Социальная инженерия (сайты для фишинга и обмана пользователей)

Социальная инженерия подразумевает создание контента, который обманным путем убеждает пользователей выполнять опасные действия, например скачивать программы или сообщать злоумышленникам конфиденциальную информацию. Если наши алгоритмы обнаружат, что на вашем сайте применяются методы социальной инженерии, то при попытке перейти на него браузер Chrome будет показывать предупреждение "Осторожно, поддельный сайт!" Узнать, имеется ли такой контент на ваших страницах, можно из отчета "Проблемы безопасности" в Search Console.

Открыть отчет

Что такое социальная инженерия

Социальная инженерия – это обманные приемы, заставляющие пользователя выполнять на сайтах или в приложениях действия, которые могут нанести ему ущерб.

Вот некоторые из таких приемов:

• Фишинг. Под этим термином понимается создание сайтов, которые обманным путем вынуждают пользователей раскрывать свои персональные данные (в частности, пароли, телефонные номера и номера социального страхования). Такая страница имитирует сайт организации, которой пользователи доверяют (например, банка или государственного учреждения), либо выглядит как интерфейс существующего браузера или операционной системы.
• Обманный контент. Пользователю предлагается совершить действие, обычно выполняемое только на официальном сайте организации, которой пользователи обычно доверяют, например ввести пароль, скачать программу или позвонить в службу поддержки. Разновидностью этого приема является показ уведомления с предложением обновить какую-либо программу на устройстве. При нажатии на такое уведомление у вас будет установлено нежелательное ПО.
• Некорректное указание стороннего поставщика услуг. Сторонний поставщик услуг управляет сайтом или сервисом от имени другого лица. Предположим, сайт вашей благотворительной организации пользуется услугами стороннего сайта для сбора пожертвований. На этом стороннем сайте должно быть четко указано, что он действует от имени благотворительной организации, иначе мы будем расценивать его деятельность как социальную инженерию.

Сервис Google Безопасный просмотр может предупреждать пользователей о том, что на странице, которую они собираются посетить, регулярно применяются методы социальной инженерии.

Страницы нарушают правила, если они:

• имитируют оформление или интерфейс авторитетного сайта, устройства пользователя или браузера;
• обманным путем заставляют пользователя совершить действие, обычно выполняемое на сайте авторитетной организации, например ввести пароль или позвонить в службу поддержки.

Социальная инженерия во встроенном контенте

Методы социальной инженерии могут применяться и во встроенном контенте на безопасных сайтах, например в объявлениях. Страницы с таким контентом нарушают наши правила.

Иногда материалы с социальной инженерией сразу видны посетителям страницы, как показано в примерах ниже. Но бывает и так, что обманный контент на первый взгляд не заметен и появляется в виде всплывающих объявлений, которые направляют пользователей на страницы злоумышленников. В обоих случаях страницы с подобными материалами, использующими приемы социальной инженерии, будут считаться нарушающими правила.

Я не использую приемы социальной инженерии, но в браузере появляется предупреждение. Почему?

Контент с социальной инженерией может находиться в сторонних элементах на вашей странице, например изображениях или объявлениях, и вынуждать посетителей скачивать нежелательное ПО.

Кроме того, сайт могут взять под контроль хакеры и размещать на нем или распространять с него контент, использующий социальную инженерию. Часто они изменяют материалы сайта или создают на нем новые страницы с целью получить конфиденциальные данные пользователей, например номера их банковских карт. Чтобы убедиться, что ваш сайт не считается распространяющим контент с социальной инженерией, изучите отчет "Проблемы безопасности" в Search Console.

Если вы полагаете, что ваш сайт был взломан, воспользуйтесь нашими рекомендациями.

Примеры

Примеры недостоверной информации

Ниже приведены примеры страниц, на которых используется социальная инженерия.

Примеры объявлений, вводящих в заблуждение

Ниже представлены примеры обманного контента во встроенных объявлениях, которые выглядят как часть интерфейса страницы.

Как устранить проблему

Если мы отметили ваш сайт как применяющий методы социальной инженерии, устраните нарушения, выполнив следующие действия:

1. Перейдите в Search Console.
   • Убедитесь, что вы остаетесь владельцем сайта в Search Console и у него нет новых подозрительных владельцев.

   • Изучите отчет о проблемах безопасности и посмотрите, не указано ли в нем, что на вашем сайте есть обманный контент (под этим термином в отчете подразумевается социальная инженерия). Перейдите на страницы, адреса которых перечислены в отчете. Для этого используйте компьютер в другой сети. В некоторых случаях контент, добавленный хакерами, не виден владельцам сайтов, но доступен для обычных посетителей.

     Если в отчете нет примеров подозрительных URL и вы уверены, что на вашем сайте не применяются методы социальной инженерии, запросите проверку на наличие вредоносного или нежелательного ПО, используя отчет "Проблемы безопасности".

2. Удалите контент, вводящий в заблуждение. Убедитесь, что на страницах не осталось обманного контента. Если вы считаете, что алгоритмы Безопасного просмотра относят ваш сайт к небезопасным ошибочно, сообщите нам об этом.
3. Проверьте сторонние ресурсы. Убедитесь, что изображения, объявления и другие встроенные сторонние элементы на ваших страницах не вводят пользователей в заблуждение.
   • Обратите внимание, что объявления в рекламном блоке могут чередоваться. Обновите страницу несколько раз, чтобы проверить все объявления на предмет социальной инженерии.
   • Некоторые объявления могут иметь разный вид на компьютерах и смартфонах. С помощью инструмента проверки URL проверьте, как выглядит ваш сайт при просмотре на разных типах устройств.
   • Убедитесь, что все используемые на вашем сайте сторонние сервисы, например платежные, соответствуют специальным рекомендациям.
4. Отправьте сайт на проверку. После удаления обманного контента можно запросить анализ на наличие вредоносного или нежелательного ПО, используя интерфейс отчета "Проблемы безопасности". Обычно он занимает несколько дней.

Рекомендации для сторонних сервисов

Если на вашем сайте используется сторонний сервис, то следуйте перечисленным ниже рекомендациям, чтобы ваш сайт не расценивался как использующий социальную инженерию.

• На всех страницах стороннего поставщика услуг (например, в их верхней части) должны быть представлены элементы бренда этой организации. Пользователям должно быть очевидно, кому принадлежит сайт.
• На каждой странице, содержащей элементы вашего бренда, следует явно указать на связь между вами и сторонним поставщиком услуг, а также разместить ссылку на источник дополнительной информации. Пример такого сообщения:

  Этот сервис предоставляется на сайте example.com от лица example.charities.com. Подробнее…

Пользователю должно быть на любой отдельно взятой странице понятно, на каком сайте он находится и какова связь между вами и сторонним поставщиком услуг.