Письмо от «контрагента»: «Направляем акт сверки и договор на подпись. Архив защищён, пароль: 4412». Вложение называется Документы_октябрь.rar. Выглядит заботливо: файлы защищены паролем, всё серьёзно.

На самом деле пароль защищает не документы от посторонних, а вирус от проверки.

Зачем мошенникам пароль

Почтовые сервисы проверяют каждое вложение: распаковывают архивы и ищут внутри вредоносные программы. Зашифрованный архив без пароля открыть нельзя. Фильтр видит только имя файла и размер, а что внутри, не знает.

Пароль в тексте письма решает проблему мошенника: человек его прочитает и введёт, а автоматическая проверка, скорее всего, нет.

Насколько это массово: в 2026 году «Почта Mail» рассказала о волне фишинга с запароленными RAR-архивами, где пароль писали прямо в тексте письма. По данным сервиса, за месяц на такие письма пришлось 13% всех заблокированных. Письма маскировали под деловые документы: договоры, запросы на подписание, уведомления, и приурочивали к сдаче отчётности.

«Лаборатория Касперского» в отчёте о спаме и фишинге за 2025 год описывает и более хитрый вариант: внешний архив без пароля, а внутри ещё один архив, уже с паролем, и текстовый файл с этим паролем. Так письмо проходит больше фильтров.

Почему это опасно именно в офисе

Такие письма почти всегда идут на рабочую почту: бухгалтерии, отдел закупок, секретарю. Внутри архива обычно:

  • программа с иконкой документа: Акт_сверки.pdf.exe, Договор.scr;
  • ярлык .lnk, который запускает команду;
  • документ Word или Excel с макросом.

Один запуск на рабочем компьютере может дать злоумышленнику доступ ко всей сети компании. Подробнее о том, как распознать такие файлы, мы писали в статье про расширения исполняемых файлов и про макросы в документах.

Можно ли проверить запароленный архив онлайн

Честный ответ: содержимое зашифрованного архива без пароля не проверит никто. Ни VirusTotal, ни Filechek, ни антивирус на почте. Они увидят только сам архив, а зашифрованные файлы внутри останутся для них чёрным ящиком. Поэтому «0 обнаружений» для такого архива почти ничего не значит.

Проверять нужно то, что внутри, и только после того, как вы убедились, что письмо настоящее.

Что делать с таким письмом

  1. Не открывайте архив сразу. Срочность («подпишите сегодня»), незнакомый отправитель, адрес с ошибкой в названии компании: любого из этих признаков достаточно, чтобы остановиться.
  2. Свяжитесь с отправителем другим способом. Позвоните по номеру, который у вас уже был, а не по номеру из письма. Спросите, отправлял ли он архив и зачем пароль. Настоящие партнёры редко шифруют обычные акты и договоры.
  3. Если отправитель подтвердил, распакуйте архив, но ничего не запускайте. Включите показ расширений файлов и посмотрите на полные имена.
  4. Проверьте распакованные файлы. Загрузите каждый в Filechek: мы разберём файл без запуска и покажем подпись программы, макросы в документах, команды в ярлыках и скриптах. Для сверки с десятками антивирусов отправьте файл в VirusTotal, но помните, что туда уходит копия файла.
  5. Обновите архиватор. В WinRAR и 7-Zip регулярно находят уязвимости, которые срабатывают уже при распаковке специально подготовленного архива. Старая версия архиватора сама по себе риск.

Если архив уже открыт и файл запущен

Отключите компьютер от сети: выдерните кабель или выключите Wi-Fi. Сообщите в ИТ-отдел или системному администратору сразу, не дожидаясь конца рабочего дня. Не удаляйте письмо: специалистам понадобятся отправитель, заголовки и сам архив, чтобы проверить, кому ещё оно пришло.

Источники