Фишинг (phishing) — вид социальной инженерии, при котором человека вовлекают во взаимодействие с поддельной страницей, письмом или собеседником и получают его пароль, код или другие данные для входа. В ГОСТ Р 70262.3-2026 фишинг описан как угроза ИА-1 «Подмена участвующей стороны»; чаще всего с ним сталкиваются банки, МФО и сервисы с онлайн-регистрацией.
Кратко:
- В ГОСТ Р 70262.3-2026 фишинг обозначен кодом ИА-1 и описан как «Подмена участвующей стороны».
- Угроза использует уязвимость АФЗ-1 «Низкая стойкость секрета к хищению».
- Под угрозой аутентификационная информация для простой и усиленной аутентификации; нарушается её конфиденциальность.
- Письмо, SMS, звонок и QR-код служат каналами одной угрозы, отдельных кодов для них стандарт не вводит.
- Мер защиты ГОСТ не устанавливает; для почты их описывает мера ЗЭП.4 ФСТЭК.
Что такое фишинг по ГОСТу?
По ГОСТу фишинг означает подмену участвующей стороны: человека вовлекают в общение с ложной проверяющей стороной и получают у него данные для входа. Графа «Возможный способ реализации угрозы» для ИА-1 в таблице Б.2 проекта содержит такую формулировку:
Клиент уверен, что вводит пароль на сайте банка, но данные получает нарушитель. Доказывающей стороной стандарт называет того, кто подтверждает своё право на вход, например клиента. Проверяющая сторона проверяет предъявленные данные, доверяющая пользуется результатом проверки. При фишинге нарушитель подделывает проверяющую или доверяющую сторону.
Росстандарт утвердил ГОСТ Р 70262.3-2026 14 сентября 2026 года, регистрация № 1136-ст; стандарт вводится в действие с 1 декабря 2026 года, следует из уведомления об утверждении. Текст приложений уведомление не содержит, и таблицы в статье цитируются по первой редакции проекта.
Что входит в карточку угрозы ИА-1 «Фишинг»?
Для ИА-1 проект указывает объект воздействия, используемую уязвимость, подверженную информацию, нарушаемое свойство и возможные последствия.
|
Графа таблицы Б.2 |
ИА-1 «Фишинг» |
|---|---|
|
Описание угрозы |
Подмена участвующей стороны |
|
Объект воздействия |
Доказывающая, проверяющая и/или доверяющая сторона |
|
Используемая уязвимость |
АФЗ-1 «Низкая стойкость секрета к хищению» |
|
Подверженная информация |
Аутентификационная информация, используемая при простой и усиленной аутентификации |
|
Нарушаемое свойство |
Конфиденциальность |
|
Возможные последствия |
Авторизация несанкционированного доступа нарушителя, использующего идентификационную и аутентификационную информацию легального зарегистрированного субъекта доступа |
По этим графам угрозу переносят в модель угроз конкретной системы. Защитных мер для кодов стандарт не устанавливает: их подбирают по документам ФСТЭК России, отраслевым требованиям и особенностям системы.
Какую уязвимость использует фишинг?
Фишинг использует уязвимость АФЗ-1 «Низкая стойкость секрета к хищению». В приложении А проекта она описана так: «Информация (секрет) может быть похищена или раскрыта или разгадана». Для клиента секретом служит пароль, ответ на контрольный вопрос или одноразовый код. Код живёт недолго, но нарушитель успевает ввести его на настоящем сайте, пока тот действует.
Письмо со ссылкой само по себе доступа не даёт. Риск для аккаунта возникает, когда нарушитель получает действующий секрет или сведения, позволяющие выдать себя за клиента. Вход с украденными данными стандарт относит к другой угрозе, ИА-7 «Спуфинг».
Какие данные крадут при фишинге?
В строке ИА-1 указана аутентификационная информация для простой и усиленной аутентификации, нарушаемое свойство: конфиденциальность. Номер карты, паспортные данные и сканы документов тоже выманивают на поддельных страницах. В графе ИА-1 они не названы, поэтому в модели угроз их учитывают отдельно, по сценарию конкретной атаки.
После утечки банк или МФО видит следы: вход с нового устройства, смену телефона для подтверждения операций, заявку на новый продукт. По этим событиям выбирают ответ: отозвать сеансы, запросить дополнительную проверку или приостановить операцию.
Какие виды фишинга встречаются?
Email-фишинг, смишинг, вишинг и квишинг различаются каналом доставки. По ГОСТу все они относятся к ИА-1, если человек общается с ложной стороной и отдаёт ей данные для входа.
|
Вариант |
Как выглядит |
|---|---|
|
Email-фишинг |
Письмо от имени банка или коллеги ведёт на поддельную страницу входа. |
|
Целевой фишинг (spear phishing) |
Письмо адресовано конкретному сотруднику и упоминает название компании, имя руководителя или детали сделки. |
|
Смишинг |
SMS сообщает о блокировке, возврате денег или проверке заявки и содержит ссылку. |
|
Вишинг |
Звонящий представляется службой безопасности и просит назвать пароль или код. |
|
Квишинг |
QR-код в письме, документе или на стойке ведёт на поддельный ресурс. |
Сотрудник получает персонализированное письмо со ссылкой на поддельную страницу корпоративного входа, затем «поддержка» звонит и просит продиктовать код из SMS. Перед таким звонком иногда устраивают СМС-бомбинг, а голос руководителя подделывают с помощью дипфейков. Для расследования сохраняют исходное сообщение, адрес страницы и время последующей попытки входа.
Как выглядит фишинг в онлайн-онбординге?
Клиент подаёт заявку на заём. Через несколько минут приходит SMS: «Завершите проверку данных в течение 10 минут» и ссылка на страницу, похожую на кабинет МФО. Клиент вводит пароль и код. Вскоре нарушитель пытается войти с другого устройства и сменить номер телефона для подтверждения операций.
Ввод пароля на поддельной странице соответствует угрозе ИА-1: ложная проверяющая сторона получила секрет. Вход под чужими данными описывает ИА-7 «Спуфинг». Команда антифрода сопоставляет устройство, контактный номер и последовательность действий. Новый телефон сам по себе атаку не доказывает: добросовестный клиент тоже меняет устройства.
Как снизить риск фишинга?
Атаку можно остановить на любом шаге: пользователь не отдаёт секрет, сервис не принимает украденный секрет без дополнительной проверки, команда безопасности вовремя замечает подозрительный вход.
Для корпоративной почты ФСТЭК России описала меру ЗЭП.4 «Защита от фишинга» в методическом документе от 12 апреля 2026 года. Базовые требования включают контроль текста писем и ссылок, фильтрацию по отправителю и содержимому, возможность ретроспективного анализа. Требования к усилению добавляют блокирование или карантин, фильтрацию по репутации отправителя, проверку в «песочнице» и выявление подделки писем от легитимных отправителей. SMS, звонки и QR-коды мера не охватывает, для них нужны свои правила.
- Пользователю: открывать приложение или сохранённый адрес самостоятельно, не называть код собеседнику во входящем звонке, проверять полный домен перед вводом данных.
- Владельцу сервиса: включить многофакторную аутентификацию и для критичных действий переходить к фишинг-устойчивым методам. CISA в памятке Implementing Phishing-Resistant MFA относит к ним FIDO/WebAuthn.
- Команде ИБ: настроить почтовые меры, дать сотрудникам простой способ сообщить о подозрительном письме, информировать клиентов об официальных каналах связи.
- Антифроду: оценивать новое устройство, смену контактов и попытку крупной операции вместе, чтобы одно расхождение не приводило к автоматическому отказу.
Клиент, который уже ввёл пароль на подозрительной странице, сам открывает настоящий сервис, меняет пароль и завершает активные сеансы. Если передан код или данные карты, он звонит в банк по номеру из приложения или с официального сайта. Сотрудник компании дополнительно сообщает адрес страницы и время события службе безопасности.
Какие проверки IDX помогают после фишинга?
После фишинга нарушитель часто пытается сменить телефон или e-mail клиента, чтобы получать коды подтверждения. IDX VerifyPhone Score оценивает, связан ли номер с заявленным физическим лицом. Проверка связки ФИО и e-mail сопоставляет адрес с человеком по источникам, где он проходил идентификацию. Цифровой след устройства даёт технические признаки попытки входа с незнакомого оборудования.
Подлинность конкретного письма или сайта проверки не определяют, почтовую фильтрацию они тоже не заменяют. Правила реакции устанавливает заказчик, он же отвечает за защиту своей системы. IDX поставляет технологические проверки и обязанностей заказчика по закону на себя не принимает.
Чем фишинг отличается от фарминга и спуфинга?
Фишинг, фарминг и спуфинг записаны в таблице Б.2 как разные угрозы, и следы у них разные: сообщение и ввод секрета, изменённый сетевой маршрут, вход от чужого имени.
|
Угроза |
Способ реализации (дословно, таблица Б.2 проекта) |
|---|---|
|
ИА-1 «Фишинг» |
Вовлечение доказывающей стороны во взаимодействие с ложной проверяющей (доверяющей) стороной и получение (в том числе с применением методов социальной инженерии) аутентификационной информации или данных, которые впоследствии используются, чтобы выдать нарушителя за данную сущность |
|
ИА-2 «Фарминг» |
Доказывающую сторону, которая пытается установить сеанс с подлинной проверяющей (доверяющей) стороной, перенаправляют на ресурс нарушителя путем манипуляций с параметрами канала взаимодействия участников аутентификации |
|
ИА-7 «Спуфинг» |
Нарушитель имитирует другую сущность, чтобы получить возможность осуществления действий, которые иначе он не мог бы осуществить. При этом нарушитель использует подлинную аутентификационную информацию легального зарегистрированного субъекта доступа, либо иным образом притворяется легальной сущностью |
Все три угрозы могут встретиться в одном инциденте. Письмо ведёт на поддельный сайт, изменённые сетевые настройки направляют туда же тех, кто вводит верный адрес, а полученный пароль нарушитель использует для входа. Код угрозы присваивают каждому эпизоду отдельно. Как украденные данные затем используют для входа и регистрации, разобрано в статье о подмене личности.
VerifyPhone Score показывает, связан ли новый номер с заявленным клиентом, до того как на него начнут уходить коды подтверждения.
Источники
- Росстандарт: уведомление об утверждении ГОСТ Р 70262.3-2026
- Проект ГОСТ Р «Типовые угрозы и уязвимости процессов идентификации и аутентификации», первая редакция: приложение А (АФЗ-1), приложение Б, таблица Б.2 (ИА-1, ИА-2, ИА-7)
- ФСТЭК России: мера ЗЭП.4 «Защита от фишинга»
- ГОСТ Р 56205-2014, п. 3.2.76
- УК РФ, статья 158
- Постановление Пленума ВС РФ от 30.11.2017 № 48
- Закон № 161-ФЗ, статья 9
- CISA: Implementing Phishing-Resistant MFA, октябрь 2022
