Киберсигурност · Фишинг · юни 2026

Как да разпознаете фишинг имейл: 7-те признака, които спасяват българската ви фирма

Девет от десет успешни кибератаки срещу български малки и средни фирми започват с един имейл. Не с вирус, не с хакване на сървър - с имейл, на който някой е кликнал. Тази публикация описва седемте конкретни признака, по които вашите служители могат да разпознаят фишинг преди да е станало твърде късно, с реални примери от България и ясен план какво да правят ако нещо вече е сгрешено.

Най-важното накратко

• Фишингът е манипулация, не технология. Атакуващият разчита на бързина, страх и доверие - не на технически пробив. Затова антивирусата и IT отделът не са достатъчна защита; нужен е обучен човек, който разпознава признаците.
• Подателят и домейнът са лесни за подправяне. Изписано "ДСК Банка" в полето "От:" не означава нищо. Проверете реалния имейл адрес и домейна, от който е изпратено - те почти винаги издават измамата.
• Спешността е оръжие. "Акаунтът ви ще бъде блокиран след 24 часа", "Шефът иска спешен превод до края на деня" - изкуственото напрежение прекъсва критичното мислене. Колкото по-спешно звучи имейлът, толкова по-внимателно трябва да го прочетете.
• Връзките в имейла трябва да се проверяват преди клик. Задръжте мишката върху всяка връзка и погледнете адреса, който се показва долу вляво. Ако адресът не съответства на организацията или съдържа странни думи, не кликайте.
• BEC измамата е най-скъпата заплаха за малки фирми. Фалшив имейл от "управителя" или "счетоводителя" с молба за спешен банков превод е причина за загуби над 3 млн. лева годишно само в България. Всеки нетипичен превод изисква телефонно потвърждение.
• Ако вече сте кликнали - действайте бързо, но не панически. Изолирайте устройството, сменете паролите от друго устройство, активирайте MFA и уведомете IT отговорника. При изтекли лични данни има 72-часов срок за уведомяване на КЗЛД по GDPR.

Полето "От:" в имейл клиента показва две различни неща: показното име на подателя и реалния имейл адрес. Измамниците много лесно задават каквото искат показно име - "НАП България", "ДСК Банк", "Microsoft Support" - без да имат нищо общо с тези организации. Реалният адрес зад красивото иметo е там, където трябва да погледнете.

В Outlook кликнете върху показното име и то ще разгъне реалния адрес. В Gmail задръжте мишката върху "От:" или кликнете малката стрелка до него. Ако виждате "nap-bg.info", "dsk-banka.net", "microsoft-security.ru" или някоя комбинация от правилното наименование плюс допълнителни думи и тирета - това е фишинг. Легитимната НАП изпраща само от домейна nap.bg. ДСК изпраща само от dskbank.bg или dsk.bg. Microsoft изпраща от microsoft.com.

Защо измамниците го правят: Техниката се казва "display name spoofing" - подправяне на показното иметo. Тя е безплатна, не изисква хакерски умения и работи, защото повечето хора четат само показното иметo, а не реалния адрес. Имейл клиентите на мобилни устройства са особено опасни - те скриват адреса зад малко показно иметo и трябва да натиснете допълнително, за да го видите.

Спешността е най-мощното оръжие на фишинг атакуващия. Когато ни казват "трябва да действате незабавно", мозъкът преминава в режим "борба или бягство" и пропуска стъпката на критичното мислене. Измамниците знаят това и го използват систематично. Всеки имейл, в който срокът е "до края на деня", "в рамките на 24 часа", "незабавно" или "веднага" - трябва да предизвика обратна реакция: забавете, не ускорявайте.

Типичните заплашителни фрази в български фишинг имейли включват: "Вашият акаунт ще бъде блокиран", "Предстои принудително изпълнение", "Вашата сметка ще бъде закрита", "Необходима е верификация или ще загубите достъп", "Правни действия ще бъдат предприети". Тези фрази се срещат в имейли, имитиращи НАП, Национална здравноосигурителна каса, ДСК, УниКредит Булбанк, ОББ, Ситибанк и дори Електрохолд или ЧЕЗ.

Защо работи: Страхът от загуба е психологически по-силен от желанието за печалба. Заплахата "ще ви блокираме акаунта" е по-ефективна от "спечелете нещо". При страх хората действат рефлекторно, без да се замислят дали организацията наистина работи по такъв начин. Реалните банки и НАП никога не изискват спешни действия по имейл без предупреждение по официален канал - по поща, SMS или чрез официалното мобилно приложение.

Задържането на мишката върху линк (hover) е навик, който може да спаси фирмата ви. Когато задържите курсора върху хипервръзка, браузърът показва реалния адрес долу вляво в прозореца. Текстът на линка може да пише "https://www.dskbank.bg/login", но реалният адрес може да е "dskbank-bg-secure.ru/login" - изглеждащ убедително, но водещ към сайт на измамника.

Опасните URL модели, използвани в България, включват: домейни с тире и "bg" или "bank" (dsk-bg-secure.com), домейни с добавени думи (obb-bankovansmetki.net, unicredit-bulgaria-portal.info), странни разширения (.ru, .eu, .info за банки), скъсени линкове (bit.ly, tinyurl), и линкове с много параметри след въпросителен знак. Всеки от тях е червен флаг.

Особено внимание заслужават прикачените файлове, не само линковете. Имейл с "фактура" или "извлечение" като .zip, .exe, .docm или .xlsm е изключително рисков. Тези файлове може да съдържат скрити макроси или зловреден код, активиращ се при отваряне. Ако получите такъв файл от непознат подател или без предварителна уговорка - не го отваряйте.

Business Email Compromise (BEC) - компрометирането на бизнес имейл - е измамата, която коства на малки и средни фирми в България повече от всяка друга. Механизмът е прост и жесток: счетоводителят или финансовия директор получава имейл уж от управителя или от главния изпълнителен директор с молба за спешен банков превод. Поводът варира: нова сделка, изплащане на доставчик, конфиденциална транзакция, дори "купи ми подаръчни карти незабавно".

Сценарий, видян многократно в България: Управителят на строителна фирма е на обект в Германия. Счетоводителят получава имейл "от управителя" с молба: "Нов партньор иска 18 500 лв. по сметка преди подписване на договора. Спешно е, подписваме утре. Пращам договора по-късно - направи превода сега." Имейлът е изпратен от "manager.vanko@firmata-bg.com" вместо от "v.nakov@firmata-bg.com". Разликата е само в локалната част преди "@". Тонът е точно такъв, какъвто би ползвал шефът.

Как се защитавате: Въведете правило "нито един банков превод над определена сума не се нарежда без телефонно потвърждение с нареждащия" - без изключения, без значение колко спешно изглежда. Ако имейлът изрично казва "не се обаждай, той/тя е в среща" - това е втори голям червен флаг. Реалните управители не забраняват проверката на финансови транзакции. Само измамниците се страхуват от потвърждение.

Фишингът с фалшиви фактури е насочен специално към счетоводния отдел и е особено ефективен, защото изглежда напълно рутинен. Получавате имейл с PDF фактура от "доставчик", с когото работите или с когото имате бизнес контакт. Фактурата изглежда добре, логото е правилно, сумата е разумна. Разликата е, че банковите реквизити са сменени - числото по IBAN е различно от това, с което обикновено работите с доставчика.

Как атакуващият получава информация: Или е компрометиран имейл акаунтът на реалния доставчик и измамникът е следил кореспонденцията ви, или е направено проучване на публично достъпна информация (сайт, LinkedIn, търговски регистър). В първия случай имейлът идва от реалния адрес на доставчика и е почти невъзможен за разграничаване без проверка на IBAN. Точно затова е нужна процедура за всяка нова банкова сметка или промяна на реквизити.

Процедурата за защита е проста: При всяка фактура с нов или различен IBAN се обаждате директно на познат контакт при доставчика - не на телефона от имейла - и потвърждавате. Ако фирмата работи с доставчик от години и изведнъж получи фактура с нова сметка "защото са сменили банката", е почти сигурно, че е фишинг.

Все повече фишинг имейли са написани на добър български - инструментите за автоматичен превод с изкуствен интелект вдигнаха качеството значително. Въпреки това езиковите грешки и стиловите несъответствия остават ценен признак, ако знаете на какво да гледате. Не само правописни грешки, а по-фини сигнали: неестествен словоред ("Вашата сметка трябва верификация"), прекомерно формален или прекомерно неформален тон, смесени шрифтове в тялото на имейла, несъответстващо лого (различен оттенък, леко размазано или пикселизирано).

Конкретни признаци, открити в Bulgarian фишинг имейли от 2026 година: ДСК логото с неточен синьо-жълт цвят; имейли от "НАП", в които е написано "Уважаеми потребител" вместо правилното обръщение с фирмата или три имена; "Български пощи" имейли с "Ваш пакет" вместо "Вашата пратка"; Microsoft имейли с "Вашия акаунт" (неправилен падеж) вместо "Вашият акаунт"; имейли, в които "ДСК" е изписано с кирилица, а малкият текст долу е на латиница.

Важно уточнение: Отсъствието на езикови грешки не доказва, че имейлът е легитимен. Съвременните фишинг кампании са достатъчно добре изработени, за да минат граматическата проверка. Езиковите грешки са допълнителен сигнал, а не единствен индикатор. Дори безупречно написан имейл изисква проверка на домейна и линковете.

Панически реакции са разбираеми, но вредни. Ако осъзнаете, че сте кликнали на фишинг линк или сте въвели данни в подозрителна страница, имате прозорец от минути до часове, в който правилните действия могат да ограничат щетата значително. Ето точния ред на действие.

Стъпка 1 - Изолирайте устройството незабавно. Изключете мрежовия кабел или деактивирайте Wi-Fi. Ако сте на служебна мрежа, устройството може да позволи на зловреден код да се разпространи и на другите компютри. Не изключвайте устройството - изолирайте го от мрежата, но го оставете включено, за да може IT специалистът да анализира какво се е случило.

Стъпка 2 - Сменете паролата незабавно от друго устройство. Ако сте въвели парола за Microsoft, Google, онлайн банкиране или корпоративна система - сменете я от друг компютър или смартфон, за да избегнете риска компрометираното устройство да "гледа" новата ви парола. Ако паролата е ползвана за повече от един акаунт - сменете я навсякъде.

Стъпка 3 - Активирайте многофакторната автентикация (MFA). Ако MFA все още не е активирана на засегнатия акаунт, активирайте я веднага след смяната на паролата. MFA означава, че дори да е открадната паролата ви, атакуващият не може да влезе без втория фактор (SMS, приложение). За Microsoft 365, Google Workspace и банкови портали MFA е задължителна мярка - не опция.

Стъпка 4 - Уведомете IT отговорника и ръководството. Незабавно докладвайте на IT специалиста или на IT отговорника в компанията. Не чакайте да "видите дали ще стане нещо". Ако пробивът включва фирмени акаунти, имейл или финансова система, ръководството трябва да знае същия час. Ранното уведомяване намалява щетата многократно.

Стъпка 5 - Проверете дали са изтекли лични данни и уведомете КЗЛД при нужда. Ако инцидентът е засегнал данни на клиенти, служители или партньори (имена, ЕГН, адреси, финансови данни), по GDPR имате задължение да уведомите Комисията за защита на личните данни (КЗЛД) в рамките на 72 часа от установяване на нарушението. Ако не сте сигурни дали данни са изтекли - консултирайте се с юрист или специалист по GDPR преди да изтекат 72-те часа.

Стъпка 6 - При финансова измама се обадете на банката незабавно. Ако е наредено плащане или са компрометирани банкови данни, обадете се на банката веднага - има специална линия за измами, работеща 24/7. Колкото по-бързо уведомите, толкова по-вероятно е плащането да бъде спряно. Успоредно подайте сигнал до ГД БОП (отдел "Киберпрестъпност") - онлайн на адрес www.cybercrime.bg.

Следваща стъпка

Превърнете служителите си в надеждна защита срещу фишинг

Пловдивската строителна фирма от началото на тази статия не загуби нито стотинка - но само защото счетоводителят случайно погледна адресната лента в точния момент. Тя нямаше процедура, нямаше обучение и нямаше план за реакция. Вашата фирма заслужава по-добра основа от щастлив случай. Предлагаме обучение на служители, фишинг симулации и одит на сигурността, проектирани специално за малки и средни български фирми. Свържете се с нас за безплатна консултация.