Верификация сайта и организации: как по открытым данным отличить легитимный ресурс от подделки

Поддельные сайты имитируют банки, госорганы, маркетплейсы и сервисы доставки. Задача верификации — сопоставить данные домена, сертификата, организации и технического окружения, чтобы выявить несоответствия. Ниже — набор методов, которые работают исключительно с открытыми данными и не требуют доступа к целевой системе.

Данные регистрации домена: RDAP и WHOIS​

Первый шаг — выяснить, кто зарегистрировал домен, когда и через какого регистратора. Протокол RDAP (Registration Data Access Protocol) пришёл на смену WHOIS и предоставляет регистрационные данные в стандартизированном формате JSON. По данным ICANN, с 28 января 2025 года все реестры и регистраторы gTLD обязаны предоставлять RDAP-сервисы, при этом требование поддерживать WHOIS снято (исключение — зоны .com, .name и .post).

RDAP поддерживает интернационализацию, безопасный доступ к данным и автоматическое обнаружение авторитативных серверов. Ежемесячный объём запросов к RDAP-серверам превышает 10 миллиардов.

Практический запрос​

Для домена example.com запрос к bootstrap-серверу IANA:

curl -s "https://rdap.org/domain/example.com" | jq '.events, .entities'

Ответ содержит:

• events — даты регистрации, последнего изменения, истечения срока;
  
• entities — регистратор, административный и технический контакты (если не скрыты privacy-сервисом);
  
• nameservers — NS-записи домена.
  

На что обращать внимание​

Индикатор	Легитимный сайт	Подозрительный
Возраст домена	Годы, совпадает с историей организации	Зарегистрирован дни или недели назад
Регистратор	Крупный, известный	Малоизвестный, часто используемый для bulk-регистраций
Privacy protection	Может присутствовать у крупных компаний	Почти всегда включён на фишинговых доменах
Совпадение организации	Регистрант совпадает с заявленной компанией	Регистрант — физлицо или нерелевантная организация

Если WHOIS-данные скрыты, это не автоматически означает подделку: крупные компании часто используют privacy-сервисы. Но для сайта, который позиционирует себя как банк или госорган, скрытый регистрант — серьёзный красный флаг.

SSL/TLS-сертификат​

Сертификат подтверждает, что домен контролируется владельцем, а для EV/OV-сертификатов — что организация прошла проверку удостоверяющего центра.

Получение данных сертификата​

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Типы сертификатов и уровень доверия​

• DV (Domain Validation) — подтверждено только владение доменом. Выдаётся за минуты, не требует документов. Фишинговые сайты почти всегда используют DV.
  
• OV (Organization Validation) — CA проверяет юридическое лицо. В сертификате появляется название организации.
  
• EV (Extended Validation) — расширенная проверка: юридический адрес, регистрационные документы. Браузеры ранее отображали зелёную строку с названием компании; сейчас визуальное выделение убрано, но данные остаются в сертификате.
  

Что проверять​

1. Subject и SAN — совпадают ли домены в сертификате с адресом сайта. Фишинговые ресурсы часто используют сертификаты для *.legit-brand.com.attacker-domain.net.
   
2. Issuer — известный CA (Let's Encrypt, DigiCert, Sectigo) или самоподписанный/малоизвестный.
   
3. Срок действия — фишинговые сертификаты часто выданы на короткий срок (Let's Encrypt выдаёт на 90 дней, но это нормально и для легитимных сайтов; подозрительно, если сертификат выпущен вчера для сайта, который «работает с 2010 года»).
   
4. Соответствие организации — для OV/EV: название в сертификате должно совпадать с заявленной на сайте компанией.
   

Let's Encrypt — бесплатный CA, который используют и легитимные проекты, и злоумышленники. Сам по себе Let's Encrypt не является индикатором подделки, но в сочетании с молодым доменом и скрытым регистрантом усиливает подозрение.

Реестры юридических лиц​

Если сайт утверждает, что принадлежит конкретной организации, это можно проверить через открытые реестры:

• Россия — ЕГРЮЛ/ЕГРИП на сайте ФНС (egrul.nalog.ru). Поиск по ИНН, ОГРН или названию. Можно убедиться, что организация существует, не ликвидирована, и сверить адрес.
  
• США — SEC EDGAR для публичных компаний, Secretary of State каждого штата для LLC и корпораций.
  
• ЕС — национальные торговые реестры, а также European Business Registry (EBR).
  
• Международные — OpenCorporates агрегирует данные из множества юрисдикций.
  

Что сверять​

• Совпадает ли юридическое название на сайте с данными реестра.
  
• Не находится ли организация в процессе ликвидации или банкротства.
  
• Совпадает ли адрес на сайте с адресом из реестра.
  
• Соответствует ли вид деятельности (ОКВЭД или аналог) тому, что предлагает сайт.
  

Технические индикаторы подделки​

Доменные имена​

Фишинговые домены эксплуатируют визуальное сходство:

• Typosquatting: g00gle.com, faceb00k.com, arnazon.com (замена m на rn).
  
• Homograph-атаки: использование символов Unicode, визуально неотличимых от латиницы (кириллические а, о, е, р, с).
  
• Subdomain-маскировка: bank.com.phishing-site.net — в адресной строке браузера пользователь видит длинный URL и может принять поддомен за часть легитимного домена.
  

Проверка на homograph:

python3 -c "import idna; print(idna.encode('пример.рф'))"

Если домен содержит punycode-представление (xn--), это означает наличие не-ASCII символов.

HTTP-заголовки и поведение​

curl -sI https://suspected-site.com

Обращайте внимание на:

• Server — легитимные крупные сервисы обычно не раскрывают версию сервера или используют кастомные значения.
  
• Отсутствие HSTS (Strict-Transport-Security) — серьёзные финансовые сервисы всегда включают HSTS.
  
• Redirect-цепочки — фишинговые сайты часто редиректят через несколько промежуточных доменов.
  

Контентные признаки​

• Ссылки на страницы «О нас», «Контакты», «Политика конфиденциальности» ведут на заглушки или не работают.
  
• Форма входа запрашивает данные, которые легитимный сервис не запрашивает (например, номер карты при входе в личный кабинет).
  
• Орфографические ошибки, нехарактерные для профессионального ресурса.
  
• Изображения и логотипы загружаются с внешних доменов, не принадлежащих заявленной организации.
  

Кросс-корреляция данных​

Отдельный индикатор может быть ложноположительным. Сила верификации — в пересечении нескольких источников:

1. Домен зарегистрирован 3 дня назад + DV-сертификат Let's Encrypt + скрытый регистрант → высокая вероятность подделки.
   
2. Домен зарегистрирован 12 лет назад + EV-сертификат DigiCert + организация найдена в ЕГРЮЛ и активна → легитимный ресурс.
   
3. Домен зарегистрирован 2 года назад + DV-сертификат + организация существует, но адрес не совпадает → требуется дополнительная проверка (возможно, сайт-партнёр или франшиза).
   

Дополнительные источники для корреляции​

• Passive DNS — история DNS-записей домена. Если IP-адреса часто менялись или домен ранее указывал на хостинг, нехарактерный для заявленной организации, это подозрительно. Сервисы вроде SecurityTrails, VirusTotal и CIRCL Passive DNS позволяют запросить такую историю без прямого взаимодействия с целевым сервером.
  
• Wayback Machine (web.archive.org) — позволяет увидеть, как сайт выглядел ранее. Легитимный ресурс имеет многолетнюю историю снимков; фишинговый — либо отсутствует в архиве, либо появился недавно.
  
• VirusTotal / URLScan.io — агрегируют результаты сканирования URL и домена. Не заменяют ручной анализ, но помогают быстро выявить известные вредоносные ресурсы.
  

Ограничения методов​

• Privacy-защита регистранта не является доказательством подделки.
  
• DV-сертификат не означает, что сайт фишинговый: множество легитимных проектов используют Let's Encrypt.
  
• Реестры юридических лиц подтверждают существование организации, но не гарантируют, что именно она управляет конкретным сайтом.
  
• Злоумышленники могут клонировать легитимный сайт на поддельном домене с валидным DV-сертификатом — в этом случае решающим становится анализ доменного имени и данных регистрации.
  

Итоговый чек-лист верификации​

Шаг	Действие	Инструмент
1	Проверить возраст домена и регистратора	RDAP (rdap.org), whois
2	Проанализировать SSL-сертификат	openssl s_client, браузер
3	Сверить организацию в реестре	ЕГРЮЛ, OpenCorporates, SEC EDGAR
4	Проверить домен на typosquatting и homograph	Визуальный анализ, idna
5	Посмотреть историю сайта	Wayback Machine
6	Проверить HTTP-заголовки	curl -sI
7	Запросить Passive DNS	SecurityTrails, VirusTotal, CIRCL
8	Сопоставить все данные между собой	Ручной анализ

Если хотя бы 3–4 индикатора из разных категорий указывают на несоответствие, ресурс с высокой вероятностью является подделкой. При единичном подозрительном признаке стоит продолжить проверку, а не делать немедленный вывод.

Источники​

• Resources - bellingcat
  
• Registration Data Access Protocol (RDAP)