Вы получили SMS с ссылкой на «выгодный» полис ОСАГО или КАСКО. Цена ниже рынка, дизайн сайта копирует известный бренд, а рядом с адресной строкой горит зеленый замок. Вы вводите данные карты, платите - и исчезаете вместе с деньгами. Знакомая история? В 2025 году ФинЦЕРТ выявил и направил на блокировку более 38 тысяч фишинговых сайтов, маскировавшихся под финансовые организации. Почему же мы продолжаем попадаться на удочку?
Проблема в том, что большинство пользователей путают два разных понятия: безопасность соединения и легальность бизнеса. Зеленый замок (HTTPS) говорит лишь о том, что ваш трафик зашифрован от соседа по Wi-Fi. Он не подтверждает, что перед вами настоящий страховщик. Любой мошенник может купить домен за 10 рублей, получить бесплатный сертификат Let's Encrypt и запустить сайт-клона за пару часов.
Почему HTTPS обманывает бдительность
Давайте разберемся, что именно гарантирует протокол HTTPS. Когда браузер показывает значок замка, это означает, что удостоверяющий центр проверил контроль над доменом. То есть владелец сертификата действительно управляет этим сайтом. Но удостоверяющие центры (такие как DigiCert или Sectigo) не проверяют, честный ли у вас бизнес. Они не лезут в реестры лицензий.
Мошенники активно используют эту особенность. Они регистрируют домены типа `sber-strahovanie-online.ru` или `vtr-insurance.top`, получают валидный TLS-сертификат и чувствуют себя в полной безопасности. Для пользователя интерфейс выглядит идентично официальному. Поэтому первая ошибка - считать наличие замка гарантией отсутствия мошенничества. Это всего лишь техническая защита канала связи, а не юридическая гарантия.
Как читать доменное имя правильно
Главная ловушка кроется в адресной строке. Человеческий глаз склонен воспринимать текст целиком, пропуская мелкие детали. Мошенники это знают и играют на когнитивных искажениях. Посмотрите на этот пример:
insurance.example.com- домен принадлежит компанииexample.com.example.com.malicious.ru- домен принадлежитmalicious.ru, а слово example здесь просто часть имени хоста.
Всегда смотрите на правую часть адреса, до первого слеша. Именно там находится зарегистрированная зона. Если вы видите длинный набор слов через дефисы или точки перед основной зоной (.ru, .com, .rf), скорее всего, перед вами поддомен чужого сайта. Также опасайтесь кириллических IDN-доменов, где буква «о» заменена на ноль, а «р» на латинскую «p». Визуально разница незаметна, но для системы это разные символы.
| Тип ошибки | Пример официального домена | Пример фишингового домена | Риск |
|---|---|---|---|
| Добавление слов | ingosstrakh.ru | ingosstrakh-online.ru | Средний. Часто используется для тестовых стендов, но чаще для мошенников. |
| Замена символов | sogaz.ru | sogaz.ru (латинская o вместо кириллической) | Высокий. Homoglyph attack (атака гомоглифов). |
| Необычная зона | restrah.ru | restrah.xyz / restrah.click | Высокий. Крупные страховщики редко используют дешевые зоны. |
| Лишний дефис | rosgosstrakh.ru | ros-gos-strakh.ru | Средний. Выглядит несерьезно для крупного бренда. |
WHOIS: дата регистрации как маркер риска
Если домен выглядит подозрительно, следующий шаг - проверка истории его создания. Сервисы вроде WHOIS или WHOIS+ позволяют узнать дату регистрации домена. Здесь работает простое правило: если домен создан вчера, а компания существует тридцать лет, это красный флаг.
Конечно, крупные страховщики могут запускать новые маркетинговые лендинги на свежих доменах. Но обычно такие проекты связаны с известными брендами и имеют ссылку на основной корпоративный сайт. Если же вы видите абсолютно новый домен без привязки к основному ресурсу, который требует срочной оплаты - будьте начеку. Дата регистрации видна в поле «Created». Также стоит обратить внимание на регистратора. Массовая регистрация сотен похожих доменов через одного дешевого регистратора часто указывает на автоматизированный спам.
Важно помнить: закрытые данные WHOIS (privacy protection) скрывают владельца, но не меняют сути проверки. Отсутствие данных о владельце само по себе не является доказательством вины, так как закон разрешает скрывать персональные данные физических лиц. Однако для юридических лиц полная прозрачность реквизитов - стандарт индустрии.
Юридическая проверка: Реестр Банка России
Техническая проверка домена бесполезна без верификации юридического лица. Самый надежный источник информации в России - справочник участников финансового рынка Банка России. Любая легальная страховая организация обязана иметь лицензию ЦБ РФ и быть внесена в Единый государственный реестр субъектов страхового дела.
Как действовать алгоритмически:
- Найдите на сайте страховщика полное наименование, ИНН и ОГРН. Обычно они указаны в футере или разделе «О компании».
- Зайдите на официальный сайт Банка России в раздел «Реестры».
- Вбейте ИНН или название компании в поиск.
- Проверьте статус лицензии: она должна быть действующей, а не приостановленной или аннулированной.
- Сравните виды деятельности. Например, если вам продают полис ДМС, а в лицензии указан только страхование автогражданской ответственности, что-то не так.
Частая ошибка: мошенники копируют название реальной компании, но добавляют суффиксы или меняют форму собственности (ООО вместо ПАО). Совпадение названия недостаточно, сверяйте ИНН. Если организации нет в реестре, она либо работает незаконно, либо вовсе не существует.
Особый случай: агенты и брокеры
Ситуация усложняется, когда вы покупаете полис не напрямую у страховой компании, а через посредника. Страховой брокер или агент может иметь собственный домен, отличный от домена страховщика. Например, сайт `agent-club.ru` продает полисы компании «Ингосстрах».
Здесь нужна двухуровневая проверка. Во-первых, убедитесь, что сам брокер имеет лицензию Банка России на брокерскую деятельность. Во-вторых, проверьте, числится ли этот агент в списке официальных партнеров конкретного страховщика. Большинство крупных компаний публикуют реестры своих агентов на своих сайтах. Там можно найти номер договора между агентом и страховщиком. Если посредник не может назвать этот номер или он отсутствует в публичном доступе, риск потери денег возрастает многократно.
Практический чек-лист перед оплатой
Чтобы не превращать покупку полиса в квест, используйте короткий алгоритм действий. Он занимает не больше минуты, но спасает тысячи рублей.
- Не переходите по ссылкам из SMS или мессенджеров. Открывайте сайт вручную, набирая адрес или используя закладку.
- Сверяйте домен посимвольно. Ищите лишние буквы, цифры и странные зоны.
- Проверяйте сертификат. Нажмите на замок, убедитесь, что срок действия не истек и имя совпадает с адресом.
- Гуглите дату регистрации домена. Молодой домен + громкое имя = подозрение.
- Ищите компанию в реестре ЦБ. Сверяйте ИНН и статус лицензии.
- Проверяйте реквизиты платежа. Деньги должны уходить на расчетный счет юрлица, указанного в договоре, а не на карту физлица или криптокошелек.
- Используйте Google Safe Browsing. Хотя база обновляется не мгновенно, она отсекает уже известные вредоносные ресурсы.
Если хоть один пункт вызывает сомнения, лучше закрыть вкладку и позвонить в поддержку страховщика по телефону с их официального сайта. Не звоните по номеру, указанному на сомнительной странице - его тоже могли скопировать мошенники.
Что делать, если вы попались
Если деньги уже ушли, времени на раздумья мало. Немедленно заблокируйте банковскую карту через приложение банка. Обратитесь в банк с заявлением о несогласии с операцией, приложив скриншоты сайта и переписки. Параллельно напишите заявление в полицию. Также важно уведомить настоящую страховую компанию, которую имитировали мошенники. Иногда они идут навстречу клиентам, ставшим жертвами фишинга, особенно если сумма небольшая и есть доказательства добросовестности.
Для борьбы с системным злом отправьте жалобу в ФинЦЕРТ Банка России. Регулятор оперативно блокирует такие ресурсы, защищая других пользователей. Помните: ваша бдительность - лучшая страховка от страховых мошенников.
Гарантирует ли наличие зеленого замка (HTTPS), что сайт страховщика настоящий?
Нет, не гарантирует. HTTPS подтверждает только шифрование соединения и то, что владелец сертификата контролирует домен. Мошенники могут легко получить бесплатный SSL-сертификат для своего фишингового сайта. Наличие замка говорит о технической защите канала, но не о юридической легитимности компании.
Как быстро проверить легальность страховой компании?
Самый быстрый способ - воспользоваться справочником участников финансового рынка на официальном сайте Банка России. Введите ИНН или название компании в поиск и убедитесь, что у нее есть действующая лицензия на соответствующий вид страхования. Данные в реестре обновляются регулярно, поэтому это самый надежный источник.
Можно ли покупать полис на сайте страхового брокера?
Да, можно, но с осторожностью. У брокера должен быть свой домен, но обязательно проверьте наличие у него лицензии Банка России на брокерскую деятельность. Кроме того, уточните на сайте самой страховой компании, входит ли данный брокер в список ее официальных агентов. Реквизиты для оплаты должны совпадать с данными договора.
Что такое WHOIS и зачем проверять дату регистрации домена?
WHOIS - это база данных о владельцах доменных имен. Проверка даты регистрации помогает выявить свежие домены. Если крупная страховая компания запустила новый промо-сайт на домене, созданном неделю назад, это повод насторожиться. Легитимные крупные игроки редко используют совсем новые домены для основных продаж без связей с основным брендом.
Куда жаловаться на фишинговый сайт страховщика?
Сообщения о мошеннических ресурсах можно направлять в ФинЦЕРТ Банка России по электронной почте fincert@cbr.ru. Также стоит обратиться в свою банковскую организацию для блокировки операции и подать заявление в полицию. Регулятор оперативно взаимодействует с регистраторами доменов для блокировки выявленных ресурсов.
