Безопасна ли эта ссылка? Как понять до того, как нажать

Короткий ответ: ссылка безопасна, если она пришла от доверенного отправителя, ведёт на ожидаемый домен, использует HTTPS и не содержит признаков давления или обмана. Если вы не уверены — не нажимайте. Вместо этого проверьте URL вручную или откройте его в изолированной среде, откуда ничто не сможет добраться до вашего устройства.

Это руководство научит вас читать URL и распознавать сигналы опасности — ещё до того, как курсор окажется рядом с ним.

Почему ссылки — самый распространённый вектор атаки

Каждая фишинговая кампания, каждое заражение вредоносным ПО и каждая попытка кражи учётных данных начинается одинаково: кто-то нажимает на ссылку. Ссылка — это механизм доставки. Задача злоумышленника — сделать её достаточно обычной, чтобы вы не задумались.

Ваша задача — притормозить на две секунды и прочитать, что там на самом деле.

Тревожные признаки в самом URL

Чтобы распознать подозрительную ссылку, специальные инструменты не нужны. Большинство сигналов опасности видны, если знать, на что смотреть.

Обманчивые поддомены

Это один из самых эффективных и при этом самых недооценённых трюков. Взгляните:

paypal.com.login-verify.net

Настоящий домен здесь — login-verify.net. Часть paypal.com — это всего лишь поддомен. Звучит солидно. Но это не так. Браузеры показывают полный URL — а взгляд обычно цепляется за знакомое название бренда и пропускает остальное.

Правило: читайте домен справа налево, до первой значимой точки.

Сокращатели ссылок, скрывающие адрес назначения

bit.ly/x7Kq2, t.co/abc123, tinyurl.com/something — все они совершенно нормальны в соцсетях и все они полностью скрывают, куда ведут. Сокращённая ссылка в неожиданном письме или сообщении — это тревожный признак, к которому стоит отнестись серьёзно.

Большинство сокращателей можно раскрыть без нажатия: вставьте короткий URL в сервис вроде CheckShortURL или добавьте + в конец ссылки Bit.ly (bit.ly/x7Kq2+), чтобы увидеть страницу предпросмотра. Подробнее об этом в следующем разделе.

Punycode и символы-омографы

Unicode допускает символы из нелатинских письменностей, которые выглядят точь-в-точь как латинские буквы. аmazon.com и amazon.com могут выглядеть одинаково в тексте сообщения — в одном из них используется кириллическая «а». Браузеры часто отображают такие адреса в виде punycode (xn--mazon-3ve.com), но мессенджеры и почтовые клиенты могут показывать визуальный двойник.

Если ссылка выглядит правильно, но что-то смущает, скопируйте домен в адресную строку браузера и посмотрите, во что он разворачивается.

HTTP против HTTPS — и почему замочка недостаточно

HTTPS означает, что соединение зашифровано. Но это не значит, что сайт на другом конце заслуживает доверия. Фишинговые сайты регулярно используют HTTPS и показывают замочек. Получить TLS-сертификат ничего не стоит и занимает считанные минуты.

О чём HTTPS говорит: данные, которые вы отправляете, передаются в зашифрованном виде. О чём он не говорит: кто владеет сервером, который их получает.

HTTP-ссылка (без замочка) — дополнительный тревожный признак, особенно если она просит вас войти в аккаунт или ввести платёжные данные. Но один только замочек — это ещё не зелёный свет.

Избыточные редиректы и параметры отслеживания

Длинные URL, набитые параметрами redirect=, url= или r=, могут перебрасывать вас через несколько адресов, прежде чем вы куда-то попадёте. Каждый переход — это возможность скрыть конечный пункт назначения. URL, который выглядит как цепочка отслеживания — особенно заканчивающийся на незнакомом домене, — заслуживает пристального внимания.

Приманка срочности в сопровождающем сообщении

URL — лишь часть картины. Сообщение, в котором он пришёл, тоже важно. Классические сигналы:

«Ваш аккаунт будет заблокирован через 24 часа»
«Вас ожидает посылка — подтвердите сейчас»
«Обнаружен необычный вход — подтвердите немедленно»

Срочность отключает осторожное мышление. В этом и смысл. Когда сообщение испытывает на прочность вашу бдительность — притормозите.

Как проверить ссылку, не нажимая на неё

Наведите курсор для предпросмотра

На компьютере наведите курсор на гиперссылку, не нажимая. Настоящий адрес назначения появится в строке состояния внизу браузера или почтового клиента. Сравните его с тем, что написано в тексте ссылки. Если видимый текст гласит «Нажмите здесь, чтобы войти в свой банк», а URL ведёт куда-то совершенно в другое место — это явное несоответствие.

Раскрывайте сокращённые URL

Прежде чем нажимать любую короткую ссылку:

Используйте инструмент раскрытия сокращателей, чтобы увидеть полный адрес назначения.
Прочитайте раскрытый URL так же, как любой другой — посмотрите на настоящий домен, проверьте описанные выше признаки.
Если раскрытый адрес всё ещё выглядит незнакомым, считайте его подозрительным.

Проверьте, откуда пришла ссылка

Контекст — это улика. Спросите себя:

Ожидали ли вы это сообщение от этого человека?
Совершали ли вы какое-либо действие, которое могло сгенерировать эту ссылку (сброс пароля, доставку, чек)?
Совпадает ли адрес электронной почты или номер телефона отправителя с тем, что у вас есть в записях?

Неожиданная ссылка от знакомого контакта всё равно заслуживает проверки — аккаунты взламывают, а адреса отправителей подделывают.

Ограничения статических сканеров URL

Сканеры URL вроде VirusTotal или Google Safe Browsing сверяют ссылку с базами известных вредоносных сайтов. Они полезны, и ими стоит пользоваться. Но у них есть структурная слабость: они опираются на данные о репутации, которые отстают от реальных угроз.

У фишингового домена, зарегистрированного этим утром, ещё нет никакой репутации. Он не появится ни в одном чёрном списке. Сканер, проверяющий его прямо сейчас, вернёт «чисто» — не потому что он безопасен, а потому что он новый.

Чтобы глубже разобраться, почему статические сканеры недостаточны и что делать вместо них, прочитайте руководство по безопасной проверке ссылок на Tempbrowser. Там разобрана полная картина того, как фишинг обходит обнаружение по репутации и что на самом деле показывает динамическая проверка.

Вариант с нулевым риском: откройте её в одноразовом облачном браузере

Когда вы сделали ручные проверки, но всё ещё не уверены — или когда ссылка пришла оттуда, откуда вам по-настоящему не по себе, — самый безопасный ход — открыть её в среде, которая не является вашим устройством.

Tempbrowser — это одноразовый браузер в облаке. Вы вставляете URL. Он открывается внутри временного виртуального компьютера, поток которого транслируется на ваш экран. Страница работает там, а не здесь. Никакой код никогда не касается вашего компьютера.

Анализатор Tempbrowser добавляет ещё один слой: он делает скриншоты по мере загрузки страницы, чтобы вы могли увидеть, что она на самом деле делает — что отображает, перенаправляет ли сразу, показывает ли форму входа, притворяющуюся чем-то другим, — и всё это без единого действия на вашей машине.

Когда сессия завершается, вся среда стирается. Ни истории. Ни файлов cookie. Ни следа.

Тариф Free не требует ни регистрации, ни банковской карты. Вы получаете три запуска каждые 24 часа с сессиями длительностью несколько минут — более чем достаточно, чтобы увидеть, что на самом деле делает подозрительная ссылка. Если вам нужны более длинные сессии или безлимитные запуски, Pro стоит $4.99 в месяц при оплате за год и даёт сессии по 60 минут.

Это хорошо сочетается с пониманием того, что такое одноразовые браузеры на самом деле — если эта концепция для вас новая, та статья объясняет, как всё устроено.

FAQ

Что произойдёт, если я нажму на фишинговую ссылку?

Это зависит от того, что делает страница. Некоторые фишинговые страницы — это просто формы для сбора учётных данных: они причиняют вред только если вы введёте свой логин и пароль. Другие пытаются использовать уязвимости браузера, чтобы установить вредоносное ПО автоматически (это называется drive-by-загрузками). Риск бывает разным, но самое безопасное — исходить из того, что нажатие на неизвестную ссылку на вашем реальном устройстве несёт реальный риск.

Может ли ссылка заразить мой телефон просто при открытии?

Да, это возможно. Мобильные браузеры не защищены от атак через эксплойты. На практике большинство фишинга, нацеленного на телефоны, стремится украсть учётные данные через поддельные страницы входа, а не установить вредоносное ПО, — но zero-click и drive-by эксплойты для мобильных браузеров существуют, особенно против необновлённых устройств. Держать ОС и браузер обновлёнными — это базовая защита.

Насколько точны проверки ссылок?

Проверки на основе репутации точны для известных угроз и бесполезны для новых. Домен, зарегистрированный несколько часов назад, пройдёт любой сканер без нареканий. Это не делает его безопасным. Используйте сканеры как один из нескольких сигналов, а не как окончательный вердикт.

Как проверить ссылку на телефоне?

На мобильном это сложнее. Нет предпросмотра при наведении, а долгое нажатие для копирования ссылки занимает время. Что поможет:

Нажмите и удерживайте ссылку и выберите «Копировать ссылку», а не нажимайте на неё.
Вставьте в приложение заметок и внимательно прочитайте полный URL.
Прогоните её через инструмент раскрытия сокращателей, если это короткая ссылка.
Если всё ещё сомневаетесь, откройте tempbrowser.app/ru/analyzer в браузере телефона, вставьте туда URL и позвольте песочнице загрузить его вместо вашего устройства.

Что если ссылка выглядит нормально, но письмо всё равно кажется подозрительным?

Доверяйте этому ощущению. Гигиена URL — один сигнал; контекст — другой. Если сообщение пришло неожиданно, использует необычные формулировки или просит вас сделать что-то нестандартное, проверьте через отдельный канал — позвоните отправителю, войдите в сервис напрямую, введя URL самостоятельно, или обратитесь в поддержку. Не используйте контактные данные, указанные в самом подозрительном сообщении.

Итог

Прочитать URL — это две секунды. Восстановиться после взломанного аккаунта или заражённого устройства — совсем нет. Притормозите, проверьте домен, проверьте контекст, а когда сигнал неоднозначен — откройте ссылку там, где это не ваш компьютер.

Один клик. Одноразовый. Попробуйте анализатор Tempbrowser — регистрация не требуется.