Фишинговые письма: признаки, виды и примеры атак на сотрудников

Фишинг: что это и почему атакуют рабочую почту

Фишинг — это письмо или сообщение от имени того, кому получатель доверяет: банка, поставщика, налоговой, собственного ИТ-отдела. Письмо добивается, чтобы сотрудник своими руками ввёл пароль на поддельной странице, открыл файл с программой удалённого доступа или оплатил счёт по чужим реквизитам. Взламывать систему злоумышленнику не нужно, доступ ему отдаёт человек, у которого он уже есть.

Рабочая почта подходит для атаки, потому что через неё идут счета, акты сверки, договоры, уведомления из ЭДО и письма о сбросе пароля. Бухгалтер, который получает двадцать счетов в день, не изучает каждый под лупой.

Ставки у компаний выше, чем у частных лиц. По обзору Банка России за 2025 год, средняя сумма одной операции без согласия клиента у юридических лиц составила 373,2 тыс. рублей, у физических лиц — 18,0 тыс., примерно в двадцать раз меньше. Во II квартале 2026 года на юридических лиц пришлось 780 таких операций из 458 655, но 831 млн рублей из 7,35 млрд, больше десятой части похищенного. В том же обзоре за 2025 год Банк России пишет, что людей всё чаще убеждали перейти по фишинговой ссылке или скачать вредоносную программу, через которую злоумышленник получал доступ к онлайн-банку.

Виды фишинга в корпоративной почте

Виды фишинга различаются тем, насколько письмо подогнано под получателя и чего от него хотят.

QR-код помогает обойти почтовый фильтр: фильтр проверяет ссылки в тексте, а код видит как обычную картинку. Сканирует его сотрудник личным телефоном, на котором корпоративной защиты обычно нет. В марте 2026 года МВД предупреждало о письмах «от ФНС» с QR-кодом для оплаты «задолженности»: код вёл на поддельный госсервис, где просили номер телефона, паспорт и реквизиты банковской карты.

Звонки и SMS (вишинг и смишинг) держатся на тех же приёмах, но проверяются иначе, поэтому дальше речь только о почте.

Признаки фишингового письма: разбор на примерах

Сотрудники часто спрашивают, какие признаки указывают на фишинговое письмо, если в нём нет ни одной ошибки. Таких признаков шесть, и проверять их удобнее по порядку: от адреса к просьбе.

Адрес отправителя и домен-двойник

Имя отправителя в почтовом клиенте может быть любым: подпись «Ирина Петрова, бухгалтерия» легко поставить к адресу на бесплатной почте. Смотреть нужно на сам адрес после знака @ и на поле «Ответить», куда уйдёт ответ. Если письмо пришло с одного адреса, а ответ уходит на другой, это повод остановиться.

Домен-двойник отличается от настоящего одним-двумя символами. У условного поставщика romashka-trade.ru фишинговые адреса могут выглядеть так:

• romashka-trаde.ru, где буква «а» набрана кириллицей и на экране неотличима от латинской;
• rornashka-trade.ru, где «m» заменили на пару букв «rn»;
• romashka-trade.com или romashka-trade.net вместо привычной зоны .ru;
• romashka-trade.ru.docs-secure.net, где настоящий адрес стал началом чужого домена.

Последний приём рассчитан на длинные ссылки: глаз цепляется за знакомое начало и не дочитывает до настоящего домена в конце.

Срочность, давление и секретность

Фишинговое письмо почти всегда торопит: «оплатите до 15:00, иначе поставку снимут», «ответ нужен сегодня, я на совещании и не могу говорить». Вторая частая деталь — просьба никому не рассказывать: «сделка конфиденциальная», «пока не обсуждайте с финансовым директором». Срочность отнимает время на проверку, секретность отсекает коллег, которые могли бы заметить подвох.

Вложения: html-файл, архив с паролем, документ с макросами

Три типа вложений должны насторожить даже в письме со знакомого адреса:

• файл .html или .htm, который открывается в браузере и показывает страницу входа в почту или облако; ссылки на поддельный сайт в тексте письма нет, и фильтру её сложнее заметить;
• архив с паролем, который написан в самом письме; зашифрованное содержимое почтовый фильтр проверить не может, и пароль в тексте нужен именно для этого;
• документ Word или Excel, который просит «включить содержимое» или «разрешить редактирование»; так запускаются макросы, небольшие программы внутри документа.

Ещё одна уловка связана с расширением файла: «Акт_сверки.pdf.exe» на компьютере, где скрыт показ расширений, выглядит как «Акт_сверки.pdf».

Ссылка на вход в почту, облако или ЭДО

Письма «вам пришёл документ на подпись», «ваш ящик переполнен», «подтвердите учётную запись» ведут на копию страницы входа. Сотрудник вводит логин и пароль, страница показывает ошибку или перебрасывает на настоящий сайт, и пароль уже у злоумышленника. Надёжнее не входить по ссылке из письма: открыть ЭДО или облако из закладки и посмотреть, есть ли там документ.

Просьба нарушить обычный порядок

Самый надёжный признак кроется в просьбе. В каждой компании есть порядок: счёт оплачивают по заявке в учётной системе, смену реквизитов подтверждают звонком контрагенту, список сотрудников выдают через кадры. Фишинговое письмо просит сделать исключение: оплатить без заявки, принять реквизиты по одному письму, выслать документы на внешний адрес. Такую просьбу проверяют, даже если адрес настоящий, потому что ящик поставщика или коллеги могли взломать.

Подпись, тон и детали, которые не сходятся

Злоумышленник копирует подпись из прошлых писем, но ошибается в мелочах: нет привычного телефона, указана прежняя должность, «Уважаемый коллега» пишет человек, который всегда обращается по имени. Письмо от «директора» в субботу ночью или счёт от поставщика, с которым компания закончила работу, тоже не сходятся с реальностью. Опечатки и кривой перевод раньше считались главным признаком, сейчас на них полагаться нельзя.

Примеры фишинга: пять сценариев атак на компанию

Примеры фишинга ниже условные: так выглядят типовые письма, которые получают бухгалтерия, кадры, ИТ, юристы и закупки.

1. Счёт от поставщика с новыми реквизитами. «Добрый день! С 1 ноября мы обслуживаемся в другом банке. Счёт № 418 прошу оплатить по новым реквизитам, письмо за подписью генерального директора во вложении». Письмо приходит с домена-двойника или из взломанного ящика поставщика, иногда прямо в действующую переписку. Деньги уходят на чужой счёт, а настоящий поставщик через месяц присылает претензию за неоплату.
2. «Требование» налоговой. Письмо «из Главного управления ФНС России» просит заполнить документы во вложении или срочно погасить «задолженность» по QR-коду. Схему с несуществующим «Главным управлением» ФНС описывает в своём разделе о мошенничестве: скачанное вложение давало отправителю удалённый доступ к компьютеру.
3. Рассылка «от HR». «Утверждён график отпусков на 2027 год, проверьте свои даты до пятницы». Ссылка ведёт на копию корпоративного портала, где просят войти под рабочей учётной записью. Тема касается каждого, поэтому срабатывает.
4. «Служба поддержки» и пароль. «Ваш пароль истекает через 24 часа», «ящик заполнен на 98%, письма перестанут приходить». Письмо оформлено под уведомление почтовой системы, кнопка «Сохранить пароль» ведёт на поддельную страницу входа. Правило, которое стоит один раз объявить всем: ИТ-отдел никогда не просит ввести пароль по ссылке из письма.
5. Документ на подпись. «Вам направлен договор на согласование» со ссылкой на облачное хранилище или «вход в ЭДО», либо html-вложение с формой входа. Расчёт на то, что юристы и закупки подписывают десятки документов в неделю и открывают их по привычке.

Как нейросети изменили фишинговые письма

Раньше фишинг выдавали ошибки, машинный перевод и странные обороты. Теперь письмо может быть написано грамотнее, чем пишут в самой компании. ФБР в предупреждении от 3 декабря 2024 года пишет, что генеративный ИИ исправляет грамматические и орфографические ошибки, которые раньше служили признаком мошенничества, помогает готовить целевые фишинговые письма и рассылать их быстрее и шире.

Нейросеть сокращает и подготовку: помогает быстро собрать из открытых источников структуру компании, имена из пресс-релизов, проекты из вакансий и постов. В итоговом письме верны имя, должность, название проекта и даже любимые обороты руководителя.

Это меняет ответ на вопрос, какие признаки фишингового письма ещё работают. Грамотность и вежливый тон больше ничего не доказывают. Остаются адрес, поле «Ответить», тип вложения, ссылка и сама просьба. Злоумышленник может написать безупречный текст, но заявки в вашей учётной системе у него нет, и на звонок по номеру из договора ответит настоящий поставщик.

Что делать сотруднику с подозрительным письмом

Порядок действий должен быть коротким, чтобы его выполняли без раздумий:

1. Ничего не делать из письма: не переходить по ссылкам, не открывать вложения, не отвечать.
2. Проверить адрес отправителя и поле «Ответить», навести курсор на ссылку.
3. Проверить просьбу по второму каналу: позвонить по номеру из договора, справочника или корпоративного мессенджера. Номер из подписи не годится, его тоже мог вписать злоумышленник.
4. Переслать письмо в ИБ или ИТ как вложение: так сохраняются служебные заголовки, по которым видно, откуда оно пришло на самом деле.
5. Если уже кликнул или ввёл пароль, сразу сообщить в ИБ или ИТ и сменить пароль. Если ушёл платёж, немедленно звонить в банк.

Защита от фишинга на уровне компании

Защита от фишинга не держится на одной внимательности сотрудников. В том же руководстве NCSC предлагает четыре слоя: не пропускать письма к людям, помогать людям распознавать письма и сообщать о них, ограничивать ущерб от письма, которое всё-таки сработало, и быстро реагировать на инцидент. На практике это такие меры:

• записи SPF, DKIM и DMARC для своего домена, по которым почтовые серверы получателей отличают настоящие письма компании от подделок; ФНС в разделе о мошенничестве советует организациям с собственными почтовыми серверами настроить проверку легитимности отправителя;
• пометка «Внешний отправитель» в начале письма, чтобы «директор» с внешнего адреса сразу выглядел странно;
• блокировка или проверка html-вложений, архивов с паролем и документов с макросами, запрет макросов в файлах из интернета;
• двухфакторный вход в почту, ЭДО, облако и онлайн-банк, чтобы одного украденного пароля не хватало;
• платёжный порядок: новые реквизиты принимают только после звонка контрагенту по известному номеру, крупный платёж подписывают двое;
• один понятный способ сообщить о письме: кнопка в почтовом клиенте или отдельный адрес службы безопасности.

Как компании учат сотрудников распознавать фишинг

Инструктаж раз в год под подпись подтверждает только сам факт инструктажа: через неделю после лекции сотрудник получает письмо, похожее на настоящее, и кликает. Поэтому обучение строят вокруг учебной рассылки, после которой разбирают, на чём команда ошиблась.

В курсе Robotext учебные примеры мы готовим на основе типичной переписки компании: письма от бухгалтерии, ИТ-поддержки, смежных подразделений. На первом тренинге (онлайн-вебинар на 1,5–2 часа) разбираем признаки фишинговых писем, поддельные домены с похожими символами и поддоменами, порядок проверки ссылок и вложений. После него проводим учебный фишинг для сотрудников с письмами, которые имитируют реальные атаки. Второй тренинг строим по результатам рассылки и усиливаем темы, где команда оказалась уязвимой.

Рассылка диагностическая. Компания получает агрегированную статистику, сколько человек открыли письмо и перешли по ссылке, и аналитическую записку с рекомендациями, без списка тех, кто ошибся. NCSC советует считать вместе с кликами и число сотрудников, которые сообщили о письме. Такие метрики есть в отдельной услуге, симуляции атаки: доля сообщивших в службу безопасности и время до сигнала.

После обучения у сотрудников остаётся чек-лист для проверки писем, звонков и сообщений, у компании остаются материалы занятий, видеозаписи и отчёт по рассылке. В первую очередь обучение нужно финансам и бухгалтерии, которые получают поддельные счета и «срочные» платёжные поручения, кадрам, которые каждый день открывают резюме от незнакомых отправителей, и закупкам, где легко подменить реквизиты контрагента.