Фишинговый сайт не всегда выглядит подозрительно. Злоумышленники копируют дизайн известных сервисов, используют похожие домены и даже подменяют ссылки внутри настоящей веб-страницы. В результате пользователь может видеть знакомую кнопку «Войти», но после клика попасть на страницу, которая собирает логин и пароль.
Для бизнеса такая проблема особенно опасна: подмена ссылок на сайте может привести не только к краже данных пользователей, но и к потере доверия к бренду.
Разберёмся, как самостоятельно проверить сайт на фишинг, обнаружить подозрительные ссылки и какие меры стоит внедрить веб-студии и владельцу сайта.
Что такое подмена ссылок
Подмена ссылки — это ситуация, когда визуально ссылка выглядит безопасной, но фактический адрес ведёт на другой ресурс.
Например, на странице может отображаться:
Войти в личный кабинет
При этом реальный URL кнопки может вести не на официальный домен компании, а на сторонний сайт.
Есть и более сложные варианты:
- ссылка ведёт на похожий домен с одной изменённой буквой;
- используется сокращённый URL, скрывающий конечный адрес;
- настоящий адрес маскируется редиректом;
- ссылка ведёт на взломанный сторонний ресурс;
- вредоносный URL добавляется в код страницы незаметно для пользователя;
- злоумышленник подменяет ссылку после загрузки страницы с помощью JavaScript.
Поэтому недостаточно просто посмотреть на внешний вид сайта — необходимо проверить, куда фактически ведут его ссылки.
Как проверить ссылку перед переходом
Самый простой способ — посмотреть фактический URL, не открывая страницу.
На компьютере наведите курсор на ссылку и посмотрите на адрес, который отображается в нижней части окна браузера. На смартфоне можно нажать и удерживать ссылку, чтобы увидеть её адрес.
Обратите внимание на домен.
Допустим, официальный сайт компании находится на example.ru. Подозрительными будут варианты вроде:
example-security.ru;example.ru.login-site.com;examp1e.ru;example-ru.com.
Особенно важно проверить часть адреса непосредственно перед первым /. Именно она определяет основной домен, а не слова, которые злоумышленник может добавить дальше.
Например:
example.ru/login — домен example.ru.
А вот:
example.ru.login-site.com/login — домен уже login-site.com.
Проверяйте HTTPS, но не доверяйте ему полностью
Наличие значка замка и протокола HTTPS говорит о том, что соединение с сайтом шифруется. Но это не доказывает, что сайт настоящий.
Фишинговый ресурс также может иметь действующий SSL-сертификат и открываться по HTTPS.
Поэтому проверка должна выглядеть так:
- Посмотреть на домен.
- Сравнить его с официальным адресом компании.
- Проверить, нет ли лишних символов, замен букв или необычной доменной зоны.
- Посмотреть, куда ведут кнопки и формы.
- При необходимости проверить цепочку перенаправлений.
HTTPS защищает передачу данных между браузером и сайтом, но не защищает от ввода данных на поддельном сайте.
Как проверить ссылки непосредственно на сайте
Если вы владелец сайта или разработчик, ручной проверки отдельных ссылок недостаточно. На большом проекте могут быть сотни или тысячи URL.
Начать можно с выгрузки всех ссылок со страниц сайта и последующей проверки.
Ищите:
- ссылки на неизвестные домены;
- URL с IP-адресами вместо доменных имён;
- подозрительные редиректы;
- ссылки на давно не используемые сервисы;
- сокращённые URL;
- ссылки на страницы с подозрительными параметрами;
- внешние ресурсы, которые не должны присутствовать на сайте.
Отдельно стоит проверить ссылки в:
- шапке и подвале сайта;
- формах авторизации;
- кнопках оплаты;
- личном кабинете;
- письмах и уведомлениях;
- всплывающих окнах;
- JavaScript-коде;
- рекламных и аналитических скриптах.
Проверяйте HTML-код
Иногда визуально ссылка выглядит правильно, но в HTML находится другой адрес.
Например:
<a href="https://suspicious-example.com/login">
Войти в личный кабинет
</a>
Поэтому при подозрении на подмену полезно открыть инструменты разработчика браузера и посмотреть атрибут href.
Также стоит проверить JavaScript. Ссылка может формироваться динамически после загрузки страницы, поэтому одного просмотра исходного HTML иногда недостаточно.
Особое внимание следует уделить конструкциям, которые:
- изменяют
href; - перехватывают клики;
- выполняют редиректы;
- динамически создают ссылки;
- загружают код с неизвестних внешних доменов.
Проверьте сайт на сторонние скрипты
Подмена ссылок может происходить не только из-за изменения HTML. Причиной может быть скомпрометированный JavaScript-код.
Например, злоумышленник получил доступ к сайту или одному из подключённых сервисов и добавил скрипт, который при определённых условиях изменяет ссылки.
Поэтому полезно составить список всех внешних ресурсов, загружаемых страницей:
- JavaScript;
- CSS;
- iframe;
- пиксели аналитики;
- рекламные системы;
- виджеты;
- сторонние библиотеки.
Если неизвестный скрипт появился недавно, это повод провести дополнительную проверку.
Проверяйте редиректы
Иногда ссылка выглядит нормально, но после клика пользователь проходит через несколько перенаправлений и оказывается на другом домене.
Например:
site.ru → tracking-service.com → suspicious-site.com
Сам по себе редирект не означает атаку: его используют аналитические и рекламные системы. Однако неожиданные перенаправления на неизвестные домены требуют проверки.
Для критически важных ссылок желательно знать не только URL, который находится в HTML, но и конечный адрес после всех разрешённых редиректов.
Как понять, что сайт могли взломать
Есть несколько признаков, которые должны насторожить владельца сайта:
- появились ссылки, которых никто из сотрудников не добавлял;
- пользователи жалуются на перенаправление на незнакомые страницы;
- поисковая выдача содержит странные страницы сайта;
- в коде появились неизвестные скрипты;
- изменились файлы шаблонов или CMS;
- появились новые административные аккаунты;
- хостинг фиксирует необычную активность;
- антивирусы или браузеры начали предупреждать о сайте.
В такой ситуации не стоит ограничиваться удалением подозрительной ссылки. Если сайт действительно был скомпрометирован, злоумышленник мог оставить дополнительный механизм доступа.
Что делать при обнаружении подмены
Если на сайте обнаружена подозрительная ссылка, действуйте последовательно.
1. Ограничьте распространение проблемы.
Если атака активна, временно отключите подозрительный раздел, скрипт или функциональность.
2. Зафиксируйте изменения.
Сохраните копию подозрительного кода, URL и журналов — это поможет определить источник проблемы.
3. Проверьте сайт целиком.
Не ограничивайтесь одной найденной ссылкой. Проверьте шаблоны, CMS, плагины, загрузки файлов, базу данных и административные аккаунты.
4. Проверьте доступы.
Смените пароли к CMS, хостингу, FTP/SFTP, базе данных и другим системам, если есть основания считать их скомпрометированными.
5. Установите причину.
Нужно понять, как появилась подмена: через уязвимость CMS, плагин, украденные учётные данные, сторонний скрипт или другой канал.
6. Проверьте резервные копии.
Если сайт был изменён, восстановление из заведомо чистой резервной копии может быть безопаснее ручного удаления отдельных файлов.
Как защитить сайт от подмены ссылок
Профилактика обычно дешевле восстановления после инцидента.
Для корпоративного сайта или интернет-магазина стоит внедрить базовый набор мер:
- регулярно обновлять CMS, плагины и библиотеки;
- использовать сложные уникальные пароли;
- включить двухфакторную аутентификацию для администраторов;
- ограничить количество административных аккаунтов;
- использовать SFTP/SSH вместо незащищенного FTP;
- настроить резервное копирование;
- контролировать изменения файлов;
- регулярно проверять внешние скрипты и ссылки;
- настроить Content Security Policy;
- использовать Subresource Integrity для подходящих внешних ресурсов;
- мониторить появление новых страниц и URL;
- регулярно проверять журналы сервера.
Особенно важно не забывать о сторонних интеграциях. Даже если основная CMS хорошо защищена, уязвимый плагин, виджет или внешний скрипт может стать точкой входа.
Чек-лист проверки сайта на подмену ссылок
Перед публикацией или после подозрительной активности можно пройти короткий чек-лист:
- Проверены домены всех важных ссылок.
- Нет неизвестных или неожиданных внешних URL.
- Проверены кнопки авторизации и оплаты.
- Проверены редиректы.
- Просмотрены внешние JavaScript-ресурсы.
- Проверены изменения HTML и шаблонов.
- Проверены административные аккаунты.
- CMS и плагины обновлены.
- Настроено резервное копирование.
- Включена двухфакторная аутентификация.
- Настроен мониторинг изменений сайта.
Итог
Проверка сайта на фишинг — это не только поиск подозрительных доменов. Важно контролировать весь путь пользователя: от ссылки и HTML-кода до JavaScript, редиректов и конечного адреса.
Если сайт содержит авторизацию, платежи или личные данные пользователей, регулярный аудит безопасности должен стать частью технического обслуживания проекта. А при обнаружении неизвестных ссылок или перенаправлений лучше проводить полноценное расследование, а не просто удалять найденный фрагмент.
Безопасный сайт — это не тот, на котором однажды проверили ссылки, а тот, где изменения регулярно контролируются и несанкционированный доступ быстро обнаруживается.
