Как работи фишинг съобщението

Модул 3: Разпознаване на фишинг · Време за четене: 11 минути

Учебна цел: След този урок ще можете да разпознавате психологическите трикове и постоянните характеристики на фишинг съобщението, дори когато текстът е безгрешен, и ще реагирате с рефлекса стоп, проверка, въпрос.
Основни понятия: спешност, авторитет, страх, любопитство, награда, претекст, фишинг, написан от AI, рефлексът „стоп, проверка, въпрос“

Фишингът е разказ, не техника

Фишингът е съобщение, което Ви кара да направите нещо, добро за подателя и лошо за Вас: да кликнете върху връзка, да влезете в профила си на фалшива страница, да отворите прикачен файл, да извършите плащане или да предадете код. Техниката зад него често е проста. Това, което върши работата, е разказът.

Този разказ се нарича претекст: правдоподобен повод. „Пратката Ви не можа да бъде доставена.“ „Пощенската Ви кутия е пълна.“ „Има неплатена фактура.“ „Профилът Ви ще бъде блокиран.“ Добрият претекст съответства на Вашата ситуация. Пекарна получава имейл за доставчик на брашно, адвокатска кантора за призовка, онлайн магазин за блокирано плащане.

Целта почти винаги е една от следните четири:

При последния вид в самия момент не се случва нищо лошо. „Кой при Вас се занимава с плащанията?“ изглежда като обикновен въпрос. Но с отговора нападателят по-късно може да изпрати много по-убедителен имейл, насочен точно към този човек. Това се нарича целеви фишинг (spear phishing) (урок 1.2).

Петте бутона, на които натиска фишингът

Фишингът работи, защото Ви кара да действате, преди да помислите. За целта натиска няколко постоянни бутона в главата ни. Почти всяко фишинг съобщение използва поне два от тях.

1. Спешност. „В рамките на 24 часа“, „още днес“, „последно напомняне“. Времевият натиск е най-важният трик, защото тогава не отделяте време да проверите.
2. Авторитет. Съобщението уж идва от някой, когото приемате сериозно: банката, НАП, директора, полицията, Вашия хостинг доставчик, адвокат.
3. Страх. Профилът Ви ще бъде блокиран, ще получите глоба, данните Ви са изтекли, домейнът Ви изтича, има пробив във Вашата сметка.
4. Любопитство. „Вижте снимките от събитието“, „получихте споделен документ“, „има гласово съобщение за Вас“, „ведомост за заплати 2026.pdf“.
5. Награда. Възстановяване на сума, подаръчен ваучер, спечелена награда, безплатно надграждане, голяма поръчка от нов клиент.

Внимание: тези бутони се срещат и в истински съобщения. Истинската фактура има краен срок, истинската банка понякога изпраща предупреждение. Затова един трик сам по себе си не прави съобщението фалшиво. То става подозрително, когато натискът е голям и съобщението изисква нещо, което обикновено не бихте направили така.

Постоянни характеристики, независимо от текста

Освен триковете, фишинг съобщенията имат няколко характеристики, които почти винаги се повтарят:

• Призив да направите нещо веднага (call to action): бутон, връзка, прикачен файл, телефонен номер за обаждане.
• Канал, който не отговаря на ситуацията. Банката Ви иска по имейл да влезете в профила си, доставчикът Ви иска чрез WhatsApp плащане, колега Ви иска чрез SMS подаръчни ваучери.
• Искане, което не отговаря на нормалното. Предаване на парола или код за вход, промяна на IBAN, плащане извън обичайната процедура, инсталиране на софтуер по молба на обаждащ се.
• Отклонение в подателя или връзката. Адресът или връзката не съвпадат точно с организацията, която очаквате. Как точно да го проверите, ще научите в урок 3.2 и 3.3.
• Поверителност или заобикаляне на процедурата. „Не казвай още на останалите“, „в заседание съм, не ми звъни“, „направи го извън системата“.

Последната характеристика е най-силният сигнал при измама с „директор“ (CEO fraud) и фактурна измама: истинският директор няма интерес Вие да пропуснете обичайната проверка.

Защо правописните грешки вече не са добър белег

Преди фишингът се разпознаваше по накъсан език, странно обръщение и грозно оформление. Това вече не важи. С езикови модели (AI) нападателят написва за секунди безгрешен, любезен имейл на всеки език, в стила на организацията, която имитира. Нидерландският NCSC също предупреждава, че фишингът, създаден с AI, става все по-трудно разпознаваем: по-малко езикови грешки и страници за вход, които изглеждат все по-истински.

Освен това фишингът понякога идва от истинска пощенска кутия. Ако пощенската кутия на доставчик е превзета, нападателят просто отговаря в съществуваща кореспонденция, с подпис, тон и предишни съобщения. Това се нарича отвличане на кореспонденция (thread hijacking). Подателят, оформлението и езикът тогава са напълно истински. Само искането не е вярно: „Имаме нова банкова сметка, бихте ли платили откритата фактура по нея?“

Затова не гледайте как изглежда съобщението, а какво иска от Вас. Фишингът рядко се разпознава по една характеристика, а по цялостната картина.

Рефлексът: стоп, проверка, въпрос

Не е необходимо да познавате всеки трик. Нужен Ви е само един рефлекс, който да използвате всеки път, когато дадено съобщение иска нещо от Вас.

Стоп. Усещате ли бързане, уплаха, любопитство или радост? Точно това е моментът да не кликате. Оставете съобщението настрана за малко. Истинските организации почти винаги Ви дават достатъчно време да го проверите.

Проверете по Ваш собствен път. Не продължавайте чрез самото съобщение. Не кликайте върху връзката, не звънете на номера от съобщението и не отговаряйте на имейла. Отидете сами до сайта чрез Вашата отметка (bookmark) или като въведете адреса, или позвънете на номер, който вече сте имали (Вашата собствена администрация, гърба на банковата Ви карта, официалния сайт). Наистина ли съществува фактурата? Наистина ли пратката е на път?

Попитайте. Ако все още се съмнявате, попитайте колега или лицето, което уж изпраща съобщението, през друг канал. Договорете се в екипа си, че такъв въпрос никога не е излишен. По-добре десет пъти ненужно да попитате, отколкото веднъж да платите.

Този рефлекс действа и при перфектен имейл от хакната пощенска кутия. Проверката по Ваш собствен път напълно заобикаля нападателя, защото той не присъства нито във Вашата отметка, нито на телефона на доставчика Ви.

На практика: ето как изглежда

Три имитирани съобщения, които Пекарна Example (info@example.com) получава за една сутрин. Всички имена са измислени.

Съобщение 1: пратката

От: Куриерска служба <service@koeriersdienst-track.example>
Относно: Неуспешна доставка: необходимо действие
Уважаеми клиенте, днес се опитахме да доставим пратка. Адресът беше непълен. Планирайте нова доставка в рамките на 48 часа и платете такса за повторна доставка от 1,95 евро, иначе пратката ще бъде върната на подателя.

Трикове: спешност (48 часа), страх (връщане на пратката), малка сума, за да не се замислите. Целта са данните на картата Ви. Проверка: очаквате ли пратка? Проверете пратката чрез сайта или приложението на самия превозвач.

Съобщение 2: доставчикът

От: Доставчик на брашно <administratie@leverancier.example>
Относно: RE: фактура 2026-0412
Здравейте, както обсъдихме, прилагам фактурата. Внимание: поради смяна на банката, моля от сега нататък плащайте по новата ни банкова сметка. Можете ли да го направите още днес? Тогава ще можем да планираме доставката за петък.

Трикове: авторитет (познат доставчик, съществуваща кореспонденция), спешност, награда (доставката). Подателят може да е истински: пощенската кутия на доставчика може да е превзета. Проверка: позвънете на доставчика на номер от Вашата собствена администрация, не от този имейл.

Съобщение 3: счетоводният софтуер

От: Счетоводен софтуер <noreply@boekhoudpakket.example>
Относно: Абонаментът Ви ще бъде спрян
Не успяхме да обработим последното Ви плащане. Влезте в профила си в рамките на 24 часа, за да актуализирате данните си за плащане, иначе ще загубите достъп до администрацията си.
[Вход]

Трикове: страх, спешност, авторитет. Дали подателят е верен, ще научите в урок 3.3; къде води бутонът, в урок 3.2. Проверка: отворете сами приложението или отметката си за счетоводния софтуер. Ако там няма такова съобщение, имейлът е фалшив.

Обобщение

• Фишингът действа чрез разказ (претекст), който съответства на Вас, с цел данни за вход, пари, достъп до устройството Ви или информация.
• Петте бутона: спешност, авторитет, страх, любопитство и награда. Обикновено се използват два или повече едновременно.
• Правописните грешки вече не са надежден белег: AI пише безгрешни имейли, а хакнатите пощенски кутии изпращат истински съобщения.
• Гледайте какво иска от Вас съобщението и през кой канал, не как изглежда.
• Рефлекс: стоп, проверка по Ваш собствен път, въпрос при съмнение.

Тест (quiz)

Задача

Задача A3.1: Разпознаване на трикове. Получавате шест имитирани съобщения. За всяко съобщение изберете кои трикове присъстват (спешност, авторитет, страх, любопитство, награда) и какво ще направите: просто да го обработите, или първо да проверите по Ваш собствен път. Програмата проверява отговорите Ви и обяснява за всяко съобщение какво сте пропуснали.

За допълнително четене

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици действието е сходно.

• Това имейл съобщение истинско ли е от WebOké? Разпознаване на фишинг и използване на кода за промоцията
• Нидерландският NCSC, Как да разпозная фишинг имейл?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• Нидерландският NCSC, Фишинг: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing
• ГДБОП, сектор „Киберпрестъпност“, за подаване на сигнал за измама и фишинг: https://www.cybercrime.bg/