Что такое фишинговая ссылка и как проверить сайт на её наличие

Основные методы защиты

Наиболее эффективная тактика для защиты от фишинга – не посещать непроверенные сайты, не переходить по сторонним ссылкам. Однако нередки ситуации, когда пользователь может найти нужную информацию для загрузки на сайте, не имеющем протокола безопасности. В такой ситуации главными методами защиты являются встроенные инструменты браузера, программное обеспечение, которое защитит компьютер от вирусных файлов.

Безопасная передача данных

Что безопасно передавать информацию от пользователя к пользователю, на просторы сети интернет, стоит использовать виртуальные сети. Принцип работы VPN – создание зашифрованного тоннеля для безопасной передачи данных от компьютера клиента к серверу. Чтобы подобрать хорошую виртуальную сеть, попробуйте программное обеспечение VPN бесплатно, убедитесь в функционале и возможностях сервиса. Частные сети дают массу преимуществ, среди которых не только шифрование тоннеля для передачи данных, но и маскировка реального местоположения, возможность подключения к работе удаленно. Подобные сервисы популярны у простых пользователей интернета, владельцев бизнеса, корпоративных работников, которым необходимо передавать важные данные, не боясь кражи.

Защита браузера

Такие браузеры, как Firefox, Chrome используют Safe Browsing API, позволяющий получать информацию о вредоносных ресурсах напрямую от поисковой системы. Такие поисковики, как Google сохраняют и обрабатывают данные о сайтах, содержащих вирусы, а браузер использует информацию, чтоб отличить хороший сервер от плохого. Списки с небезопасными порталами обновляются и дополняются автоматически, скорость загрузки через браузер сохраняется благодаря сокращению времени на проверку конкретного сайта, адрес которого содержится в списках Google.

Антивирус

Работа антивирусных программ направлена на своевременное обнаружение подозрительных, вредоносных сайтов, пресечение соединения и оповещение пользователя. На практике при подключении к сайту, который собирает важную информацию без ведома пользователя, содержит зараженные вирусами файлы, антивирус остановит подключение и оповестит пользователя всплывающим окном. Своевременная блокировка защищает устройство владельца от вирусов, вредоносов, позволяет совершать платежи и передачу информации безопасно.

Составляющие фишинга

Разберем механизм фишинга: что заставляет людей попадаться на удочку мошенников?

Психологические факторы

Фишинг используют, играя на чувствах и эмоциях, присущих большинству из нас. Это могут быть как отрицательные качества человеческой натуры: лень, жажда легких денег, любопытство и даже ревность, так и абсолютно естественные чувства честного человека: страх перед возможным банкротством или невозможностью погасить долг, боязнь быть обманутым и др.

Разумеется, подобный обман очень быстро вскроется, но фишинг-мошенники редко работают в долгосрочной перспективе. Их цель – несколько жертв, а в дальнейшем будет изобретено что-то другое.

Побуждение к действию

Вышеупомянутые эмоции побуждают пользователей пойти на поводу у фишеров. Что может стать причиной выдачи информации преступникам? Например:

Можно привести еще множество примеров фишинга. Все они имеют целью запугать человека либо соблазнить выгодным предложением, а после – выудить нужную информацию, а нередко и деньги.

Поддельные ссылки

Ссылки, используемые для фишинга, ведут на ложные интернет-страницы, которые максимально похожи на настоящие. Чтобы неопытный пользователь (к тому же, находящийся под влиянием эмоций) не мог распознать подделку, над созданием фейкового сайта трудятся программисты и дизайнеры.

Есть одна отличительная особенность фишинга, на которой я бы хотела акцентировать внимание: мошенники постоянно вас торопят. В их обращении довольно часто присутствуют такие слова – «скорее», «быстрее», «торопись, а то будет поздно» и т.д

и т.п. Это своего рода маркетинговый ход, который применяют и реальные компании в рекламных слоганах. Но согласитесь, солидная компания, банк, юридическая фирма и тем более государственный орган вряд ли будут использовать такие слова. Это один из факторов, который должен насторожить. Поторопиться злоумышленники призывают по нескольким причинам:

• вы можете передумать;
• вы проконсультируетесь с кем-то, кто укажет вам на фишинг;
• фейковые ссылки, как правило, не живут долго.

Обход фильтров

Чтобы письмо не отправилось прямиком в папку «Спам», мошенники в области фишинга используют различные ухищрения. Например, заменяют текст картинкой, русские буквы – латинскими или цифрами. Так, мне неоднократно приходило в Вайбер сообщение от «Сбербанка», с очень похожим логотипом и номером отправителя «900». Однако если присмотреться, нули были заменены на заглавные буквы «О». К сожалению, многие люди, особенно пожилые, не обращают внимания на подобные нюансы.

Защита от фишинга

1. Все современные браузеры обладают возможностью информирования пользователей о подозрительном сайте. Называется эта функция — «Антифишинг». Поэтому всегда поддерживайте версию своего браузера в актуальном состоянии, постоянно устанавливая последние обновления. Также, в браузеры уже бывает встроен дополнительный механизм защиты от фишинга, как это сделано в Яндекс браузере.
2. Любой современный антивирус обладает функцией предупреждения и блокировки перехода на сомнительный портал. Пользуйтесь самыми последними антивирусными решениями.
3. Борьба почтовых служб с помощью специальных спам-фильтров, которыми обрабатывается электронное письмо перед тем как попасть к пользователю.

На самом деле существует много разных способов, благодаря которым можно защититься от фишинга, но самое проверенное — быть внимательным к тому где и что вы вводите. Не переходите по странным и не проверенным ссылкам. Если это письма из банка, то лучшим способом проверить информацию будет уточняющий звонок в сам банк

Обязательно обращайте внимание на адресную строку и адрес, на котором вы в данный момент находитесь, ведь адрес http://facebook.sait.com — только похож на адрес социальной сети, но на самом деле он является фишинговой составляющей сайта sait.com

Если же вы все таки ввели свой логин и пароль на ресурсе злоумышленников и только потом заметили, что это обман, то в кратчайшие сроки зайдите на настоящий сайт и измените те данные, которые вы вводили — пароль, по возможности логин, секретные вопросы для восстановления данных. Также, обязательно сообщите о том что произошло в службу поддержки ресурса. Обычно порталы делают массовую рассылку о попытке взлома пользовательских аккаунтов и о том, что пользователи могут получить письмо с мошеннической ссылкой.

Не забудьте поделиться ссылкой на статью ⇒

Что такое дорвей (входная страница) и дорген?

В этом уроке рассмотрим такие понятия как дорвей или входная страница и дорген.

Что такое логин, пароль и учетная запись (аккаунт)

В этом уроке я постараюсь донести до вас определение и значение трех понятий, таких как логин, пароль и учетная запись или аккаунт.

Из этого урока вы узнаете что такое капча — captcha

Из этого урока вы узнаете что такое капча (captcha).

Виртуальная память компьютера и файл подкачки

В этом уроке поговорим о том, что такое виртуальная память компьютера и файл подкачки

Что такое никнейм (ник)

В этом уроке я расскажу вам что такое никней (nickname) или коротко ник.

Как распознать фишинговое сообщение?

Предугадать действия мошенников не всегда просто, но если мы не позволяем себе увлечься и спокойно подходим к каждому и особенно подозрительному сообщению, проверяем его несколько элементов, то у нас есть хороший шанс не стать жертвой фишинга. Ниже приведены некоторые примеры вредоносных сообщений. В них будут указаны основные элементы фишинговых атак, которые должны помочь вам их распознать.

Обратите внимание на отправителя сообщения

В большинстве случаев мошенники не пытаются скрыть адрес, откуда поступают опасные сообщения, или неумело выдают себя за доверенного поставщика услуг. Приведенный пример ясно показывает, что в поле «От» отсутствует адрес из домена банка, как утверждают киберпреступники. Вместо этого вы можете найти домен *.com.ua или *.org.ua вместо *.ua, который используется финансовыми учреждениями, действующими в Украине. Иногда мошенники более хитры и используют адреса, похожие на службы, которые они олицетворяют, но отличаются от оригинала небольшими деталями, такими как содержание письма или аннотации к ним.

Проверьте адрес страницы, на которую ведет ссылка

Особое внимание в сообщениях электронной почты следует уделять адресам страниц, на которые они ссылаются. Вопреки внешнему виду, вам не нужно нажимать на них, чтобы увидеть, куда они вас перенесут

Просто наведите указатель мыши на ссылку и подождите, пока браузер или программа электронной почты не покажет URL, скрытый под текстом. Особое внимание следует уделять сайтам, не имеющим отношения к предоставляемой услуге.

Не увлекайтесь

Спешка никогда не бывает хорошим помощником. Тоже самое касается анализа полученных сообщений, которые приходят на нашу почту. Преступники часто пытаются заставить потенциальных жертв поторопиться и, конечно же, для того, чтобы спровоцировать ошибку. Они всячески стараются ограничить промежуток действия акции или розыгрыша, когда вы получите свой приз или денежное вознаграждение.

В некоторых случаях мошенники даже угрожают блокировкой учетной записи в каком-либо сервисе. Не обманывайтесь этим и всегда тщательно проверяйте подозрительные сообщения. Помните, что бесплатный сыр бывает только в мышеловке. К тому же организаторы розыгрышей и акций вряд ли будут блокировать вашу учетную запись. Им нужны подписчики и поклонники для других подобных акций.

Запрос конфиденциальных данных — это всегда афера

Основной принцип безопасности при электронной связи поставщиков услуг и их клиентов состоит в том, чтобы не отправлять конфиденциальные данные в переписке. Если вас попросят ввести логин и пароль для службы, потому что ваша учетная запись заблокирована или нечто подобное, вы можете быть уверены, что сообщение было отправлено преступниками. Однако, если у вас есть сомнения, пожалуйста, свяжитесь с поставщиком, к примеру, услуг телефонной связи, который рассеет любые ваши сомнения. Помните, ни банки, ни мобильные операторы или иные службы не имеют права заставлять вас отправлять им персональные данные.

Читать также: Почему в наше время без VPN в Интернет лучше не заходить

Трудности перевода

Значительная часть фишинговых кампаний подготовлена ​​иностранными преступниками, которые не имеют представления о нашем языке. Они используют онлайн-сервисы для перевода содержимого электронных писем на русский или украинский языки, что часто оказывается довольно забавным. Такие сообщения не лишены грамматических ошибок, в них отсутствуют знаки препинания и куча неправильно написанных слов. Если вы заметили что-то подобное, можете без сомнений удалить сообщение.

Остерегайтесь вложений

Преступники также используют вредоносные программы для захвата конфиденциальных данных или взлома компьютеров и целых сетей. Механизм действия тот же и ограничен попыткой убеждения жертвы открыть вредоносное вложение. Чаще всего они скрыты в архивах ZIP или RAR и имеют форму исполняемых файлов EXE или BAT

Однако они также могут скрыть вредоносный код в макросах документов программ Microsoft Office или Google Docs, поэтому вам следует обратить на них внимание и выполнить сканирование с помощью антивирусной программы перед запуском

Если вы обращаете внимание на эти элементы при анализе подозрительных сообщений, скорее всего вас не одурачат преступники

Типы фишинга

Существует много видов фишинга.  Некоторые из популярных:

•  Обычные обычные электронные письма с просьбой указать ваши личные данные являются наиболее распространенной формой фишинга.
•  Копье фишинг
•  Китобойные мошенники
•  Smishing (SMS-фишинг) и Vishing
•  Мошенничество
•  Tabnabbing

1. Общий фишинг

В своей основной форме фишинга вы сталкиваетесь с электронными письмами и текстами, предупреждающими вас о чем-то, когда просите вас нажать на ссылку.  В некоторых случаях они просят вас открыть вложение в электронном письме, которое они вам отправили.

 В строке темы письма киберпреступники заманивают вас к открытию письма или текста.  Иногда, тема заключается в том, что одна из ваших учетных записей онлайн нуждается в обновлении и очень срочно.

В теле письма или текста есть некоторая убедительная информация, которая является фальшивой, но преподносится как правдоподобная, а затем заканчивается призывом к действию: вас просят щелкнуть ссылку, которую они предоставляют в фишинговом письме или тексте.  Текстовые сообщения более опасны, поскольку они используют сокращенные URL-адреса, назначение или полную ссылку которых нельзя проверить, не щелкая их, когда вы читаете их по телефону.

2. Копье фишинга

Относится к целевому фишингу, где целями являются сотрудники деловых домов.  Киберпреступники получают рабочие идентификаторы и отправляют поддельные фишинговые письма на эти адреса.  Он выглядит как электронное письмо от кого-то, кто находится на вершине корпоративной лестницы, что создает достаточно причин для спешки, чтобы ответить на него… тем самым помогая киберпреступникам проникнуть в сеть бизнес-дома.

3. китобойный промысел

Китобойный промысел похож на фишинг с копьем.  Единственная разница между китобойным и фишингом копьё заключается в том, что фишинг копьё может быть нацелен на любого сотрудника, а китобойный промысел — на определенных привилегированных сотрудников.  Метод тот же.  Киберпреступники получают официальные идентификаторы электронной почты и номера телефонов жертв и отправляют им убедительные электронные письма или текстовые сообщения, в которых содержится призыв к действию, который может открыть корпоративную интрасеть для доступа к задней двери.

4. Smishing и Vishing

Когда киберпреступники используют службу коротких сообщений (SMS), чтобы выявлять личные данные жертв, это называется SMS-фишингом или, если коротко, Smishing.

5. QRishing афера

QR-коды не новы.  Когда предполагается, что информация должна быть краткой и секретной, лучше всего использовать QR-коды.  Возможно, вы видели QR-коды на разных платежных шлюзах, в банковских объявлениях или просто в WhatsApp Web.  Эти коды содержат информацию в форме квадрата с черными рисунками, разбросанными по всему периметру.  Поскольку неизвестно, какую информацию предоставляет QR-код, всегда лучше держаться подальше от неизвестных источников кодов.  То есть, если вы получаете QR-код в электронном письме или тексте от лица, которого вы не знаете, не сканируйте его. 

6. Tabnabbing

После того, как вы перейдете на другую вкладку, вкладка изменяет страницу, которую вы посещали, на мошенническую страницу.  Давайте скажем:

•  Вы переходите на подлинный сайт.
•  Вы открываете другую вкладку и просматриваете другой сайт.
•  Через некоторое время вы возвращаетесь на первую вкладку.
•  Вас приветствуют новые данные для входа, возможно, в вашу учетную запись Gmail.
•  Вы входите снова, не подозревая, что страница, включая значок, действительно изменилась за вашей спиной!

 Это Tabnabbing, также называемый Tabjacking.

 Есть некоторые другие виды фишинга, которые в наше время не используются.  Я не назвал их в этом посте.  Методы фишинга продолжают добавлять новые методы к преступлению.  Изучайте различные типы киберпреступлений, если вы заинтересованы в своей безопасности.

Как определить, что это фишинговый сайт?

Качественный фишинговый сайт внешне ничем не отличается от своего оригинала, попав на него, вы ничего не подозреваете, потому что видите перед собой хорошо знакомый вам дизайн, все так сказать родное. Вы спокойно вводите свой логин и пароль, вот только что-то зайти не получается, потому что вместо входа на сайт ваши данные отправляются мошеннику. И теперь всего лишь дело времени, когда он прочитает отчеты о проделанной работе и заберет вашу страницу.

О последствиях мы поговорим чуть-чуть позже, а сейчас важно научиться отличать оригинал сайта от фишинга. Для этого нужно минимум внимания, но смотреть все равно нужно.  Чтобы чувствовать себя защищенным необходимо знать настоящее название сайта.  При создание фишингового сайта мошенники могут сделать практически все, но никогда не смогут поменять настоящее название, расположение сайта

Важно запомнить, фишинговый сайт всегда отличается в название:

И естественно так могут сделать с любым сайтом, будь то одноклассники, вконтакте или майл почта. Клон можно сделать любого сайта, название изменить не получится.

Многие сейчас скажут, да откуда я знаю оригинальные названия сайтов, разве их запомнишь? Вот именно такие люди, которые так говорят, посещают в интернете 5-10 сайтов, перепишите на листок, стикер и повести на монитор или рядом, пока не запомните или просто перед тем как ввести где угодно свой логин и пароль сравнивайте название по листочку, тогда никто вас не обманет. Практический пример я покажу в видео в конце статьи.

Как отличить фишинговый сайт от настоящего мы с вами разобрались, теперь давайте посмотрим какие последствия могут быть если вы все таки попались на «удочку» мошенников.

Фишинг в поисковых системах

При использовании фишинга в поисковых системах хакеры создают свой собственный веб-сайт и индексируют его в легитимных поисковых системах. Эти сайты часто предлагают дешевые товары и невероятно заманчивые предложения, пытающиеся заманить ничего не подозревающих онлайн-покупателей, которые видят сайт на странице результатов поиска в Google или в других поисковиках. Если жертва нажимает в поисковике на ссылку для перехода на такой сайт, то, как правило, предлагается зарегистрировать аккаунт или ввести информацию о своем банковском счете для завершения покупки. Конечно, мошенники затем крадут эти личные данные, чтобы использовать их для извлечения финансовой выгоды в дальнейшем.

Пример фишинга в поисковых системах

В 2020 году сообщил, что ежедневно обнаруживается 25 миллиардов спам-сайтов и фишинговых веб-страниц. Кроме того, Wandera сообщила в 2020 году, что каждые 20 секунд запускается новый фишинговый сайт. Это означает, что каждую минуту в поисковых системах появляются три новых фишинговых сайта!

Как можно защититься от фишинга

Специалисты в первую очередь советуют пользователям сервисов научиться распознавать фишинг самостоятельно.

В ответ на письмо с просьбой «подтверждения» учетной записи или любой другой схожей просьбой эксперты советуют пользователям связаться с компанией, от имени которой отправлено сообщение, чтобы проверить его подлинность. Кроме того, рекомендуется самостоятельно вводить URL-адрес организации в адресную строку вместо использования любых гиперссылок.

Практически все подлинные сообщения сервисов содержат в себе упоминание некой информации, недоступной для фишеров, например, упоминание имени или последние цифры номера счета. При этом подозрения должны вызвать любые письма, не содержащие какой-либо конкретной личной информации.

Борьба с фишерами происходит также на техническом уровне:

• Об угрозах фишинга предупреждают браузеры, большинство из них ведет собственные списки фишинговых сайтов, после сверки с ними сервисы предупреждают пользователей о переходе на опасные сайты;
• Почтовые сервисы борются с фишингом в сообщениях, совершенствуя свои спам-фильтры и анализируя фишинговые письма;
• Крупные сервисы и компании также занимаются усложнением процедуры авторизации, предлагая пользователям дополнительную защиту личных данных.

Михаил Терешков, руководитель направления информационной безопасности АО , в колонке на Rusbase привел такие эффективные, но простые для пользователя способы защиты от фишинга:

Признаки фишинговых писем:

1. Побуждают немедленно что-то выполнить или вести личную информацию.
2. Не указан отправитель, нет обратных контактных данных.
3. Обезличенное обращение к пользователю.
4. Автоподстановка — символы до знака «@».
5. Истории, к которым вы не имеете отношения: непогашенный кредит, судебные разбирательства. В случае письма из официального органа или банка, найдите в Интернете контактные данные, позвоните или сходите, чтобы узнать все детали. Кроме того, в подавляющем большинстве ответ приходит по обычной почте в бумажном виде.
6. Подозрительный вид ссылок при наведении курсора: ссылка, указанная в письме не совпадает с той, по которой будет переход.
7. Отправитель — известная компания. Проверьте, чтобы адрес настоящей компании действительно совпадал с адресом отправителя.
8. Мошенники представляются официальными представителями, но пишут не с корпоративных адресов, а с общих почтовых доменов: mail.ru, gmail.ru и т.д.
9. Вложенные документы со странными именами, цифрами и расширениями.
10. Замаскированные ссылки под изображения, QR-коды, кнопки.
11. Строка в адресе содержит «@» и другие странные символы.

Существует ли защиты от фишинга?

Задумались о том, как защититься от фишинга? С учетом разнообразия методов, действительно хитрых схем фишинга, увеличивается необходимость в усилении применяемых мер безопасности. Основными способами защиты персональных данных от интернет-мошенников являются:

• Спам-фильтры в электронной почте. Фильтры почтовых программ и сервисов автоматически блокируют фишинговые электронные письма, попадающие в почтовые ящики пользователей, и помещают их в специальную папку. В нее иногда попадает и реклама.

• Привязка почтового аккаунта к номеру мобильного телефона. Многие сайты предоставляют возможность SMS-авторизации, то есть использования мобильного телефона в качестве дополнительного способа для входа в учетную запись, проверки и подтверждения проведения банковских транзакций. Для входа в аккаунт в случае смены IP-адреса пользователь вводит одноразовый код или пароль, приходящий на его мобильный телефон. Это существенно снижает риски: даже в случае успешной фишинг-атаки украденный киберпреступников пароль сам по себе не может быть повторно использован для дальнейшего проникновения.
• Проверка ссылки на фишинг на специальных анти-фишинговых сайтах. Существуют организации, специализирующиеся на борьбе с фишингом, например, FraudWatch International, Millersmiles. Они публикуют сведения о подтвержденных фишинговых атаках, происходящих в Интернете.

Функция «антифишинг» в современных браузерах

Все наиболее популярные браузеры на сегодняшний день имеют встроенную функцию обнаружения и блокировки фишинговых сайтов, которая работает на основе черного списка.

Соблюдение мер предосторожности. Хотя власти разных стран, крупные IT-компании (Microsoft, Google, Amazon и другие) активно борются с фишингом и другими видами киберпреступлений, а соблюдение всех необходимых мер предосторожности позволяет не попасться на уловки мошенников

В целях безопасности не следует открывать подозрительные электронные письма, не переходить по ссылкам, не кликать по объектам, самостоятельно вводить URL-адреса сайтов компаний в адресную строку браузера вместо клика по любым гиперссылкам в сообщении, не вводить личные данные на неизвестных интернет-ресурсах. Кроме того рекомендуется «усложнить» процедуру авторизации, доступную на сайтах, своевременно обновлять антивирусное программное обеспечение на всех своих устройствах. А самое главное и простое правило – всегда помнить о том, что никакие интернет-сервисы, сотрудники банков или других организаций не будут спрашивать пароль, PIN-код банковской карты и другие конфиденциальные данные.

Фишинг – один из наиболее распространенных видов интернет-мошенничества, представляющий серьезную опасность для конфиденциальности персональных данных, что достаточно часто приводит к финансовым потерям. Знание и соблюдение правил сетевой безопасности позволяет значительно снизить или даже полностью исключить риск возникновения подобных проблем.

Чем опасны фишинговые сайты

Чаще всего фишинговые сайты создают для банков, авиакомпаний, сервисов бронирования билетов и доставки еды — там, где пользователь будет что-то оплачивать или есть шанс получить доступ к его счету.

86 фишинговых сайтов Деливери-клаба, Сбермаркета и Яндекс-еды появились в пандемию — новость в Коммерсанте

На фишинговых сайтах есть форма оплаты или форма ввода логина и пароля от личного кабинета. С личным кабинетом опасность в том, что мошенник получает логин, пароль и код из смс, а затем — доступ к деньгам на счете. Работает это так:

• пользователь вводит логин и пароль на поддельном сайте;
• мошенник видит эти данные и вводит их на настоящем сайте;
• пользователю приходит смс от банка и он вводит код на поддельном сайте;
• этот код мошенник вводит на настоящем сайте и получает доступ к личному кабинету и счету пользователя.

А через форму оплаты на фишинговом сайте мошенник может списать любую сумму. Например, пользователь заказывает пиццу за 700 рублей, вводит номер карты и получает код в смс. Но код приходит не на 700 рублей, а на 30 000 рублей, которые получит мошенник.

Пользователь заказал пиццу по ссылке из инстаграма, и с его карты списалось 30 000 рублей.

Комментарий на виси-ру

Когда смс с кодом появляется на экране телефона в виде уведомления, видно только код. Сумму пишут ниже, и чтобы ее увидеть, нужно раскрыть уведомление.

Фишинговая схема

Фишинговое письмо, присланное преступниками от имени хостинг-провайдера

Обратите внимание: в теле письма нет ни упоминания названия провайдера, ни его логотипа. Вполне вероятно, что злоумышленники используют один и тот же шаблон для атак на клиентов разных хостеров

Имя фигурирует единственный раз — в поле имени отправителя. При этом оно не совпадает с почтовым доменом, хотя для убедительности в нем присутствует слово hosting. Это явный признак мошенничества.

Страницы поддельного веб-сайта

Ввести учетные данные на такой страничке — все равно что отдать ключи от корпоративного сайта компании в руки злоумышленников. Причем после этого пользователь почему-то попадет на страницу с формой ввода данных банковской карты. Какую злоумышленники в этом видят логику — неизвестно. Если кто-то попытался зарегистрировать подозрительный домен через учетку пользователя (как говорилось в письме), то зачем же предлагать ему еще раз вводить данные действующей карты, не сменив хотя бы пароль? Возможно, они поместили туда эту форму просто на всякий случай — вдруг кто-то да введет. Вон там какой убедительный дисклеймер про то, как серьезно они относятся к безопасности, в том числе и к финансовой. Тогда вдобавок к учетным данным у них будут еще и банковские.