Короткий ответ: проверяйте URL сканером, не открывая ссылку
Проверку ссылки начинайте с копирования адреса, а не с перехода: сканер сам запросит страницу и покажет отчёт, а вы останетесь в стороне и не увидите поддельную форму входа.
- Скопируйте адрес, не нажимая по ссылке. На компьютере — правой кнопкой мыши, пункт «Копировать адрес ссылки». На телефоне — долгое нажатие, затем «Копировать ссылку». Так страница не откроется.
- Вставьте URL в сканер. Подойдёт Cloudflare URL Scanner — он доступен в Cloudflare Radar, в Security Center и через API. Второй вариант — сервис «Доктор Веб» «Проверить ссылку»; в материале Dr.Web о фишинге упомянуты также VirusTotal и Phishtank.
- Сначала посмотрите конечный адрес и домен, потом вердикт. В отчёте есть исходный URL и URL после всех редиректов — это разные вещи, если ссылка ведёт через сокращатель или промежуточную страницу.
- Сверьте домен второго уровня с официальным. Об этом ниже: именно домен, а не логотип и вёрстка, отвечает на вопрос «тот ли это сайт».
- Только теперь решайте, переходить ли. «Чисто» в сканере не разрешает вводить пароль, seed-фразу или подписывать транзакцию — это отдельное решение, которое зависит от того, что сайт просит.
Что на самом деле означает вердикт «чисто»
«Чисто» — это отсутствие обнаружения в базе сервиса на момент проверки. Не подтверждение, что сайт безопасен, и не разрешение вводить любые данные.
Dr.Web в своём материале прямо предупреждает: результат проверки бывает ложноположительным и ложноотрицательным. Фишинговый сайт может быть просто не внесён в базу — и тогда сервис покажет его как безопасный. Обратное тоже случается: безобидный сайт попадает в базу по ошибке.
В отчёте Cloudflare общая оценка verdicts.overall.malicious показывает, считался ли сайт вредоносным на момент скана. Документация советует смотреть не только её, но и вердикты отдельных подсистем — например, meta.processors.phishing сообщает, какой тип фишинга обнаружен, если обнаружен.
Поэтому проверяйте URL в двух сервисах и отдельно изучайте домен: совпадение двух вердиктов «чисто» всё равно не заменяет проверку адреса — у нового фишингового сайта может не быть истории.
Замок и HTTPS тоже ничего не доказывают. По данным Dr.Web, злоумышленники ставят на фишинговые сайты действительные бесплатные сертификаты, чтобы обойти предупреждения браузера. Защищённое соединение означает, что трафик шифруется, а не что за сайтом стоит настоящая компания. Если браузер всё же предупреждает о небезопасном сайте, не отключайте защиту и не выбирайте «Всё равно открыть».
Смотрите на домен, а не на логотип и дизайн
Домен второго уровня — основное имя сайта. В адресе shop.drweb.ru домен второго уровня — drweb, а shop — поддомен. Сторонний человек не может зарегистрировать shop.drweb.ru, если ему не принадлежит drweb.ru. А вот shop.drveb.ru — уже другая история: это отдельный домен, и он может принадлежать кому угодно.
Вот как это выглядит на практике. Вам пришла ссылка на «магазин Доктор Веб». Адрес shop.drweb.ru — поддомен настоящего сайта. Адрес shop.drveb.ru — подделка, даже если страница выглядит точно так же: буква w заменена на v. То же самое с doctorweb.ru и с доменом sheim668 из примера Dr.Web про фальшивый магазин Shein.
Типичные приёмы подделки: замена букв на визуально похожие, добавление цифр, опечатки, лишнее слово в имени. Смотрите на домен целиком и на то, какая его часть является основной, а не на знакомый логотип в шапке.
Редиректы и сокращатели ссылок скрывают конечный адрес. В отчёте Cloudflare за это отвечают page.url — адрес основного запроса после всех перенаправлений — и page.history с историей переходов. Если исходная ссылка ведёт на bit.ly, а после перехода оказывается на незнакомом домене, решение принимается по конечному домену.
Whois — дополнительный признак. В данных о домене смотрите строки «Владелец» и «Создан». Если владелец — частное лицо (Private Person), а домен зарегистрирован пару недель назад, это усиливает подозрение: крупные компании так домены не регистрируют. Но это сигнал, а не приговор: подставная фирма тоже возможна, а старый домен может быть взломан. Whois не заменяет проверку сканером и анализ адреса.
Как читать отчёт Cloudflare URL Scanner
В веб-интерфейсе отчёт разбит на вкладки Summary, Security, Network, Behavior и Indicators. Для обычной проверки ссылки достаточно Summary и Network.
Summary. Здесь скриншот страницы, а информация о ней и данные безопасности показаны рядом. Скриншот полезен сам по себе: видно, на что похож сайт, без открытия его в браузере. Смотрите также категорию домена и обнаруженный тип фишинга.
Network. Ключевые поля — конечный URL после редиректов (page.url), история переходов (page.history), IP-адрес и номер ASN, цепочки запросов (data.requests) и TLS-сертификаты (lists.certificates). Именно здесь видно, куда на самом деле ведёт ссылка и с какими ещё доменами она связана.
Что ещё попадает в отчёт. URL и редиректы, cookies, console-логи, определённые технологии, хеши содержимого и скриншотов.
Из-за этого не отправляйте на публичную проверку ссылки с одноразовыми токенами, идентификаторами сессий или личными данными: они попадут в отчёт и сохранятся там. В веб-интерфейсе Cloudflare по умолчанию выбран уровень видимости Unlisted: отчёт не показывается в списке недавних сканов и в поиске, его видит только тот, у кого есть идентификатор. Public включается отдельно, а в Cloudflare Radar кнопка запуска подписана Publish — это публикация отчёта. При сканировании через API по умолчанию, наоборот, действует Public, если не выбрать Unlisted.
Криптоспецифика: URL — только часть проверки
Фишинговый сайт может быть точной копией страницы кошелька или биржи: скачанный дизайн, тот же шрифт, тот же логотип. Поэтому адрес важнее оформления, и проверять нужно домен, а не наличие знакомой картинки.
Главное ограничение URL-сканера: он не проверяет, что именно просит подписать сайт. Транзакция или запрос на разрешение токенов могут быть опасны и на «чистом» домене — например, если сам домен взломали или если это новый адрес, которого ещё нет в базах. Сканеру достаточно адреса: seed-фразу, приватный ключ или пароль туда отправлять не нужно, и он всё равно не даст доступа к вашему кошельку.
Настоящий сервис не просит seed-фразу или приватный ключ для «проверки», «восстановления» или «разблокировки» аккаунта. Это самостоятельный красный флаг, и он работает независимо от вердикта сканера: восстановление кошелька делается из вашей резервной копии, а не вводом фразы на чужой странице.
Полезно различать три вещи, которые часто смешивают в одно «подключил кошелёк»:
- Подключение приложения — сайт узнаёт адрес кошелька. Само по себе оно не даёт списать средства.
- Разрешение на списание токенов (approve) — транзакция в блокчейне, которая позволяет контракту тратить конкретный токен в пределах указанной суммы.
- Подпись сообщения — не транзакция, а подтверждение чего-либо. Среди таких подписей бывают Permit и Permit2, которые тоже могут давать разрешение на списание токенов.
Если вы уже подключали кошелёк к подозрительному сайту, проверьте и отзовите выданные разрешения: через обозреватель блокчейна, Revoke.cash или MetaMask Portfolio. Отключение кошелька от сайта не отзывает approvals — это разные действия. Подробнее о том, какие разрешения бывают и как их отзывать, — в статье «Как проверить и отозвать разрешения токенов в кошельке».
Если вы уже перешли по ссылке: действия по тому, что успели ввести
Дальнейшие шаги зависят не от того, насколько подозрительно выглядел сайт, а от того, что вы на нём сделали.
| Что произошло | Что делать |
|---|---|
| Открыли страницу, ничего не вводили и не подписывали | Закройте страницу и не возвращайтесь на неё. Проверьте адрес через сканер. Не запускайте ничего, что успели скачать с сайта. |
| Ввели пароль | Смените его на этом сервисе и везде, где он повторялся. Включите двухфакторную аутентификацию и завершите активные сессии. |
| Ввели данные карты | Обратитесь в банк по официальному каналу — номер с обратной стороны карты или приложение. Блокировку или перевыпуск карты банк применяет по своим правилам. |
| Ввели seed-фразу или приватный ключ | Создайте новый кошелёк и переведите туда активы. Старый кошелёк считайте скомпрометированным и не пополняйте его. |
| Подписали незнакомую транзакцию или approve | Проверьте разрешения токенов и отзовите те, которые вы не выдавали. |
| Подключили кошелёк, но ничего не подписывали | Отключите сайт в кошельке и проверьте список разрешений — на всякий случай, если до этого подписывали что-то ещё. |
При замене кошелька после утечки seed-фразы не пополняйте старый адрес: злоумышленник с этой фразой может вывести любые средства, которые туда поступят. Переводите активы на новый кошелёк как можно быстрее. Комиссия за перевод токенов списывается в нативной монете сети, и, если на старом адресе уже есть немного такой монеты, используйте её для перевода. Если её не хватает, пополнение скомпрометированного адреса — дополнительный риск: пополнение может быть украдено до того, как вы успеете им воспользоваться.
