Социальная инженерия и обман

Социальная инженерия — это обман, направленный на извлечение денег или конфиденциальных данных (реквизитов карт, учетных данных, номеров телефонов) у обычных пользователей. Это самая серьезная категория в данном списке, так как Яндекс может показывать предупреждение о сайте прямо в результатах поиска.

Три тактики, описываемые Яндексом

• Привлечение клика. Кликбейт-заголовки и вводящий в заблуждение контент: фальшивые новостные сайты, имитации сервисов знакомств или лотерей, предложения бесплатных или абсурдно дешевых товаров, призы и платформы быстрого заработка.
• Создание доверия. Выдача себя за официальный сайт с помощью похожих доменов, элементов интерфейса и контента; публикация поддельных положительных отзывов или ложной информации.
• Сбор данных. Фейковые страницы оплаты, запрашивающие данные карт; фальшивые формы входа и восстановления аккаунта; формы, обещающие доступ к контенту в обмен на номер телефона или карту и ничего не предоставляющие — включая формы, которые незаметно активируют платную подписку с автопродлением, условия которой пользователь никогда не видит.

Предположение, которое Яндекс делает о вас

Руководство по исправлению примечательно тем, что оно подразумевает: если ваш сайт подозревается в социальной инженерии, он мог быть скомпрометирован злоумышленниками. Первая инструкция — проверить наличие вредоносного кода, а не пересматривать маркетинг. Фишинговые страницы регулярно размещаются на взломанных легитимных сайтах — в забытом подкаталоге, на неиспользуемом поддомене, внутри папки загрузок — так, что владелец об этом даже не догадывается.

Где искать на сайте, который вы считаете чистым

• Файлы, добавленные или измененные в последнее время в доступных для записи через веб каталогах, особенно в папках загрузок.
• Поддомены и каталоги, которые никто не поддерживает: старые кампании, черновые копии, заброшенные CMS.
• Страницы в отчетах об индексировании в Вебмастере, которые вам незнакомы — Яндекс их обошел, а значит, они существуют.
• Административные учетные записи, которые вы не создавали, и плагины, установку которых никто не помнит.

Версия этого нарушения для легитимных сайтов

Два шаблона могут быть совершенно непреднамеренными: подписка, условия продления которой раскрываются где-то в другом месте, а не в момент оплаты, и лид-форма, обещающая то, чего пользователь на самом деле не получает. Оба варианта соответствуют описанию сбора данных под видом других целей, независимо от первомысла. Указание условий рядом с кнопкой, а не в связанном документе, ничего не стоит и устраняет двусмысленность.