Фишинг в Instagram*: поддельные письма и страницы, как проверить подлинность

Что такое фишинг в Instagram и почему на него попадаются

Фишинг в Instagram: обман, при котором вас заставляют самому ввести пароль или код на поддельной странице. Пароль не ломают, его просто отдают. Именно поэтому на фишинг попадаются осторожные и опытные пользователи: сообщение выглядит убедительно, пугает потерей аккаунта и торопит. Эмоции отключают внимательность, а страница-подделка копирует оформление так, что отличить её сложно.

Знание типичных схем и пары привычек защищает лучше любых программ. Ниже: как выглядят поддельные письма и страницы, как проверить подлинность и что делать, если вы уже ввели данные.

Типичные приманки фишеров

Письмо или сообщение о нарушении

«Ваш аккаунт нарушает правила, у вас 24 часа, чтобы подать апелляцию». Дальше ссылка на форму. Давление срочностью и страх потери аккаунта делают своё дело. Настоящие уведомления о нарушениях Instagram показывает внутри приложения, в разделе «Статус аккаунта», а не только в письме со ссылкой. Подробнее о проверке писем: как понять, что письмо от Instagram настоящее.

Предложение подтвердить аккаунт или получить «галочку»

Вам пишут, что вы выбраны для подтверждения профиля или получения знака верификации, нужно только заполнить форму. В форме просят логин, пароль и код. Настоящей «галочки» таким образом не получить.

Сообщение от знакомого со ссылкой

«Смотри, это ты на видео?», «Проголосуй за мою дочь в конкурсе». Аккаунт друга уже взломан, и злоумышленник рассылает ссылки от его имени. Ссылка ведёт на страницу входа в Instagram, которая только выглядит настоящей.

Сервис «для роста подписчиков»

Сайт обещает быструю раскрутку, но для начала просит войти через Instagram. Авторизация на самом деле идёт через поддельную форму, и пароль уходит мошенникам. Правило: сервис не должен запрашивать у вас пароль. В PeachPost, например, вход идёт через Telegram-бота, а не через ввод пароля от Instagram, а репосты подтверждаются скринами.

Поддержка в директе или поддельный аккаунт Instagram

Вам пишет аккаунт с названием вроде «Instagram Support» и просит подтвердить данные. Настоящая поддержка не пишет первой и не просит пароль или код. Подробнее о таких схемах в материале про мошенников в директе.

Как отличить поддельную страницу от настоящей

Самое надёжное правило: не входите в аккаунт по чужим ссылкам. Закройте письмо, откройте приложение Instagram самостоятельно и посмотрите уведомления внутри него. Если там пусто, письмо ложное.

Что делать, если вы уже ввели данные на подозрительной странице

1. Немедленно смените пароль Instagram через официальное приложение. Подробная инструкция: как поменять пароль в Instagram.
2. Завершите все сеансы в разделе «Где вы вошли», как показано в материале про активные сеансы.
3. Если пароль повторялся на других сайтах, смените его и там, начиная с почты.
4. Включите двухфакторную защиту через приложение, а не через SMS.
5. Если доступ уже потерян, переходите к плану из статьи что делать, если аккаунт взломали.

Если вы в замешательстве, помните один приём: никакое письмо не заставит вас действовать немедленно. Закройте его и подождите пять минут, затем откройте приложение и посмотрите уведомления. У фишеров нет возможности войти в ваше приложение и показать нарушение там: если в приложении тишина, угроза выдумана. Этот приём работает против любых вариантов обмана, даже тех, которые придумают завтра.

Привычки, которые защищают от фишинга

• Не открывать ссылки из писем и директа, обещающих вернуть аккаунт, дать галочку или бонусы.
• Вводить пароль только в приложении Instagram или после ручного ввода адреса instagram.com.
• Проверять домен в адресной строке, особенно перед тем, как нажать «Войти».
• Не пересылать коды подтверждения никому, включая «поддержку» и знакомых.
• Использовать уникальные пароли и менеджер паролей: он подставляет пароль только на настоящий домен и не заполнит поддельную форму.
• Включить двухфакторную аутентификацию: она не отменит риск, но усложнит жизнь мошеннику.

Когда вы получили подозрительное сообщение, пожалуйтесь на него и удалите. Через Instagram можно сообщить об аккаунте и сообщении: пошагово это описано в статье как пожаловаться на аккаунт. Это помогает другим не попасться на ту же приманку.

Пример из жизни: «ваш аккаунт будет удалён»

Блогер получает письмо с темой «Нарушение авторских прав. Аккаунт будет удалён через 24 часа». В теле письма логотип, аккуратная вёрстка и кнопка «Подать апелляцию». Нажимает, вводит логин и пароль на странице, как две капли воды похожей на вход в Instagram. Через минуту ему приходит настоящий код подтверждения: мошенник уже вводит пароль на настоящем сайте. Если блогер называет этот код на «второй странице», доступ потерян. Этот сценарий разыгрывается каждый день, и защитой от него служит только одно: не открывать ссылку из письма вообще.

Что проверить в браузере перед вводом пароля

Откройте адресную строку и прочитайте домен: главным считается последнее слово перед зоной (.com, .ru) и первой одиночной косой чертой. Настоящий адрес Instagram заканчивается на instagram.com. В адресе instagram.com.login-help.ru настоящим владельцем является login-help.ru, а слово Instagram там лишь приманка. Значок замка говорит только о том, что соединение зашифровано, а не о том, что сайт честный: сертификаты получают и мошенники. Если сомневаетесь, закройте вкладку и откройте приложение вручную.

Если вы ведёте аккаунт для клиентов или команды, договоритесь о правилах: кто может отвечать в директе, какие ссылки открывать, кому сообщать о подозрительных письмах. Один невнимательный сотрудник способен отдать пароль всей страницы. Полезно также держать отдельную рабочую почту только для Instagram и не использовать её нигде больше: тогда поддельные письма по другим адресам сразу будут выглядеть странно.

Фишинг и продвижение блога

Блогеры чаще всего получают «деловые» предложения: сотрудничество, обзор, интеграция, продвижение. Мошенники пользуются этим, присылая договоры, ТЗ и тестовые задания в виде ссылок. Перед тем как открыть файл или форму от неизвестного «заказчика», проверьте его профиль, историю публикаций и попросите связаться в другом канале. Если вы развиваете аккаунт через живые репосты, ничего из этого вам не нужно: механика простая и не требует чужих форм. Берегите доступ, он дороже любого быстрого результата.