Настоящий сайт, фальшивая страница: как работает скрытая переадресация
Фишинговая ссылка больше не обязана начинаться с очевидной подделки. Злоумышленник может найти уязвимость на настоящем корпоративном сайте, разместить скрытый код и настроить переадресацию. Пользователь видит знакомый домен, нажимает на него без опасений и уже после перехода попадает на страницу кражи данных.
Переадресация может срабатывать не для всех. Ее включают только для посетителей из определенного региона, с мобильного устройства, из рекламной кампании или по специальному параметру в ссылке. Поэтому владелец сайта и техническая поддержка при обычной проверке иногда видят нормальную страницу и не могут сразу воспроизвести жалобу.
Значок замка в браузере подтверждает шифрование соединения, но не честность владельца страницы. Сертификат можно получить и для мошеннического домена. После загрузки нужно проверить конечный адрес целиком: основной домен, поддомен, лишние символы, замененные буквы и неожиданную смену зоны.
Для чувствительных действий безопаснее открыть официальный ресурс самостоятельно: через сохраненную закладку, приложение или адрес, введенный вручную. Ссылка из письма может быть началом цепочки, поэтому доверять только первому показанному адресу нельзя. Особенно это важно перед входом, оплатой, загрузкой документа или вводом кода подтверждения.
Компаниям нужен контроль не только главной страницы. Устаревший плагин, забытый поддомен, тестовая форма и старый кабинет подрядчика могут стать входом для атаки на клиентов. Инвентаризация интернет-активов, обновления, журналирование изменений и уведомления о новых перенаправлениях снижают время обнаружения.
Если клиент сообщает о странном переходе, полезно сохранить исходную ссылку, время, устройство, регион, конечный адрес и снимок экрана. Эти детали позволяют найти условие срабатывания и одновременно предупредить пользователей, пока техническая команда закрывает уязвимость.
HEIMDALL рассматривает сайт как часть проверяемого цифрового следа, а не как доказательство надежности сам по себе. Настоящий домен повышает доверие только вместе с независимой проверкой компании, контакта, назначения страницы и получателя операции.