый коварный вариант, потому что настоящий домен действительно присутствует в адресе. Мошенник регистрирует что-то вроде «sberbank.secure-login-verify.ru». Настоящая часть здесь — «secure-login-verify.ru», а «sberbank» — лишь поддомен, который владелец домена может назвать как угодно. Правило чтения: значимая часть адреса находится перед последней точкой, но после предпоследней. В примере это «secure-login-verify», и именно она указывает на настоящего владельца.

Обман через путь и якорь

Адрес может быть длинным и содержать знакомые слова после слэша: «banki-online.ru/login/sberbank/auth». Всё, что идёт после первого одиночного слэша, — это путь внутри чужого сайта, а не доказательство связи с банком. Мошенники намеренно делают адреса длинными, чтобы знакомое слово «утонуло» в строке, которую на телефоне часто видно лишь частично.

Похожие доменные зоны

Вместо «.ru» или «.com» используется другая зона: «.org», «.net», «.info», «.top», «.xyz», национальные зоны других стран. Название при этом совпадает с оригиналом. Отдельная история — международные домены с кириллицей: адрес может выглядеть как знакомый сайт, но содержать незаметную смесь алфавитов.

Как правильно читать адрес сайта

Проверка адреса — навык, который осваивается за несколько минут и работает против всех перечисленных схем. Порядок такой:

1. Откройте адресную строку полностью. На смартфоне коснитесь адреса, чтобы он раскрылся целиком — мобильные браузеры часто скрывают начало и конец строки.
2. Найдите схему: «https://» в начале. Отсутствие защищённого соединения у сайта, который просит личные данные, — само по себе тревожный признак.
3. Определите домен: это часть между «https://» и первым одиночным слэшем. Игнорируйте всё, что идёт после слэша, — это путь, а не имя сайта.
4. Внутри домена выделите основное имя: оно находится перед доменной зоной (.ru, .com, .рф и так далее). Поддомены слева от основного имени не доказывают ничего.
5. Сверьте основное имя с официальным адресом организации — не по памяти «примерно так», а по сохранённой закладке или документам (карта, договор, официальное приложение).
6. Проверьте посимвольно: не заменены ли похожие буквы, нет ли лишних дефисов и слов, совпадает ли доменная зона.

Условный пример. Адрес «https://pay.gosuslugi-verify-account.ru/login» при разборе даёт: домен — «gosuslugi-verify-account.ru», основное имя — «gosuslugi-verify-account». Это не государственный портал, а чужой домен, в который вписано знакомое слово. Настоящий портал использует собственный домен, и любые «дополнения» к нему — признак подделки.

Ещё один практический приём: не переходить по ссылкам из сообщений вообще, а открывать нужный сервис через закладку, официальное приложение или самостоятельный ввод адреса. Если сообщение подлинное, информация будет доступна и через официальный канал; если поддельное — вы просто не попадёте на ловушку.

Чего не стоит считать признаком подлинности

• Значок замка в браузере. Он означает лишь то, что соединение с сайтом зашифровано. Сертификат может получить любой владелец любого домена, включая мошеннический. Замок подтверждает шифрование, а не честность владельца.
• Внешнее сходство с оригиналом. Дизайн, логотип и тексты копируются без труда. Точное визуальное совпадение — не доказательство, а, наоборот, типичная черта фишинговых страниц.
• Название компании в адресе. Как показано выше, знакомое слово может быть поддоменом или частью чужого домена.
• Отсутствие явных ошибок в тексте. Ранние фишинговые страницы выдавали себя кривым переводом; сейчас тексты часто пишут аккуратно, поэтому грамотность — слабый признак.
• Наличие сайта в результатах поиска или рекламы. В рекламных блоках и даже в органической выдаче периодически появляются поддельные сайты. Для критичных сервисов надёжнее закладка или приложение.

Типичные сценарии, через которые приходят похожие ссылки

Понимание контекста помогает вовремя включить настороженность. Чаще всего поддельные домены фигурируют в таких ситуациях:

• Сообщения о проблемах с банковской картой или счётом с просьбой «подтвердить данные» по ссылке.
• Уведомления о посылках, таможенных сборах, платной парковке или штрафе с небольшой суммой — расчёт на то, что проще заплатить, чем разбираться.
• Фальшивые страницы доставки и отслеживания заказов, собранные на похожих доменах.
• Поддельные страницы входа в почту, госуслуги, мессенджеры — с целью украсть учётную запись и использовать её для атак на ваших контактов.
• Ссылки в объявлениях о продаже и аренде: «проверьте мою надёжность по ссылке», где открывается поддельный сервис-агрегатор, выманивающий данные карты под предлогом «верификации».
• Фальшивые розыгрыши, кэшбэк-акции и «компенсации» от имени известных брендов.

Общий знаменатель всех сценариев: ссылка приходит неожиданно, требует срочного действия и ведёт на адрес, который нужно проверять посимвольно. Если хотя бы два из трёх условий совпали — переходите на сервис только через официальный канал.

Что делать, если вы уже перешли по ссылке или ввели данные

Скорость действий здесь важнее идеальности. Последовательность зависит от того, что именно вы успели сообщить:

1. Если вводили пароль — немедленно смените его на настоящем сайте сервиса и на всех ресурсах, где использовался тот же пароль. У мошенников работает автоматический перехват: счёт идёт на минуты.
2. Если вводили данные карты или код из СМС/пуша — как можно быстрее позвоните в банк по номеру с обратной стороны карты и заблокируйте карту. Затем опишите ситуацию: банки имеют процедуры оспаривания несанкционированных операций, и их исход зависит от сроков обращения.
3. Если вводили коды или подтвердили вход в аккаунт (госуслуги, почта, мессенджер) — завершите все сеансы в настройках безопасности, смените пароль и включите двухфакторную аутентификацию, если она ещё не включена.
4. Если установили приложение или файл по ссылке — не вводите больше никаких данных с этого устройства, отключите его от интернета и проверьте антивирусом; при работе с банковскими приложениями разумнее продолжить с другого устройства.
5. Если перевели деньги — сохраните скриншоты переписки, адрес поддельного сайта, чек перевода и обратитесь в банк и в правоохранительные органы. Эти материалы пригодятся и для блокировки домена.
6. Сообщите о поддельном сайте туда, где это предусмотрено: поддержка настоящего сервиса, хостинг-провайдер, а также формы жалоб на фишинг, которые есть у браузеров и поисковых систем. Чем раньше домен заблокируют, тем меньше пострадавших.

Даже если вы ничего не вводили, а просто перешли по ссылке, ничего предпринимать обычно не нужно: сам по себе переход не передаёт мошенникам пароли. Опасность начинается с момента ввода данных, скачивания файлов или установки приложений.

Как снизить риск заранее

• Сохраните закладки на все критичные сервисы: банк, госуслуги, почту, маркетплейсы. Пользуйтесь только ими.
• Включите двухфакторную аутентификацию везде, где она есть. Даже украденный пароль без второго фактора даёт мошеннику гораздо меньше.
• Используйте уникальные пароли для разных сервисов и менеджер паролей: он не подставит пароль на поддельном сайте, если домен не совпадает с сохранённым.
• Относитесь к кодам из СМС и пуш-уведомлениям как к деньгам: никому и никуда их не сообщайте, включая «сотрудников банка» — настоящие сотрудники их не запрашивают.
• Настройте в почте фильтрацию и не открывайте вложения и ссылки из неожиданных писем, даже если отправитель кажется знакомым: адрес отправителя тоже подделывается.
• Периодически проверяйте, на каких сайтах сохранены ваши платёжные данные, и удаляйте лишнее.

Ответы на частые вопросы

Можно ли отличить поддельный сайт по внешнему виду?

Надёжно — нет. Современные фишинговые страницы копируют оригинал почти идеально. Единственный устойчивый признак — сам домен, поэтому проверять нужно адрес, а не дизайн.

Если в адресе есть https и замок, сайту можно доверять?

Нет. Замок означает шифрование соединения, а не честность владельца. Сертификат для поддельного домена оформляется так же легко, как для настоящего.

Почему мошенники не используют точное название домена?

Потому что оно занято настоящим владельцем. Похожее написание — способ обойти это ограничение, сохранив визуальное сходство. Отдельные схемы с кириллицей позволяют добиться почти полного совпадения.

Что делать, если я открыл поддельный сайт, но ничего не вводил?

Как правило, достаточно закрыть страницу. Риск возникает при вводе данных, скачивании файлов или установке программ. Если что-то из этого произошло — действуйте по шагам из раздела выше.

Помогает ли антивирус от фишинговых ссылок?

Частично: современные решения распознают известные фишинговые адреса и предупреждают о них. Но новые домены появляются быстрее, чем попадают в базы, поэтому проверка адреса и переход через закладки остаются основной защитой.

Главное

Похожие домены работают потому, что человек читает адрес по общему силуэту и доверяет внешнему виду сайта. Разорвать эту цепочку можно двумя привычками: всегда выделять основное имя домена в адресной строке и заходить на важные сервисы через закладки или официальные приложения, а не по ссылкам из сообщений. Дополнительную страховку дают уникальные пароли, двухфакторная аутентификация и бережное отношение к кодам из СМС. Если данные всё же ушли мошенникам — меняйте пароли и блокируйте карту немедленно, не откладывая: при таких инцидентах решают минуты.

Материал носит информационный характер и не заменяет консультацию специалиста по информационной безопасности или юриста. При краже данных, денег или учётных записей действуйте по инструкциям вашего банка и сервиса и при необходимости обращайтесь в правоохранительные органы.