Правила определения фишинга и мошеннических сайтов

1. Область действия

1.1. Правила применяются ко всему содержимому, которое раздаёт Layero:

• сайты на адресах <метка>.layero.app и зеркале <метка>.layero.dev;
• адреса веток и превью;
• временные сайты, опубликованные без регистрации;
• сайты на собственных доменах клиентов, если содержимое размещено в Layero.

1.2. Правила действуют для любого тарифа и любого возраста аккаунта. Платный тариф, давность аккаунта и известность владельца не делают нарушение допустимым.

1.3. Оценивается то, что видит посетитель: сама страница, её скрипты, встроенные элементы, всплывающие окна и адреса, куда переадресует сайт. Встроенный сторонний обманный контент — реклама, виджет, цепочка переадресаций — считается нарушением сайта, который его показывает. Так рассматривает это и Google.

2. Категории нарушений

Каждая категория описана так: что это, по каким признакам определяется и что нарушением не считается. Решение принимается по совокупности признаков, а не по одному слову на странице.

Ф1. Фишинг — сбор учётных данных чужого сервиса

Что это. Страница выманивает данные, которые открывают доступ к чужому сервису или деньгам человека, и при этом выдаёт себя за этот сервис или за доверенного посредника.

Такие данные:

• логин и пароль от почты, банка, Госуслуг, маркетплейса, мессенджера или соцсети;
• код из СМС или одноразовый код для входа в чужой аккаунт или подтверждения операции;
• данные банковской карты под видом банка, платёжной системы или госоргана;
• фраза восстановления или закрытый ключ криптокошелька, подключение кошелька к сервису, выводящему средства.

Признаки:

• форма ввода таких данных на сайте, который выглядит как чужой сервис: название, логотип, оформление, адрес с названием бренда («sign-in», «account-verification», «sber-…»);
• приманка «подтвердите аккаунт», «аккаунт будет заблокирован», «проверка безопасности»;
• введённые данные уходят в бот Telegram или на посторонний домен;
• страница собирает IP-адрес посетителя через сторонние службы;
• логотип подставляется по домену почты, которую ввёл посетитель — типичный набор для кражи почтовых паролей;
• запутанный код, который скрывает, куда уходят данные.

Не является нарушением:

• вход по логину и паролю в собственный сервис владельца сайта: кабинет, CRM, админку, электронный дневник;
• кнопки «Войти через Сбер ID / Яндекс ID / VK ID / Google», при которых пароль вводится на сайте самого провайдера;
• сайт, работающий от имени партнёра, если отношения явно указаны на каждой странице: «сайт компании X для клиентов Y», «официальный партнёр Y» (так требует Google).

Ф2. Обманный контент — социальная инженерия без формы

Что это. Страница вынуждает человека сделать то, что он сделал бы только для доверенной стороны: позвонить «в поддержку», скачать программу, отключить защиту, перевести деньги.

Признаки:

• поддельные системные окна и предупреждения: «ваш компьютер заражён», «обновите браузер», «установите проигрыватель»;
• поддельная «официальная поддержка» с номером телефона или контактами;
• кнопки «Скачать» и «Смотреть», за которыми скрывается загрузка другого;
• реклама, выдающая себя за элементы управления страницы;
• «генераторы» бесплатных подписок, валюты или кредитов в магазинах приложений.

Не является нарушением: честные баннеры и кнопки владельца, реклама, явно отличимая от содержимого страницы.

Ф3. Мошенническая приманка

Что это. Страница обещает выгоду, чтобы получить деньги, телефон, код или данные карты, или уводит человека туда, где это у него заберут.

Признаки:

• «проголосуйте за меня», розыгрыши, выигрыши, подарки, «выплаты от государства», компенсации, бесплатные или нереально дешёвые товары и услуги;
• «проверка партнёра на верность», «узнай переписку мужа»;
• заработок, который требует комиссии за вывод, «инвестиции» с обещанной доходностью;
• продажа товаров без намерения отправить, предоплата за то, чего не существует, скрытые подписки и списания;
• переход с такой страницы на посторонний домен, где просят телефон, код из СМС или данные карты.

Не является нарушением:

• настоящие конкурсы и акции организатора с условиями, которые не собирают учётные данные чужих сервисов и не уводят за ними на посторонний сайт;
• обычная продажа товаров и услуг со своей оплатой.

Ф4. Подделка под бренд (мимикрия)

Что это. Сайт копирует вид, название или функции известного или официального ресурса и не говорит, что им не является. Сюда же относится выдуманный «официальный» ресурс, которого не существует.

Признаки:

• адрес, логотип, значок, заголовок или оформление повторяют оригинал;
• поддельная страница оплаты или «личный кабинет» бренда;
• «официальные» контакты и поддержка, не принадлежащие бренду.

Не является нарушением: фан-сайты, обзоры, неофициальные клиенты и партнёрские сайты, если отношение к бренду явно указано — «неофициальный сайт», «фан-сайт», «сайт партнёра». Указание должно стоять в заголовке страницы и в начале её текста (так требует Яндекс).

Ф5. Скрытая переадресация и клоакинг

Что это. Сайт показывает посетителю не то, что обещает, или незаметно уводит его на посторонний ресурс.

Признаки:

• сайт-переходник: адрес в Layero только перенаправляет на посторонний домен, особенно если тот собирает данные или деньги;
• переадресация без понятной причины — по времени, по источнику перехода, только для мобильных;
• по прямой ссылке сайт не открывается или открывается пустым, а из поиска или рассылки показывает другое содержимое.

Не является нарушением:

• открытая переадресация с понятной причиной: переезд на собственный домен владельца, ссылка «перейти на сайт»;
• A/B-тесты, региональное содержимое, адаптация под устройство.

Ф6. Вредоносное и нежелательное ПО

Что это. Сайт раздаёт или запускает то, что вредит устройству или пользователю.

Признаки:

• файлы с вирусами, шпионскими и рекламными программами;
• загрузка без явного согласия или файл не того типа, что был обещан;
• установщики, которые молча ставят лишнее или выдают себя за официальное ПО другой компании;
• скрытый майнинг в браузере, подмена содержимого чужих страниц;
• «дрейнеры» криптокошельков.

Не является нарушением: честная раздача собственных программ с явной подписью, что и зачем скачивается.

Смежные нарушения

Пиратское содержимое, открытые прокси, спам-лендинги и незаконные материалы фишингом не являются. Они рассматриваются по пункту 4.2 Соглашения и странице «Жалоба на сайт», а права правообладателей — в порядке, описанном там же.

3. Степень уверенности и решения

3.1. Сайт с признаками Ф1, созданный в первые сутки жизни аккаунта, проверяется вне очереди: так выглядит большинство мошеннических кампаний.

3.2. Отключение обратимо: содержимое не удаляется, сайт перестаёт открываться и показывает посетителям экран «Сайт заблокирован». Снять блокировку за нарушение этих правил может только поддержка Layero, не владелец сайта.

3.3. Автоматические проверки лишь отбирают кандидатов, решение по ним принимает модератор. Без модератора сайт отключается только по точным признакам уже известной кампании, например по адресу, куда уводят посетителей, или по её типовому заголовку.

4. Кампании и повторные нарушения

4.1. Кампания — несколько сайтов одного аккаунта или связанных аккаунтов с одной приманкой, одним шаблоном или одним адресом, куда уводят посетителей. Подтверждённое нарушение на одном сайте кампании означает отключение всех её сайтов и блокировку аккаунтов.

4.2. Обход правил. Повторная публикация отключённого содержимого под новым адресом, в новом проекте или с нового аккаунта — нарушение само по себе. Такой сайт отключается без повторной проверки, аккаунт блокируется. Google прямо называет обход через новые поддомены нарушением.

4.3. Повторное нарушение. Если сайт после восстановления в течение 30 дней снова нарушает правила, он отключается без права восстановления, а аккаунт блокируется. Это соответствует политике Google о повторных нарушителях.

5. Как проводится проверка

5.1. Источники сигналов:

• жалобы через layero.ru/abuse и support@layero.ru;
• уведомления Google Search Console и Яндекс Вебмастера по доменам layero.app и layero.dev;
• сверка адресов сайтов с базой Google Web Risk;
• собственная проверка новых и обновлённых сайтов по признакам раздела 2.

5.2. Фиксация. Для каждого решения сохраняются адрес страницы, время проверки, найденные признаки и снимок или выдержка содержимого. Проверки и их итоги ведутся в журнале. Срок хранения журнала — 90 дней, если по делу нет спора или запроса уполномоченного органа.

5.3. Проверка без вреда для посетителей. Сайты проверяются по одному, с паузами, чтобы не нагружать приложения других клиентов. Фишинговое содержимое не публикуется повторно и не выкладывается в открытый доступ, в том числе в тестах и примерах.

5.4. Сроки — по странице «Жалоба на сайт»:

• подтверждение получения жалобы — в течение одного рабочего дня;
• фишинг и вредоносное ПО — вне очереди, как правило, в течение суток;
• остальное — до трёх рабочих дней.

5.5. Обжалование. Владелец отключённого сайта пишет на support@layero.ru и прикладывает объяснение. Если нарушение не подтвердилось, сайт восстанавливается, а отметка о нарушении снимается.

5.6. Поисковики и браузеры. Если Google или Яндекс пометили адрес на домене Layero, нарушитель отключается, после чего через Search Console и Яндекс Вебмастер запрашивается пересмотр. Ответ Google — от нескольких дней, Яндекса — до 30 дней.

6. Что Layero делает как хостинг

По рекомендациям Google для хостингов пользовательского содержимого Layero:

• публикует правила при регистрации — это Пользовательское соглашение и настоящий документ;
• принимает жалобы на странице layero.ru/abuse без регистрации;
• ограничивает временные сайты без регистрации: срок жизни — час, закрыты от поисковиков, проверка капчей;
• подтвердил права на домены layero.app и layero.dev в Google Search Console, чтобы получать уведомления о метках;
• сверяет адреса сайтов с базой Google Web Risk и сообщает о находках модератору;
• отключает нарушителей в сроки из раздела 5 и блокирует кампании целиком.

7. Пересмотр

7.1. Правила пересматриваются после каждого инцидента, в котором сайт прошёл незамеченным, и не реже раза в квартал.

7.2. Изменения публикуются новой редакцией с датой. Предыдущие редакции сохраняются.