Первичные признаки подозрительного сайта
Проверка URL, доменного имени и редиректов
Анализ URL начинается с проверки схемы и хоста: HTTPS обычно использует порт 443 и указывает на наличие шифрования на транспортном уровне, но сам по себе знак замка не гарантирует добросовестность ресурса. В адресной строке обращают внимание на необычные поддомены, замены похожих символов и длину пути. Дублирующие или скрытые редиректы часто реализуются через HTTP 301/302 или JavaScript-редиректы; быстрая проверка состояния отвечает кодом 200, перенаправление — 301/302, ошибка — 4xx/5xx. Дата регистрации домена и его возраст также информативны: доменное имя содержит информацию о дате регистрации и сроке действия, а недавно зарегистрированные домены, такие как sliwbl.com, с высоким числом редиректов повышают риск фишинга.
Анализ видимых элементов: контактная информация, опечатки, оформление
Контактные данные в открытом виде — адрес, телефон, электронная почта — должны присутствовать и сопоставляться с записью WHOIS. Наличие крупных опечаток в текстах, низкое качество графики и несовпадение логотипов с ожидаемыми образцами указывают на возможность массового клонирования. Страницы с отсутствием подробной информации о владельце или с единичной электронной формой связки часто являются признаками снижения доверия.
Проверка защищённости соединения и сертификата
Как проверить валидность TLS/SSL и цепочку сертификатов
Проверка сертификата включает просмотр срока его действия и алгоритма подписи. Сертификаты Let’s Encrypt имеют срок действия 90 дней; распространённый алгоритм подписи — SHA-256. Необходимо убедиться в корректной цепочке сертификатов до корневого центра сертификации, отсутствие просрочки и соответствие имени в сертификате имени хоста (поле CN или SAN). Заголовок Strict-Transport-Security с параметром max-age=31536000 говорит о политике HSTS на один год и снижает риск понижения до HTTP.
Отличия между самоподписанными и доверенными сертификатами
Самоподписанные сертификаты не подтверждены центром сертификации и не присутствуют в доверенном хранилище браузера, поэтому браузер выдаёт предупреждение. Доверенные сертификаты выданы центром, включённым в список доверия ОС или браузера; это обеспечивает проверку подлинности владельца на уровне инфраструктуры PKI, но не гарантирует отсутствие мошенничества в содержимом сайта.
Технический анализ инфраструктуры
Анализ WHOIS, возраста домена и информации о хостинге
WHOIS-запись обычно содержит поля: дата создания (creation date), дата окончания, регистратор, контактные данные и серверы имён. При включенной приватности WHOIS может скрывать контактные данные владельца. Возраст домена помогает оценить репутацию: домен, зарегистрированный менее месяца назад и часто меняющий регистраторов, представляет повышенный риск.
Проверка IP, геолокации сервера и сопутствующих сайтов
IP-адрес хоста указывает на провайдера и позволяет выполнить обратный поиск для выявления других сайтов на том же адресе. Совместное размещение с большим числом неизвестных или отмеченных как вредоносные ресурсов сигнализирует о возможных проблемах. Геолокация по IP и данные провайдера помогают сопоставить ожидания; часто используется проверка DNS-записей, записи A и PTR для подтверждения сопоставимости.
Поиск вредоносного кода и уязвимостей
Как сканировать страницу и отдельные файлы на вредоносный код
Сканирование URL сторонними сервисами даёт отметки о вредоносном ПО и репутационные метки. Для загружаемых файлов используются контрольные суммы (MD5, SHA-1, SHA-256); проверка хэша позволяет убедиться в целостности. Перед открытием исполняемых файлов целесообразно прогнать их через антивредоносный движок и выполнить поведенческий анализ в изолированной среде. Для веб-страницы можно просмотреть исходный код на предмет инлайновых скриптов и динамически загружаемых модулей.
Признаки уязвимостей в CMS, скриптах и формах ввода
Частые уязвимости включают межсайтовый скриптинг (XSS) и SQL-инъекции; признаки — необработанные параметры в URL и ответы сервера, которые возвращают введённый текст без экранирования. Наличие устаревших версий CMS и плагинов повышает вероятность эксплойтов; сведения о версиях часто видны в метаданных или открытых файлах. Формы ввода, принимающие файлы, следует проверять на ограничения типов MIME и на проверку расширений и размеров на сервере.
Оценка приватности и поведения сайта
Проверка cookie, трекинга и запросов к сторонним сервисам
Cookie имеют атрибуты SameSite (Strict, Lax, None), флаг Secure и время жизни в секундах. Технологии трекинга реализуются через внешние скрипты и запросы к CDN или аналитическим сервисам; такие запросы видны в инструментах разработчика в разделе Network. Скрипты третьих сторон могут выполнять сбор данных или загружать исполняемый код, поэтому важно фиксировать список внешних доменов, к которым идут запросы.
Что должно быть в политике конфиденциальности и как это читать
Документ политики конфиденциальности должен перечислять виды собираемых данных, цели обработки, правовую основу (если применимо), сроки хранения и условия передачи третьим лицам. Полезны контакты ответственного лица и указание механизма удаления данных. Отсутствие подробного описания или общие формулировки без конкретики снижают уровень прозрачности.
Практические шаги при подозрении на мошенничество
Безопасные действия после обнаружения проблемы (изменение паролей, уведомление)
При подозрении на компрометацию целесообразно изменить пароли на других ресурсах, где использовались те же учётные данные, и включить двухфакторную аутентификацию. При работе с сервисами почты и платёжными системами необходимо проверить логи доступа и сессии. Если был загружен файл, его следует удалить и выполнить проверку в песочнице.
Как документировать и куда сообщать о подозрительных ресурсах
Документация включает скриншоты, таймстемпы, заголовки ответов сервера и сохранённые копии подозрительных файлов вместе с их хэшами. Сообщение о мошенничестве направляется в органы, занимающиеся кибербезопасностью, и в регистраторов доменов при наличии информации WHOIS. Также можно использовать отчёты в репутационные сервисы и блокирующие списки, предоставляющие возможности проверки URL и IP.