Где нас обманывают?

Практические примеры

- Пауза при звонке из банка и самостоятельный вход в приложение.

- Проверка реквизитов поставщика по старому известному контакту.

- Отказ от “помощи” после инвестиционной потери и обращение только в официальные каналы.

Кейсы для самостоятельного разбора

Для этой главы используйте общий блок кейсов раздела 4 ниже: определите звено цепочки, целевое действие, эмоциональный рычаг и безопасный разрыв.

Упражнения

Практические упражнения по технике включены в общий блок упражнений раздела 4. При выполнении обязательно фиксируйте, на каком звене цепочки возник риск.

Контрольные вопросы

Контрольные вопросы по технике включены в общий блок самопроверки раздела 4.

Вывод

Цепочка разрывается не спором с мошенником, а возвратом контроля над каналом, временем, источником и действием.

Сводная матрица многошаговых мошеннических цепочек

Цепочка: Контакт → тревога → ссылка

Типичная легенда: Проблема с доставкой, банком, штрафом, аккаунтом.

Целевое действие: Клик, вход, оплата, данные.

Красный флаг: Ссылка внутри неожиданного сообщения.

Разрыв: Открыть официальный сайт самостоятельно.

Цепочка: Детали → доверие → просьба

Типичная легенда: Источник знает имя, заказ, должность, событие.

Целевое действие: Перевод, документ, код, подпись.

Красный флаг: Детали заменяют проверку.

Разрыв: Проверить полномочия отдельно от деталей.

Цепочка: Первый источник → второй источник → действие

Типичная легенда: Сотрудник переключает на другого специалиста.

Целевое действие: Подтверждение, перевод, установка.

Красный флаг: Второй канал дал инициатор.

Разрыв: Выбрать независимый канал самому.

Цепочка: Документ → форма → данные

Типичная легенда: Договор, анкета, возврат, верификация.

Целевое действие: Паспорт, карта, пароль, код.

Красный флаг: Форма пришла по подозрительной ссылке.

Разрыв: Проверить кабинет, домен, получателя и цель.

Цепочка: Проблема → спасение → платёж

Типичная легенда: Безопасный счёт, комиссия, налог, бронь.

Целевое действие: Денежный перевод.

Красный флаг: Платёж решает искусственно созданную тревогу.

Разрыв: Не платить до договора и независимой проверки.

Цепочка: Аккаунт → код → контроль

Типичная легенда: Отмена операции, подтверждение личности, поддержка.

Целевое действие: SMS-код, push, пароль, seed-фраза.

Красный флаг: Код просят назвать человеку.

Разрыв: Код не передавать; входить только самому.

Цепочка: Потеря → надежда → повторный платёж

Типичная легенда: Возврат денег, поиск активов, юридическая помощь.

Целевое действие: Новая комиссия, доступ, данные.

Красный флаг: Обещание вернуть за предоплату.

Разрыв: Обращаться только в официальные каналы.

Цепочка: Сценарий → пауза → аудит

Типичная легенда: Любая история с деньгами, доступом или документами.

Целевое действие: Любое необратимое действие.

Красный флаг: Срочность и запрет проверки.

Разрыв: Протокол: стоп, цель, эмоция, источник, проверка.

Блок кейсов раздела 4

Кейс 1. SMS сообщает о проблеме с доставкой и предлагает оплатить 49 рублей по ссылке. Получатель действительно ждёт посылку. Разберите, почему совпадение ожидания не доказывает подлинность сообщения.

Кейс 2. На рабочую почту приходит письмо от “директора” с просьбой срочно оплатить счёт. В письме есть правильное имя поставщика и старый номер договора. Определите, какие элементы являются деталями, а какие требуют проверки.

Кейс 3. Покупателю на маркетплейсе продавец предлагает “безопасную доставку” по отдельной ссылке, потому что “так дешевле и быстрее”. Найдите точку выхода из защищённой платформы.

Кейс 4. Звонящий из “банка” знает последние цифры карты и просит назвать код для отмены подозрительной операции. Определите, где происходит подмена смысла кода.

Кейс 5. Арендодатель присылает видео квартиры, фото паспорта и договор, но просит бронь до просмотра. Разберите, почему документы не заменяют проверку объекта и собственника.

Кейс 6. Инвестиционный “аналитик” показывает кабинет с прибылью и просит оплатить налог для вывода средств. Определите платёжную развязку и признаки повторного платежа.

Кейс 7. После потери денег человеку пишет “служба возврата криптовалюты” и просит оплатить газ-комиссию. Разберите, почему это recovery-scam.

Кейс 8. В мессенджере якобы знакомый просит срочно перевести деньги, объясняя, что не может говорить по телефону. Найдите запрет на независимую проверку.

Кейс 9. Поддержка “облачного сервиса” просит установить удалённый доступ для восстановления аккаунта. Определите технический предлог и риск захвата.

Кейс 10. HR-специалист предлагает работу и просит открыть счёт для тестовой финансовой операции. Разберите, почему рабочая легенда превращается в финансовую схему.

Кейс 11. Письмо от поставщика сообщает о смене реквизитов и просит оплатить сегодня. Секретарь видит знакомый стиль письма. Определите, какие проверки нужны до оплаты.

Кейс 12. Пользователь получает QR-код для оплаты штрафа. Сообщение выглядит официально. Разберите, почему QR-код не должен быть самостоятельным доказательством.

Кейс 13. Романтический партнёр из переписки просит помочь с пошлиной для “освобождения груза”. Найдите переход от близости к платёжной развязке.

Кейс 14. На сайте появляется CAPTCHA, после которой предлагают выполнить странные действия в командной строке или установить файл. Определите технический предлог и безопасную остановку.

Кейс 15. Человеку звонят из “службы безопасности” и говорят не класть трубку, пока он идёт к банкомату. Найдите захват канала и запрет проверки.

Кейс 16. Клиенту присылают ссылку на “возврат средств” после отмены заказа. Форма просит данные карты и код. Разберите, какие данные не нужны для возврата.

Кейс 17. Сотруднику пишет “юрист партнёра” и подтверждает срочность оплаты, но контакт появился из письма поставщика. Определите ложное вторичное подтверждение.

Кейс 18. Пожилому человеку звонит “внук” в беде и передаёт трубку “следователю”. Найдите эмоциональный крючок, вторичную роль и запрет проверки.

Кейс 19. После подозрительного платежа пользователь продолжает переписку с тем же “специалистом”, надеясь исправить ситуацию. Разберите, почему нужно немедленно менять канал.

Кейс 20. Команда получает срочный запрос на перевод денег от руководителя, который находится “на встрече и недоступен”. Разработайте безопасный двухконтурный порядок проверки.

Блок упражнений раздела 4

Упражнение 1. Возьмите любой подозрительный контакт и разложите его на пять звеньев: контакт, эмоция, доверие, действие, проверка.

Упражнение 2. Составьте личный список действий, которые нельзя выполнять по входящему контакту: код, перевод, установка, документ, доступ, пароль.

Упражнение 3. Для трёх реальных сервисов запишите официальный способ проверки: банк, маркетплейс, доставка.

Упражнение 4. Перепишите пять мошеннических фраз в нейтральные защитные ответы без конфликта.

Упражнение 5. Разберите письмо или SMS: какие детали в нём проверяемы, а какие только создают впечатление достоверности?

Упражнение 6. Постройте схему независимой проверки для смены реквизитов поставщика.

Упражнение 7. Составьте правило для семьи: что делать при звонке “родственник в беде”.

Упражнение 8. Сформируйте протокол после инцидента: что блокировать, куда обращаться, что фиксировать.

Упражнение 9. Найдите в кейсах три примера ложного вторичного подтверждения и замените их независимым каналом.

Упражнение 10. Проведите тренировку “60 секунд паузы”: получить сообщение, не отвечать, назвать цель, источник, эмоцию и безопасный канал проверки.

Блок самопроверки раздела 4

- Почему мошенническую схему нужно анализировать как цепочку, а не как отдельную фразу?

- Что такое первичный крючок?

- Почему совпадение с реальным ожиданием не доказывает подлинность сообщения?

- Чем подробность отличается от достоверности?

- Почему знание последних цифр карты не доказывает полномочия звонящего?

- Что такое ложное вторичное подтверждение?

- Почему проверка по ссылке, присланной инициатором, не является независимой?

- Какие действия относятся к техническому предлогу?

- Почему удалённый доступ является высоким риском?

- Почему код из SMS нельзя рассматривать как обычную информацию?

- Что делает платёжную развязку особенно опасной?

- Почему необычный способ оплаты является красным флагом?

- Что такое “комиссия для вывода прибыли” в мошенническом сценарии?

- Почему после первой потери человек становится уязвимее?

- Что такое recovery-scam?

- Какие данные нельзя передавать для “возврата средств”?

- Какие пять вопросов нужно задать перед любым платежом?

- Что означает “проверка должна быть независимой по происхождению”?

- Какие шаги входят в протокол разрыва цепочки?

- Что делать, если действие уже совершено и риск реализовался?

Чек-лист разрыва мошеннической цепочки

- Я не считаю сообщение подлинным только потому, что оно совпало с моими ожиданиями.

- Я отделяю правдивые детали от законности запроса.

- Я не использую ссылку, номер, чат или QR-код из подозрительного сообщения для проверки этого же сообщения.

- Я не передаю коды, пароли, seed-фразы, резервные коды и ссылки восстановления.

- Я не устанавливаю программы удалённого доступа по входящему контакту.

- Я не плачу комиссии, налоги, депозиты или сборы до независимой проверки основания.

- Я не перевожу деньги на “безопасный счёт”, криптокошелёк, gift card или частный счёт по срочной инструкции.

- Я проверяю смену реквизитов поставщика через старый известный контакт, а не через письмо с новыми реквизитами.

- Я прекращаю старый канал, если уже возник инцидент или подозрение.

- Я фиксирую: кто обратился, что просил, какой канал, какие реквизиты, какие ссылки, какие действия уже сделаны.

Защитные формулы раздела 4

- “Я не использую ссылку из сообщения. Проверю через официальный сайт или приложение”.

- “Детали могут быть верными, но запрос всё равно требует независимой проверки”.

- “Код, push и ссылка восстановления — это ключи доступа. Я их не передаю”.

- “Второй канал, который дал инициатор, не является независимым”.

- “Я не устанавливаю удалённый доступ по входящему звонку или сообщению”.

- “Необычный способ оплаты означает остановку и проверку”.

- “Перед оплатой мне нужны получатель, основание, договор, возвратность и официальный канал”.

- “После потери я прекращаю этот канал и обращаюсь только в банк, платформу или официальный орган”.

- “Если меня торопят, я замедляюсь”.

- “Без независимой проверки действия нет”.

Дополнение к мини-глоссарию

Первичный крючок: первое сообщение или событие, которое вводит человека в мошеннический контакт.

Прогрев доверия: накопление деталей и эмоциональных подтверждений, создающих ощущение подлинности.

Псевдодостоверность: впечатление правды, созданное частично верными деталями, документами, логотипами или совпадениями.

Ложное вторичное подтверждение: проверка, которая кажется независимой, но фактически контролируется тем же сценарием.

Документальный предлог: использование договора, анкеты, счёта, формы или документа как оправдания рискованного действия.

Технический предлог: использование обновления, установки, кода, удалённого доступа или формы входа как оправдания передачи контроля.

Платёжная развязка: этап сценария, где человека переводят к денежному действию.

Необратимый маршрут: способ действия, который трудно отменить: криптовалюта, gift cards, перевод частному лицу, удалённый доступ, раскрытие seed-фразы.

Захват учётной записи: получение контроля над аккаунтом через пароль, код, push, восстановление, токен или социальное давление.

Recovery-scam: повторная схема, где человеку после потери обещают вернуть деньги или активы за новый платёж, данные или доступ.

Разрыв цепочки: остановка сценария через паузу, независимую проверку и отказ от действия до подтверждения.

Источники и опорные материалы

FTC Consumer Advice. How to avoid a scam: recommends not clicking links from unexpected messages, using trusted websites or known phone numbers, and resisting pressure to act immediately.

FTC Consumer Advice. How To Recognize and Avoid Phishing Scams: describes phishing messages that ask users to click links, open attachments or provide information, and recommends MFA for account protection.

FTC Consumer Advice. How to Recognize and Report Spam Text Messages: recommends not clicking suspicious text links and forwarding spam texts to 7726.

FTC Consumer Advice. Protect Your Personal Information From Hackers and Scammers: recommends strong passwords and two-factor authentication for accounts containing personal information.

FBI. Business Email Compromise: recommends verifying payment and purchase requests in person or by calling known contacts, and verifying changes in account information.

FBI. Business E-Mail Compromise story and advisories: warns about requests for secrecy, pressure to act quickly, and recommends two-step verification for wire transfer payments.

CISA. Avoiding Social Engineering and Phishing Attacks: describes phishing and social engineering as attempts to appear trustworthy and exploit communication channels.

NIST Phish Scale User Guide: provides a method for rating human phishing detection difficulty and identifying cues in phishing messages.

NIST SP 800-63B/NIST phishing resistance guidance: emphasizes phishing-resistant authentication options for higher assurance environments.

FTC Consumer Advice. What To Know About Cryptocurrency and Scams: warns about cryptocurrency scam patterns and reporting routes.

Переход к разделу 5 Части I

Дальнейшая логика Части I переходит от многошаговых цепочек к постинцидентной защите: что делать, если человек уже кликнул, сообщил данные, назвал код, перевёл деньги, установил удалённый доступ или передал документы. Задача блока — построить протокол ограничения ущерба, восстановления контроля и фиксации доказательств без паники и повторной эксплуатации.

Раздел 5. Постинцидентная защита: что делать после клика, передачи данных, кода, доступа или денег

Этот раздел переводит справочник из режима “распознать до действия” в режим “ограничить ущерб после действия”. В социальной инженерии критически важно не только не попасть в сценарий, но и правильно остановиться, если действие уже совершено: ссылка открыта, данные введены, код назван, push подтверждён, деньги переведены, приложение удалённого доступа установлено или аккаунт начал вести себя подозрительно.

Главный принцип постинцидентной защиты: сначала остановить дальнейший ущерб, затем восстановить контроль, затем зафиксировать доказательства, затем сообщить в официальный канал. Паника, стыд и желание “быстро всё исправить” часто становятся вторым входом для повторной эксплуатации. Поэтому раздел построен как последовательность безопасных протоколов, а не как набор отдельных советов.

Карта раздела

Ситуация: Клик по ссылке

Главный риск: Переход на поддельную форму, вредоносная загрузка, сбор данных

Первое безопасное действие: Закрыть страницу, ничего не вводить, проверить устройство и аккаунты

Что нельзя делать: Повторно открывать ссылку, вводить данные “для проверки”

Ситуация: Введён пароль

Главный риск: Захват аккаунта и повторное использование пароля

Первое безопасное действие: Сменить пароль с чистого устройства, выйти из всех сессий, включить MFA

Что нельзя делать: Менять пароль через ссылку из подозрительного сообщения

Ситуация: Назван код или подтверждён push

Главный риск: Обход восстановления, вход злоумышленника, смена контактов

Первое безопасное действие: Проверить активные сессии, способы восстановления и операции

Что нельзя делать: Считать код “обычной информацией”

Ситуация: Переведены деньги

Главный риск: Необратимый платёж, повторный recovery-scam

Первое безопасное действие: Немедленно связаться с банком/платёжным сервисом через официальный канал

Что нельзя делать: Платить “комиссию за возврат”

Ситуация: Установлен удалённый доступ

Главный риск: Полный контроль устройства, кража файлов, сессий и паролей

Первое безопасное действие: Отключить интернет, прекратить сессию, проверять с другого устройства

Что нельзя делать: Продолжать общение с тем же “специалистом”

Ситуация: Переданы документы

Главный риск: Идентификационное мошенничество, кредиты, регистрация аккаунтов

Первое безопасное действие: Отметить, что именно передано, включить мониторинг и официальную процедуру защиты личности

Что нельзя делать: Отправлять ещё документы “для отмены заявки”

Ситуация: Захвачен аккаунт

Главный риск: Рассылка от вашего имени, кража денег, дальнейший фишинг контактов

Первое безопасное действие: Восстановить доступ официальным способом, отозвать сессии и токены

Что нельзя делать: Просить помощи через сомнительные сервисы “возврата доступа”

Ситуация: Обнаружен BEC/подмена реквизитов

Главный риск: Уход платежа на счёт злоумышленника, потеря времени для возврата

Первое безопасное действие: Связаться с банком немедленно и запросить контакт банка-получателя

Что нельзя делать: Обсуждать инцидент в скомпрометированной переписке

Глава 33. Аварийная остановка канала и фиксация инцидента

Определение

Аварийная остановка канала — это немедленное прекращение взаимодействия с подозрительным источником после обнаружения ошибки или сомнения. Цель — не доказать мошенничество, а остановить дальнейшее управление поведением человека.

История возникновения

В классической безопасности этот принцип соответствует containment: изоляции события до выяснения деталей. В социальной инженерии containment начинается не с технической команды, а с прекращения контакта и отказа от дальнейших инструкций инициатора.

Психологический механизм

После ошибки человек испытывает стыд, страх и желание быстро исправить ситуацию. Манипулятор использует это состояние, предлагая “помощь”, “отмену операции” или “возврат средств”. Остановка канала возвращает человеку паузу и снижает вероятность второй ошибки.

Нейробиологическая основа

Стресс усиливает реактивность и сужает внимание на ближайшем способе облегчить угрозу. Пауза и физическое прекращение контакта помогают перевести решение из импульсивного режима в более контролируемую оценку.

Где применяется

Применяется после любого подозрительного звонка, письма, перехода по ссылке, перевода денег, ввода пароля, установки приложения или передачи документов.

Почему работает

Пока контакт продолжается, атакующий сохраняет темп, фрейм и власть объяснять происходящее. Разрыв канала уничтожает его главное преимущество — непрерывное управление вниманием.

Пошаговая схема

Остановить разговор, чат или переписку без объяснений.

Не выполнять новые инструкции из того же канала.

Зафиксировать время, канал, имя, номер, email, ссылку, реквизиты и уже совершённые действия.

Перейти к официальному независимому каналу: приложение банка, известный номер, официальный сайт, внутренний IT/безопасность.

Определить тип ущерба: данные, деньги, аккаунт, устройство, документы, корпоративный доступ.

Признаки применения

- Источник торопит “сейчас исправить ошибку”.

- Вам предлагают не класть трубку.

- Вам предлагают перейти в другой мессенджер или установить приложение.

- Вам говорят, что обращение в банк/полицию/службу поддержки всё испортит.

- Вам обещают быстро вернуть деньги за новый платёж.

Красные флаги

- “Мы уже видим ошибку, нужно срочно подтвердить отмену”.

- “Не выходите из чата, иначе заявка сорвётся”.

- “Я сейчас соединю вас с безопасным специалистом”.

- “Для возврата нужен ещё один код”.

- “Если расскажете кому-то, средства заблокируют окончательно”.

Защита

- Использовать короткую формулу: “Я прекращаю этот канал и проверяю официально”.

- Не спорить и не объяснять злоумышленнику свои подозрения.

- Сделать скриншоты до удаления переписки.

- Не нажимать ссылки повторно.

- Перевести дальнейшие действия в независимый официальный канал.

Ограничения метода

Разрыв канала не возвращает деньги и не отменяет уже совершённые действия. Он лишь предотвращает продолжение цепочки. После остановки нужны профильные шаги: банк, сервис, IT, оператор связи, правоохранительный или официальный reporting-канал.

Практические примеры

Пример 1. После ввода данных карты человек получает звонок “мы видим ошибку, нужно назвать код для отмены”. Безопасная реакция — прекратить звонок и самому открыть приложение банка.

Пример 2. После перевода на “инвестиционную платформу” появляется “юрист по возврату средств”. Безопасная реакция — не платить и фиксировать данные для официального обращения.

Кейсы

Кейс. Сотрудник уже переслал счёт с новыми реквизитами бухгалтерии. Он замечает странный домен отправителя. Правильный первый шаг — не продолжать переписку в этой цепочке, а звонить поставщику по старому известному номеру и поднимать внутренний инцидент.

Кейс. Пользователь сообщил код “службе доставки”, потом получил новый звонок. Правильный первый шаг — прекратить канал, проверить аккаунты доставки/банка и сменить пароли там, где код мог быть связан с входом.

Упражнения

Составьте личную фразу аварийной остановки для звонка, чата и личной встречи.

Опишите три официальных канала, которыми вы будете пользоваться вместо ссылок из сообщений.

Контрольные вопросы

- Почему нельзя продолжать разговор “чтобы выяснить, мошенник ли это”?

- Что фиксировать сразу после подозрительного контакта?

- Почему второй канал, предложенный тем же источником, не является независимым?

Вывод

После ошибки главная задача — не оправдаться, не спорить и не выиграть разговор, а остановить сценарий. Контакт прекращается раньше, чем вы полностью поняли схему.

Глава 34. Действия после клика по подозрительной ссылке

Определение

Протокол после клика — это порядок действий, который отделяет простой переход от более серьёзного инцидента: ввода данных, загрузки файла, разрешения уведомлений, установки профиля или авторизации через поддельную страницу.

История возникновения

Фишинговые ссылки исторически использовались для кражи паролей и доставки вредоносных файлов. Современные схемы чаще совмещают ссылку с социальной легендой: доставка, банк, маркетплейс, документ, счёт, HR, госуслуга.