Письмо приходит в пятницу, в 18:43. Тема: «Расчёт премии за октябрь — требуется подтверждение данных». Отправитель: hr@company-portal.ru. Внутри — таблица Excel и кнопка «Скачать детализацию». Ты уже тянешься к мышке, но стоп — это классическая фишинговая атака, замаскированная под кадровую рассылку. По данным конца 2026 года, больше 40% утечек корпоративных учётных записей происходят через поддельные письма от HR-отделов. Мошенники научились копировать фирменные подписи, логотипы и даже интонацию реальных кадровиков. Разница в одной букве домена или лишней точке в заголовке письма — и твои пароли, паспортные данные или доступ к рабочим системам уходят к злоумышленникам.
За 60 секунд можно проверить три критических маркера: техническую шапку письма (заголовки Return-Path и DKIM), соответствие домена официальному сайту компании и наличие давления спешкой в тексте. Этот чек-лист помогает отсечь 95% фишинговых атак до клика по ссылке.
Механика фишинговой атаки под видом HR-рассылки
Мошенники эксплуатируют три болевые точки одновременно: жадность (обещание премии), страх (угроза штрафа за неподтверждённые данные) и дефицит времени (ссылка активна только до конца дня). Классическая схема выглядит так: злоумышленник регистрирует домен, похожий на корпоративный (companyportal.ru вместо company-portal.com), настраивает почтовый сервер без DKIM-подписи и рассылает письма на сотни адресов, выкачанных из публичных профилей LinkedIn или hh.ru. Тема письма копирует реальные кадровые рассылки: «Уведомление о начислении квартальной премии», «Корректировка расчётного листка за сентябрь» или «Подтверждение банковских реквизитов для выплат через СБП».
Внутри письма — таблица с якобы твоими начислениями (цифры подобраны правдоподобно, обычно чуть выше среднего для профессии) и кнопка «Скачать детализацию в PDF» или «Подтвердить данные для выплаты». Ссылка ведёт на поддельный корпоративный портал, где просят ввести логин и пароль от рабочей почты, а иногда — прикрепить скан паспорта для «верификации личности». Как только ты заполняешь форму, данные уходят мошенникам. Дальше — либо взлом рабочих систем (если ты использовал корпоративный пароль), либо продажа паспортных данных в даркнете, либо попытка оформить микрозаём на твоё имя.
Особенно опасны письма, которые приходят в пятницу вечером или перед длинными выходными, когда служба безопасности компании работает в минимальном составе, а ты сам спешишь закрыть дела перед отдыхом. Злоумышленники намеренно выбирают эти окна, чтобы снизить вероятность перепроверки через официальные каналы.
Три уровня маскировки, которые используют мошенники
Уровень 1: косметический. Копируют фирменные цвета, логотипы и подписи реальных HR-менеджеров. Письмо выглядит абсолютно идентично настоящему — правильный шрифт, корректные отступы, даже ссылка на Telegram-канал компании в футере. Отличие только в домене отправителя, но его видно, только если развернуть техническую шапку письма.
Уровень 2: лингвистический. Используют профессиональную лексику и интонацию реальных кадровиков: «Уважаемый коллега», «В соответствии с внутренним регламентом», «Просим подтвердить актуальность банковских реквизитов». Никаких грубых ошибок и канцеляризмов в стиле нигерийских принцев — текст выглядит так, будто его писал реальный сотрудник HR-отдела.
Уровень 3: технический. Регистрируют домены, отличающиеся одной буквой или символом: company-hr.ru вместо company.ru, companyportal.com вместо company-portal.com, или даже используют кириллические буквы, визуально идентичные латинским (сompany.ru, где первая «c» — кириллическая). В почтовом клиенте разница незаметна, пока не скопируешь адрес в текстовый редактор.
Алгоритм проверки письма за 60 секунд: четыре шага до клика
Ты получил письмо с темой о премии или корректировке расчётного листка. Не спеши открывать вложения и переходить по ссылкам — запусти экспресс-проверку по четырём контрольным точкам. Весь процесс займёт меньше минуты, но отсечёт 95% фишинговых атак.
Шаг 1: Проверь домен отправителя прямо в почтовом клиенте
Открой письмо и наведи курсор на имя отправителя (обычно там написано что-то вроде «HR-отдел» или «Бухгалтерия»). В большинстве почтовых клиентов (Gmail, Outlook, Яндекс.Почта) при наведении всплывает полный адрес электронной почты. Обрати внимание на часть после символа @. Если это hr@company-portal.ru, а официальный сайт компании — company.com, перед тобой фишинг. Настоящие корпоративные рассылки всегда идут с домена, совпадающего с официальным сайтом (hr@company.com, payroll@company.com).
Типичные уловки мошенников: добавление дефиса (company-hr.ru), замена окончания домена (.ru вместо .com), использование созвучных слов (companyportal.ru вместо company.ru). Если домен вызывает хоть малейшие сомнения, открой браузер и набери официальный адрес сайта компании вручную (не через поиск, а напрямую в адресной строке) — сравни его с доменом в письме. Совпадение должно быть полным, до последнего символа.
Шаг 2: Разверни техническую шапку письма и найди строку Return-Path
В Gmail: открой письмо, нажми на три точки справа от кнопки «Ответить» и выбери «Показать оригинал». В Outlook: открой письмо, нажми «Файл» → «Свойства» → найди блок «Заголовки интернета». В Яндекс.Почте: открой письмо, нажми на три точки и выбери «Свойства письма». Перед тобой появится технический текст с десятками строк — не пугайся, тебе нужна только одна: Return-Path (иногда она называется Sender или Reply-To).
Return-Path показывает реальный адрес, куда вернётся письмо, если доставка не удалась. У настоящего корпоративного письма Return-Path будет совпадать с доменом компании. Если в поле «От» написано hr@company.com, а в Return-Path — abuse@randomserver.xyz, перед тобой стопроцентный фишинг. Мошенники могут подделать видимое поле «От», но техническую шапку подделать невозможно без доступа к почтовому серверу компании.
Шаг 3: Проверь наличие DKIM-подписи в заголовках
В той же технической шапке письма найди строку, начинающуюся с DKIM-Signature. Это криптографическая подпись, которая подтверждает, что письмо действительно отправлено с сервера, принадлежащего домену отправителя. Если строка есть и в ней указан домен твоей компании (d=company.com), письмо прошло проверку подлинности. Если строки DKIM-Signature нет вообще или в ней указан чужой домен (d=randomserver.com), письмо отправлено с левого сервера.
Крупные компании и корпорации всегда настраивают DKIM для исходящей почты — это базовый стандарт безопасности с 2020 года. Отсутствие подписи в письме от HR-отдела среднего или крупного работодателя — красный флаг. Мелкие стартапы и фрилансеры могут не настраивать DKIM, но в таких случаях кадровые вопросы обычно решаются напрямую в мессенджерах, а не через официальные рассылки.
Шаг 4: Оцени текст письма на маркеры давления и спешки
Фишинговые письма почти всегда содержат элементы срочности и давления: «Ссылка активна до 23:59 сегодняшнего дня», «При неподтверждении данных выплата будет заблокирована», «Осталось 3 часа до закрытия реестра». Настоящие HR-отделы не работают в стиле распродаж на маркетплейсах. Корректировка расчётного листка или уточнение банковских реквизитов — это рутинные процессы, которые решаются в течение нескольких дней, а не часов.
Обрати внимание на формулировки: если в письме используются угрозы («невыплата премии», «административное взыскание», «блокировка учётной записи») в сочетании с жёстким дедлайном, вероятность фишинга близка к 100%. Реальные кадровые уведомления формулируют просьбы мягко и всегда предлагают альтернативные способы связи: телефон HR-менеджера, корпоративный мессенджер, личный кабинет на внутреннем портале.
❌ Как ведутся на уловки соискатели vs ✅ Как проверить письмо и срезать мошенника за 60 секунд
❌ Типичное поведение жертвы фишинга:
Пятница, 18:45. Приходит письмо: «Расчёт премии за октябрь — требуется подтверждение данных». Отправитель: «HR-отдел». Внутри — таблица с начислениями и кнопка «Скачать PDF». Человек думает: «О, премия! Надо скорее подтвердить, а то не успею до выходных». Кликает по ссылке, попадает на страницу, визуально идентичную корпоративному порталу, вводит логин и пароль от рабочей почты. Форма просит прикрепить скан паспорта «для верификации личности». Человек прикрепляет, нажимает «Отправить» — и только через три дня понимает, что его рабочая почта взломана, а на его имя оформлен микрозаём.
✅ Как действует человек, который понимает механику фишинга:
Пятница, 18:45. Приходит письмо: «Расчёт премии за октябрь — требуется подтверждение данных». Отправитель: «HR-отдел». Первая реакция — не эмоциональная (радость от премии), а рациональная (а почему это письмо пришло в пятницу вечером, когда все спешат разойтись?). Человек наводит курсор на имя отправителя — видит адрес hr@company-portal.ru. Официальный сайт компании — company.com. Уже несовпадение. Дальше: открывает техническую шапку письма (три точки → «Показать оригинал»), находит строку Return-Path — там указан abuse@randomserver.xyz. Ищет DKIM-Signature — строки нет. Три красных флага за 40 секунд. Письмо отправляется в спам, а HR-отделу компании пишется уведомление через корпоративный мессенджер: «Коллеги, на почту приходит фишинг от вашего имени, проверьте».
Разница в подходе фундаментальная: жертва реагирует на эмоцию (жадность, страх, спешка), опытный пользователь — на технические маркеры. Эмоция заставляет кликнуть, логика заставляет проверить.
Дополнительные способы проверки: сервисы Whois и боты в Telegram
Если экспресс-проверка заголовков вызвала сомнения, но письмо выглядит правдоподобно (например, домен зарегистрирован недавно, но DKIM-подпись есть), используй внешние сервисы для углублённой проверки.
Whois-сервисы для проверки возраста домена
Открой браузер и набери в поиске «whois домен» или перейди на сайт who.is. Введи домен из письма (например, company-portal.ru) и посмотри на строку «Creation Date» (дата регистрации). Если домен зарегистрирован меньше месяца назад, а компания существует несколько лет, перед тобой фишинг. Злоумышленники регистрируют домены специально под рассылку, используют их 2–4 недели, пока их не заблокируют, и переходят на новые.
Настоящие корпоративные домены регистрируются на годы вперёд и обновляются задолго до истечения срока. Если в Whois указан срок регистрации на 1 год (а не на 5–10 лет, как принято у крупных компаний) и регистратор домена — безымянная контора из Панамы, это ещё один красный флаг.
Telegram-боты для проверки ссылок
Прежде чем кликать по кнопке «Скачать PDF» или «Подтвердить данные», скопируй ссылку (правой кнопкой мыши → «Скопировать адрес ссылки») и отправь её боту @URLVoidBot или @DrWebBot в Telegram. Боты за несколько секунд проверят URL по базам известных фишинговых и вредоносных сайтов. Если ссылка числится в чёрных списках антивирусных компаний или сервисов репутации доменов, бот выдаст предупреждение.
Этот способ особенно полезен, если письмо пришло с мобильного устройства, где неудобно разворачивать техническую шапку и проверять заголовки. Скопировал ссылку, отправил боту, получил вердикт — всё занимает 15–20 секунд.
Проверка через реестр ЕГРЮЛ для писем от новых работодателей
Если письмо пришло от компании, с которой ты только начинаешь работать (например, откликнулся на вакансию на hh.ru, и через день приходит «HR-письмо» с просьбой заполнить анкету), проверь юридическое лицо через реестр ЕГРЮЛ. Заходи на egrul.nalog.ru, вводи название компании или ИНН (он часто указан в подписи письма или на сайте работодателя) и смотри дату регистрации и ОКВЭД (виды деятельности). Если компания зарегистрирована три недели назад, а в ОКВЭД числится «Оптовая торговля металлоломом», хотя вакансия была на оператора чата в техподдержку, перед тобой однодневка.
Дополнительно можешь проверить компанию через Rusprofile.ru — там видна история смены директоров, наличие судебных дел и связанные организации. Если у юрлица десяток судебных дел по невыплате или директор меняется каждые два месяца, это повод насторожиться.
Честные риски: почему даже опытные специалисты попадаются на фишинг
Риск 1: Использование поддельных сайтов известных брендов
Мошенники регистрируют домены, имитирующие крупные компании: sberbank-hr.ru, yandex-team.com, ozon-corp.ru. На первый взгляд адрес выглядит легитимно, особенно если ты работаешь в крупной корпорации с десятками дочерних проектов и подразделений. Проверка через Whois и DKIM помогает, но требует внимательности — достаточно отвлечься на звонок или параллельную задачу, и ты пропускаешь критичный маркер.
Риск 2: Психологическое давление и манипуляция спешкой
Письмо приходит в момент дедлайна, перед выходными или в конце квартала, когда ты и так перегружен задачами. Мошенники намеренно выбирают эти окна, чтобы снизить вероятность перепроверки. Ты видишь тему «Срочно: корректировка расчётного листка до 23:59», думаешь «разберусь потом, сейчас надо подтвердить, а то пропущу выплату» — и кликаешь по ссылке, не проверив заголовки. Усталость и цейтнот — лучшие союзники злоумышленников.
Риск 3: Утечка паспортных данных при отправке сканов сомнительным заказчикам
Если ты всё-таки перешёл по ссылке из фишингового письма и заполнил форму с паспортными данными, информация уходит в открытый доступ. Дальше — либо оформление микрозаймов на твоё имя (мошенники используют скан паспорта для быстрой регистрации в МФО), либо продажа данных в даркнете. Восстановление репутации и закрытие фиктивных займов займёт месяцы, а кредитная история пострадает, даже если ты докажешь мошенничество.
Чек-лист красных флагов: когда письмо от HR точно фальшивое
Составь этот список в заметках на телефоне и сверяйся с ним каждый раз, когда получаешь кадровое письмо с просьбой подтвердить данные или скачать вложение.
-
Домен отправителя не совпадает с официальным сайтом компании. Даже одна лишняя буква, дефис или изменённое окончание (.ru вместо .com) — стопроцентный фишинг.
-
Отсутствует DKIM-подпись в технической шапке письма. Крупные компании и корпорации всегда настраивают криптографическую подпись для исходящей почты. Если её нет, письмо отправлено не с официального сервера.
-
Return-Path указывает на сторонний домен. В техническом заголовке Return-Path должен совпадать с доменом компании. Если там randomserver.xyz, а в поле «От» — hr@company.com, перед тобой подделка.
-
В тексте присутствуют угрозы и жёсткие дедлайны. Фразы в стиле «При неподтверждении данных до 23:59 выплата будет заблокирована» или «Ссылка активна только 3 часа» — классический маркер фишинга. Настоящие HR-отделы не работают в режиме ультиматумов.
-
Письмо просит прикрепить скан паспорта или ввести пароль от рабочей почты. Легитимные кадровые системы используют единый вход через корпоративный аккаунт (SSO) или запрашивают данные через защищённый личный кабинет, а не через форму в письме.
-
Ссылка ведёт на домен, отличающийся от официального сайта. Наведи курсор на кнопку «Скачать PDF» или «Подтвердить данные» (не кликай!) и посмотри адрес ссылки в нижнем углу браузера. Если там не company.com, а company-portal.ru или похожая вариация, не переходи.
-
Возраст домена меньше месяца (проверка через Whois). Фишинговые домены регистрируются под конкретную рассылку и «сгорают» через 2–4 недели. Если домен создан 5 дней назад, это явный признак одноразового сайта для атаки.
Что делать, если ты уже кликнул по ссылке и ввёл данные
Если ты понял, что попался на фишинг, уже после заполнения формы, действуй по жёсткому алгоритму — счёт идёт на часы, а иногда на минуты.
Немедленно смени пароль от рабочей почты и всех связанных аккаунтов. Если ты вводил корпоративный пароль на поддельном сайте, злоумышленники уже получили доступ к твоей почте. Зайди в настройки аккаунта через официальный сайт (не через ссылку из письма!) и смени пароль. Если ты использовал этот же пароль для других сервисов (личная почта, банковские приложения, аккаунты на фриланс-биржах), меняй везде. Включи двухфакторную аутентификацию через СМС или приложение-аутентификатор (Google Authenticator, Яндекс.Ключ).
Сообщи в службу безопасности компании. Напиши в корпоративный мессенджер или позвони напрямую в IT-отдел. Опиши ситуацию без прикрас: когда пришло письмо, какие данные ты ввёл, на какой сайт перешёл. Служба безопасности заблокирует скомпрометированную учётную запись, проверит логи доступа (были ли попытки входа с посторонних IP-адресов) и примет меры для защиты корпоративных систем. Не пытайся скрыть инцидент — это увеличит ущерб и для тебя, и для компании.
Если ты отправил скан паспорта, заблокируй документ через банк. Позвони на горячую линию своего банка и сообщи, что паспортные данные попали к мошенникам. Банк внесёт информацию в стоп-лист и будет блокировать попытки оформления кредитов и займов на твоё имя. Дополнительно можно заказать справку об отсутствии задолженностей в Бюро кредитных историй (БКИ) и отслеживать появление новых записей.
Как защитить себя проактивно: настройка фильтров и двухфакторной аутентификации
Помимо реактивной проверки каждого письма, настрой защиту на уровне почтового клиента и корпоративных аккаунтов. Вот пошаговый гайд для базовой настройки безопасности.
Шаг 1: Включи строгую фильтрацию SPF, DKIM и DMARC в настройках почты
Большинство корпоративных почтовых систем (Google Workspace, Microsoft 365, Яндекс 360 для бизнеса) позволяют администратору настроить автоматическую блокировку писем, не прошедших проверку подлинности. Если ты работаешь в компании с собственным IT-отделом, попроси администратора включить жёсткую политику DMARC (reject) — письма без валидной DKIM-подписи просто не будут доставляться в почтовые ящики сотрудников. Это отсечёт до 80% фишинговых рассылок на уровне сервера, ещё до того, как ты увидишь письмо.
Шаг 2: Используй менеджер паролей для генерации уникальных комбинаций
Если ты используешь один и тот же пароль для рабочей почты, личного аккаунта на hh.ru и доступа к банковскому приложению, утечка одного пароля компрометирует все аккаунты сразу. Менеджеры паролей (Bitwarden, 1Password, КиберПротект) генерируют случайные пароли длиной 16–20 символов и хранят их в зашифрованном виде. Ты запоминаешь только один мастер-пароль, остальные подставляются автоматически. Установи расширение менеджера паролей в браузер и добавь туда корпоративную почту, аккаунты на биржах вакансий и банковские логины.
Шаг 3: Настрой уведомления о входах с новых устройств
В настройках рабочей почты и корпоративных систем включи опцию «Уведомлять о входах с неизвестных устройств». Если кто-то попытается войти в твой аккаунт с чужого IP-адреса (например, после успешной фишинговой атаки), ты получишь СМС или push-уведомление и сможешь немедленно заблокировать сессию. В Gmail эта опция находится в разделе «Безопасность» → «Недавние события в аккаунте». В Яндекс.Почте — в «Настройки» → «Безопасность» → «История входов».
Шаг 4: Настрой двухфакторную аутентификацию через приложение-аутентификатор
Включи двухфакторную аутентификацию (2FA) для рабочей почты и всех критичных аккаунтов. Используй приложение-аутентификатор (Google Authenticator, Яндекс.Ключ, Microsoft Authenticator), а не СМС — перехват СМС-кодов через SIM-свопинг становится всё доступнее для мошенников. Приложение-аутентификатор генерирует временные коды офлайн, их невозможно перехватить. Даже если злоумышленники украдут твой пароль через фишинг, без второго фактора они не смогут войти в аккаунт.
Что делать, если ты не уверен в подлинности письма: алгоритм перепроверки
Ты проверил заголовки, домен совпадает, DKIM-подпись присутствует, но текст письма всё равно вызывает смутные сомнения (например, стиль формулировок немного отличается от обычных кадровых рассылок). Не игнорируй это ощущение — интуиция опытного пользователя часто срабатывает раньше рациональной проверки.
Свяжись с HR-отделом напрямую через корпоративный мессенджер. Не отвечай на подозрительное письмо (даже если адрес выглядит легитимным), а напиши HR-менеджеру в Slack, Microsoft Teams или корпоративном Telegram-канале. Спроси: «Мне пришло письмо о корректировке расчётного листка, это вы отправляли?». Если HR подтвердит, письмо настоящее. Если удивится («Мы никакие рассылки сегодня не делали»), ты только что избежал фишинга и заодно предупредил коллег.
Проверь наличие письма в личном кабинете на корпоративном портале. Большинство крупных компаний дублируют важные кадровые уведомления (начисление премий, корректировка расчётных листков, изменения в графике) в личный кабинет сотрудника на внутреннем портале. Зайди на портал напрямую (набери адрес вручную, а не через ссылку из письма) и проверь раздел «Уведомления» или «Документы». Если информации о премии там нет, письмо фальшивое.
Используй официальные каналы для подтверждения банковских реквизитов. Если письмо просит обновить номер карты или счёт для выплат, не заполняй форму в письме. Позвони в бухгалтерию или HR-отдел напрямую (номер телефона возьми с официального сайта компании, а не из подписи в письме) и уточни, как правильно передать новые реквизиты. Легитимные компании никогда не запрашивают банковские данные через почтовые формы — для этого есть защищённые личные кабинеты или очная встреча с кадровиком.
Часто задаваемые вопросы
Может ли фишинговое письмо пройти все проверки (домен, DKIM, Return-Path) и всё равно оказаться поддельным?
Теоретически да, если злоумышленники взломали почтовый сервер компании или получили доступ к учётной записи реального HR-менеджера. В таком случае письмо будет отправлено с легитимного сервера, иметь валидную DKIM-подпись и правильный домен. Но на практике такие атаки встречаются редко (меньше 2% от всех фишинговых рассылок), потому что требуют серьёзных ресурсов и технической подготовки. В этом случае единственная защита — перепроверка через альтернативные каналы связи (корпоративный мессенджер, звонок в HR-отдел).
Что делать, если письмо пришло с корпоративного домена, но я точно знаю, что такой HR-менеджер в компании не работает?
Немедленно сообщи в службу безопасности компании. Это признак компрометации почтового сервера или утечки учётных данных. Мошенники могли получить доступ к корпоративной почте через фишинг другого сотрудника или эксплуатацию уязвимости в почтовой системе. Пока служба безопасности разбирается, не открывай вложения и не переходи по ссылкам из письма.
Можно ли проверить подлинность письма, если я работаю с телефона и нет возможности развернуть техническую шапку?
Да. Скопируй ссылку из письма (долгое нажатие на кнопку или текст ссылки → «Скопировать адрес») и отправь её боту @URLVoidBot в Telegram. Бот проверит URL по базам фишинговых сайтов за 10–15 секунд. Дополнительно посмотри на домен в адресе ссылки (он отображается при долгом нажатии) и сравни с официальным сайтом компании. Если домены не совпадают, не переходи по ссылке.
Если я уже ввёл пароль на поддельном сайте, но потом сразу понял ошибку и сменил пароль, мои данные всё равно утекли?
Зависит от скорости реакции. Если ты сменил пароль в течение 10–15 минут после ввода на фишинговом сайте, вероятность утечки снижается, но не исключается полностью. Мошенники могли успеть войти в твой аккаунт и скопировать контакты, переписку или подключить пересылку писем на свой адрес. После смены пароля обязательно проверь настройки аккаунта: нет ли подозрительных правил пересылки, неизвестных подключённых устройств или сторонних приложений с доступом к почте.
Заключение
Фишинговые атаки под видом HR-рассылок эксплуатируют три базовых триггера: жадность (обещание премии), страх (угроза штрафа) и дефицит времени (ссылка активна только до конца дня). Но проверка из четырёх шагов — домен отправителя, Return-Path в технической шапке, наличие DKIM-подписи и анализ текста на маркеры давления — отсекает 95% атак за минуту, не требуя специальных технических знаний. Если сомневаешься в подлинности письма даже после проверки заголовков, используй альтернативные каналы связи: корпоративный мессенджер, звонок в HR-отдел, проверку через личный кабинет на внутреннем портале. Легитимные компании никогда не требуют паспортные данные и пароли через почтовые формы и не угрожают блокировкой выплат с дедлайном в несколько часов. Если ты ищешь проверенных работодателей с прозрачными условиями и официальным документооборотом, начни с каталога свежих вакансий за 24 часа — там собраны предложения от компаний, прошедших базовую верификацию площадки.