Пришло фишинговое письмо: что делать, а что нельзя, и как проверить ноутбук

Пришло фишинговое письмо: что делать, а что нельзя, и как проверить ноутбук

Коротко. Само по себе получение фишингового письма ничего не ломает — опасность начинается с клика, открытия вложения или ввода пароля. Поэтому первый шаг — не делать ничего с письмом: не переходить по ссылкам, не открывать файлы, не отвечать и не звонить по номерам из письма. Второй шаг — честно ответить себе, было ли действие. Дальше действия расходятся: если вы ввели пароль — меняете его с другого устройства и проверяете правила пересылки в почте; если открыли вложение — проверяете систему автономной проверкой Microsoft Defender Offline и смотрите автозагрузку.

Ниже — разбор по уровням риска, с командами и меню, а не общими советами.

Шаг 1. Остановитесь и не трогайте письмо

Типичная ошибка — «проверить, что там по ссылке» из любопытства или «отписаться», чтобы писем больше не приходило. Переход по ссылке сообщает отправителю, что адрес живой, а на странице может быть имитация входа, которая крадёт пароль вместе с одноразовым кодом.

Чего не делать:

• не переходить по ссылкам и не скачивать вложения;
• не отвечать на письмо и не писать «уберите меня из рассылки»;
• не звонить по телефонам из письма — даже если на другом конце «служба безопасности банка»;
• не устанавливать программы удалённого доступа по просьбе «поддержки»;
• не отправлять фото документов, коды из СМС и коды подтверждения.

Что можно сделать: пометить письмо как спам или фишинг штатной кнопкой почтового клиента. В Outlook и веб-почте есть функция «Сообщить о фишинге» — это обучает фильтр и не требует открывать вложения.

Шаг 2. Оцените, было ли действие

Отметьте свой вариант — от него зависит весь дальнейший план.

Важно: «открыл PDF» и «запустил .exe из архива» — разные риски. PDF-просмотрщик тоже уязвим, но запуск исполняемого файла даёт злоумышленнику несравнимо больше возможностей.

Шаг 3. Если вы ввели пароль — действуйте в этом порядке

1. Смените пароль с другого устройства — телефона или второго компьютера. Если менять пароль на заражённом ноутбуке, новый пароль может быть перехвачен.
2. Завершите все активные сессии. В аккаунте Microsoft: «Безопасность → Дополнительные параметры безопасности → Выйти из всех устройств». В Google — «Безопасность → Ваши устройства».
3. Включите двухфакторную аутентификацию — приложением-аутентификатором или passkey, а не только по СМС.
4. Проверьте правила пересылки и фильтры. Злоумышленники часто добавляют скрытое правило: копировать письма на сторонний адрес или перемещать уведомления о входе в отдельную папку.
5. Проверьте журнал входов: устройства, города, время. Незнакомые входы — повод сообщить в поддержку сервиса.
6. Проверьте платёжные данные, если аккаунт связан с картой или магазином.

Отдельно про почту: если пароль от почты совпадал с паролем от других сервисов, меняйте его везде. Одинаковые пароли превращают одну утечку в цепочку взломов.

Шаг 4. Если открыли вложение или запустили файл

Сначала — изоляция, потом — проверка.

1. Отключите ноутбук от сети. Wi-Fi выключить, кабель вынуть. Это ограничивает возможность скачивать дополнительные модули и отправлять ваши файлы.
2. Не выключайте питание сразу, если на экране идёт шифрование файлов: сначала сфотографируйте экран и запишите, что видно. Это поможет восстановлению.
3. Запустите автономную проверку Microsoft Defender. «Безопасность Windows → Защита от вирусов и угроз → Параметры сканирования → Автономная проверка Microsoft Defender → Сканировать сейчас». Сканирование идёт вне загруженной Windows, поэтому лучше находит руткиты и вредоносные модули, которые умеют прятаться. Процесс занимает около 15 минут и перезагружает ноутбук.
4. Приостановите BitLocker перед автономной проверкой, если диск зашифрован. Иначе система может запросить ключ восстановления при загрузке в среду проверки.
5. Проверьте автозагрузку: «Диспетчер задач → Автозагрузка», а также список служб и задач планировщика на незнакомые записи.
6. Проверьте расширения браузера — незнакомые удалить, особенно те, что просят «доступ ко всем данным сайтов».
7. Смените пароли ко всем аккаунтам, которые были сохранены в браузере или почте, — уже с чистого устройства.

Если после проверки остаются подозрительные симптомы (самопроизвольные окна, исчезающие файлы, неизвестные сетевые подключения), единственный надёжный путь — сохранить данные и переустановить систему с официального носителя. Антивирус не гарантирует удаление всех компонентов.

Шаг 5. Проверьте, что ноутбук не стал частью ботнета

Вредоносное ПО часто не шифрует файлы, а тихо использует ресурсы: рассылает спам, майнит криптовалюту, участвует в атаках. Признаки:

• вентилятор работает громко при простое, процессор загружен на 100 % без видимых задач;
• ноутбук нагревается в выключенном состоянии или разряжается за час;
• в диспетчере задач висят процессы с непонятными именами, запущенные из папок AppData или Temp;
• в браузере появляются новые поисковые системы и стартовые страницы;
• антивирус отключён или его настройки изменились сами.

Проверить сетевую активность можно в «Мониторе ресурсов» (вкладка «Сеть») и в диспетчере задач, но по этим признакам нельзя поставить диагноз. Если совпало два и более пункта — автономная проверка и, при сомнениях, переустановка.

Шаг 6. Усильте защиту, чтобы это не повторилось

Подробнее о двухфакторной аутентификации и passkeys — в отдельном материале как выбрать второй фактор и не потерять доступ. О защите папок от шифрования — Controlled folder access.

Почему вложения всё ещё опасны, хотя макросы блокируются

С 2022 года Office блокирует VBA-макросы в файлах, полученных из интернета: файл получает «метку интернета», и кнопка «Включить содержимое» для таких файлов не работает. Это снизило эффективность старых атак «откройте документ и разрешите макросы», но не отменило их полностью:

• макросы в файлах с сетевых папок и локальных дисков могут выполняться;
• злоумышленники перешли на другие форматы: архивы с ярлыками, ISO-образы, HTML-файлы, LNK-файлы, скрипты PowerShell;
• документ может эксплуатировать уязвимость в самом просмотрщике, без макросов.

Поэтому правило «не открывать вложения от незнакомых отправителей» остаётся актуальным независимо от настроек Office. Если файл нужен, проверьте его в изолированной среде — например, в Windows Sandbox, а лучше попросите отправителя прислать содержимое текстом.

Как распознать фишинг до клика

CISA перечисляет признаки, которые работают и в 2026 году:

• срочность и угроза последствий («счёт будет заблокирован сегодня»);
• просьба прислать личные или финансовые данные;
• сокращённые ссылки, за которыми не видно адреса;
• адреса с опечатками и похожими доменами (micros0ft.com, sber-online.ru);
• несовпадение текста ссылки и реального адреса при наведении курсора.

Орфографические ошибки больше не являются надёжным признаком: современные инструменты пишут письма без ошибок. Смотрите на суть запроса: просят ли вас войти «заново», подтвердить платёж, обновить данные карты, перейти по ссылке из письма вместо приложения.

Отдельный сценарий — письмо от «руководителя» или «поставщика» с просьбой срочно изменить реквизиты платежа. Это атака на бизнес-процесс, и защита здесь организационная: подтверждать смену реквизитов звонком по известному номеру, а не по номеру из письма.

FAQ

Я открыл письмо, но не кликал. Ноутбук заражён?

Скорее всего, нет. Современная почта показывает письмо в «песочнице» клиента, а картинки могут подгружаться с внешнего сервера — это раскрывает факт открытия, но не заражает систему. Риск появляется при переходе по ссылке и вводе данных или при открытии вложения.

Стоит ли отвечать мошенникам, чтобы «потянуть время»?

Нет. Переписка подтверждает активность адреса и даёт злоумышленнику дополнительные данные: подпись, должность, манеру общения. Если вы уже начали общение и передали информацию — прекратите контакт и действуйте по шагам выше.

Достаточно ли сменить пароль, если я ввёл его на фишинговом сайте?

Смены пароля мало, если не завершены активные сессии и не включена двухфакторная аутентификация. Злоумышленник мог сразу войти в аккаунт и создать правило пересылки. Проверьте сессии и правила, затем включите 2FA.

Нужно ли переустанавливать Windows после фишинга?

Только если есть подтверждённые признаки заражения или вы запускали неизвестный исполняемый файл с правами администратора. В остальных случаях достаточно автономной проверки, проверки автозагрузки и смены паролей.

Куда сообщить о фишинговом письме?

В почтовом клиенте — кнопкой «Сообщить о фишинге». Если письмо связано с банком или госуслугами, сообщите в организацию по официальному номеру с сайта или обратной стороны карты. В России также работает приём обращений в Банк России через официальные каналы, но начинать стоит с самого сервиса, от имени которого пришло письмо.

Связанные материалы

• Двухфакторная аутентификация и passkeys.
• Controlled folder access: защита от вымогателей.
• Windows Sandbox: проверка подозрительных файлов.