Адрес и подделка бренда
Похож ли домен на банк, маркетплейс или госсервис: опечатки, похожие буквы из другого алфавита, название бренда в чужом домене, «логин@» перед адресом.
Проверка ссылки и сайта на фишинг
Пришла ссылка в СМС, мессенджере или письме? Вставьте её: за несколько секунд покажем, есть ли признаки подделки, и объясним каждый простыми словами.
Это не антивирус: мы не скачиваем файлы и не открываем страницы. Мы смотрим на сам адрес, домен, сертификат, редиректы и публичные базы фишинга.
Ссылка передаётся на наш сервер в теле запроса и не сохраняется. К проверяемому сайту мы обращаемся со своего сервера и запрашиваем только главную страницу (путь — только у сокращателей ссылок). Для возраста домена запрашиваем публичные данные RDAP у реестра доменной зоны. В аналитику ссылка и домен не попадают.
Что мы проверяем
Итог складывается из открытых признаков. Каждый из них показываем словами, без баллов.
Возраст домена
Когда домен зарегистрирован, по публичным данным RDAP. Фишинговые сайты обычно живут на доменах возрастом в несколько дней.
Сертификат
Кому и кем выдан SSL-сертификат, не истёк ли он, совпадает ли имя. Отдельно отмечаем сертификаты УЦ Минцифры.
Редиректы
Раскрываем сокращённые ссылки и проходим цепочку перенаправлений до конечного сайта.
Базы фишинга
Сверяем адрес с локальной копией публичной базы Phishing.Database. Ссылка не уходит сторонним сервисам.
Чего мы не делаем
Не антивирус
Мы не скачиваем файлы и не проверяем их на вирусы, не открываем страницу и не запускаем её скрипты.
Не гарантия
Отсутствие признаков не значит, что сайт безопасен: новый фишинг может ещё не попасть в базы, а часть сайтов прячется от проверок.
Не храним ссылки
Ссылка не сохраняется и не попадает в журналы и аналитику. Результат держим в памяти 10 минут, чтобы не нагружать сайт повторами.
Другие инструменты LiMP
Бесплатные проверки сети, приватности и безопасности прямо в браузере — без установки и регистрации.
Адрес-двойник
Фишинговый сайт копирует оформление банка или магазина, а адрес делает похожим на настоящий: sberbamk вместо sberbank, gosuslugi.help вместо gosuslugi.ru, буквы из кириллицы вместо латинских. В строке браузера такой адрес легко принять за знакомый.
Ещё один приём — поставить название бренда в начало длинного адреса: sberbank.secure-login.example. Настоящий домен читается справа налево: всё, что стоит левее последних двух частей, может написать кто угодно.
Свежие домены
Мошенники регистрируют домены пачками и бросают их через несколько дней, когда сайт попадает в базы. Поэтому домен возрастом в неделю, который просит ввести данные карты, — серьёзный повод насторожиться. Возраст мы берём из публичных регистрационных данных (RDAP); для некоторых зон, в том числе .ru, эти данные пока недоступны.
Сокращённые ссылки
Сокращатель прячет настоящий адрес: в сообщении видно bit.ly или clck.ru, а куда ведёт ссылка, не понять. Проверка раскрывает такую ссылку на нашем сервере и показывает конечный сайт текстом, чтобы вам не пришлось по ней переходить.
Что делать, если вы уже перешли и ввели данные
- Если вводили данные карты — позвоните в банк по номеру на обороте карты и заблокируйте её.
- Если вводили пароль — смените его на настоящем сайте и везде, где он повторяется, включите двухфакторную аутентификацию.
- Если вводили код из СМС — сообщите банку или сервису: этим кодом могли подтвердить операцию.
- Проверьте устройство антивирусом, если с сайта скачивался файл.
Частые вопросы о проверке ссылок
Вставьте ссылку в поле выше. Мы проверим, не похож ли адрес на известный бренд, сколько лет домену, в порядке ли сертификат, куда ведут редиректы и нет ли адреса в публичной базе фишинга. Полной гарантии не даёт ни одна проверка, поэтому для банков и госсервисов надёжнее всего набирать адрес вручную или пользоваться приложением.
Да. Ссылку открывает наш сервер, а не ваш браузер. Мы не скачиваем файлы, не выполняем скрипты страницы и не читаем её содержимое: смотрим только адрес, ответы сервера и сертификат. Адреса в результате показаны текстом, без ссылок.
Только на главную страницу сайта: путь и параметры из ссылки мы не отправляем, чтобы не «погасить» одноразовую ссылку и не сработал счётчик переходов. Исключение — сокращённые ссылки (bit.ly, clck.ru и подобные): у них вся суть в перенаправлении, поэтому их мы раскрываем целиком.
Это домен, зарегистрированный недавно, обычно меньше месяца назад. У настоящих банков и магазинов домены работают годами, а фишинговые сайты живут несколько дней. Свежий домен сам по себе не доказывает обман, но вместе с похожим на бренд адресом это серьёзный признак.
Мы сверяем адрес с локальной копией открытой базы Phishing.Database и пишем «обнаружен в публичной базе», а не «это мошенники». Остальные признаки (похожий адрес, свежий домен, проблемы с сертификатом) — это характерные для подделки черты, а не приговор.
Мы не ведём свою базу, а используем публичную Phishing.Database: исключение из неё запрашивается у её авторов. Если наш вывод о вашем сайте кажется вам ошибочным, напишите нам через форму на странице контактов, укажите адрес сайта — мы проверим и ответим.
Возраст домена мы берём из публичного протокола RDAP. Реестры зон .ru и .рф пока не публикуют эти данные в RDAP, поэтому для них возраст не показывается. На итог это не влияет.
Часть российских банков и госсервисов использует сертификаты национального удостоверяющего центра. Их доверяют Яндекс Браузер и Атом, но не все остальные браузеры, поэтому мы отмечаем это справкой, а не риском.