Приглашение в облачный документ как фишинг: как выглядят поддельные запросы доступа

Облачные сервисы стали привычной частью работы и учёбы. Коллеги и знакомые постоянно делятся документами, поэтому письмо вида «Иван поделился с вами файлом» не вызывает подозрений. Мошенники копируют именно это оформление: логотип сервиса, кнопка «Открыть», имя отправителя и название файла, например «Счёт», «Договор», «Список».

Кнопка ведёт на страницу, имитирующую вход в облачный сервис или почтовый аккаунт. Пользователь вводит логин и пароль, чтобы «открыть» файл, и передаёт их злоумышленнику. Иногда открывается настоящий документ-приманка, чтобы вы ничего не заподозрили.

Опасность в том, что учётная запись почты часто связана со множеством сервисов. Получив доступ к ней, злоумышленник может сбросить пароли, читать переписку и рассылать приглашения вашим контактам.

Дополнительная хитрость — уведомление о «комментарии» или «упоминании» в документе. Оно выглядит как обычное сообщение об активности и вызывает желание посмотреть, что о вас написали. Ссылка из такого письма ведёт туда же, куда и приглашение, поэтому правила проверки одинаковы.

• Отправитель вам знаком, а содержание соответствует ожидаемой ситуации: вы действительно ждали этот файл.
• Адрес отправителя совпадает с настоящим адресом сервиса или вашего коллеги, без лишних символов.
• Ссылка ведёт на домен сервиса, а не на незнакомый адрес, и проверяется по правилу чтения справа налево.
• Файл виден в разделе доступных вам файлов, если открыть сервис вручную.
• Сообщение не требует ввести пароль повторно: вы уже вошли в аккаунт.
• Название файла соответствует теме общения.

Если что-то не совпадает, не открывайте письмо, а уточните у отправителя по другому каналу связи, например позвоните или напишите в мессенджер.

Полезно также сверить название файла с ожиданиями. Слова вроде «Срочно», «Зарплатная ведомость» или «Претензия» на неожиданном документе должны вызывать не любопытство, а осторожность.

Если письмо пришло на рабочий адрес, не пересылайте его коллегам как вложение и не открывайте на личном устройстве: сообщите ответственным за безопасность и приложите оригинал письма с полными заголовками.

Опытные пользователи проверяют и заголовки письма: в подробностях сообщения видно реальный адрес отправителя, путь письма и результаты проверок подлинности домена. Если проверки не пройдены или адрес не совпадает с заявленным, письмо, скорее всего, подделка.

Если письмо кажется подозрительным, проверьте его без нажатия на кнопку. Откройте облачный сервис вручную и загляните в раздел файлов, которыми с вами поделились. Если документа там нет, приглашение поддельное или не относится к вам.

Если вы ждёте файл от коллеги, но не уверены в письме, напишите ему в другой канал и уточните. Не пересылайте подозрительное письмо во внутренние чаты без предупреждения: его могут открыть коллеги. Сообщите об этом ответственному за безопасность, если это рабочая почта.

Для рабочих аккаунтов включите подтверждение входа и следите за уведомлениями о новых входах. Используйте отдельные пароли и менеджер паролей, который не подставит данные на поддельной странице.

Для дополнительной защиты настройте в почте отдельную папку для приглашений на общие файлы и внимательно просматривайте её раз в день, а не открывайте письма сразу по уведомлению на экране блокировки.

Смените пароль от затронутого аккаунта с надёжного устройства и завершите все активные сеансы. Проверьте правила пересылки в почте: злоумышленники иногда включают скрытую пересылку писем на свой адрес. Проверьте отправленные письма, приглашения и связанные приложения, отзовите подозрительные доступы.

Включите подтверждение входа. Смените пароли других сервисов, где использовался этот же пароль. Предупредите контакты, что от вашего имени могли рассылаться приглашения. Если аккаунт рабочий, немедленно сообщите в службу поддержки или безопасности организации.

Если вы открыли файл и включили макросы либо установили предложенную программу, отключите устройство от сети, проверьте его защитной программой и, если возникли сомнения, восстановите систему из чистой копии.

После инцидента полезно обсудить его с командой без поиска виноватых: разобрать, что в письме выглядело правдоподобно, и обновить правила проверки. Так в следующий раз сотрудники быстрее заметят подмену.

В организации риск выше, потому что почтовая учётная запись сотрудника открывает доступ к общим папкам, календарям и переписке. Полезно установить несколько простых правил. Во-первых, приглашения на файлы от незнакомых адресов не открываются, а пересылаются в отдел безопасности или отмечаются как спам. Во-вторых, для обмена документами используется общий рабочий каталог, а не личные ссылки из писем. В-третьих, все сотрудники включают подтверждение входа.

Если в компании есть администратор, ему стоит настроить ограничения на внешний доступ и уведомления о подозрительных входах. Отдельный список «известных внешних партнёров» помогает быстро отличить приглашение от знакомого контрагента от случайной рассылки.

Для личного использования достаточно двух привычек. Первая: если файл приходит неожиданно, спросите отправителя другим способом. Вторая: не пользуйтесь паролем от почты в других сервисах, чтобы утечка из одного места не открыла остальные. Также стоит периодически просматривать список приложений и сайтов, которым вы разрешили доступ к учётной записи, и отзывать лишние разрешения.

Если вы сами делитесь документом, добавьте в письмо короткое пояснение своими словами: это снизит вероятность, что получатель воспримет ваше сообщение как подозрительное или, наоборот, слепо доверится подделке.