Как получатель отличает деловое письмо от мошеннического — и как не оказаться по ту сторону

Незнакомый отправитель, конкретное деловое предложение, ссылка внутри — с точки зрения спам-фильтра и настороженного получателя холодное письмо и фишинговое письмо стартуют из одной точки. Разница не в намерении автора, а в наборе формальных сигналов: домене, ссылках, подписи, тоне обращения. Разберём, по каким признакам получатель (и антифрод-система его почтового провайдера) отличает одно от другого, и как не задеть ни один из этих триггеров случайно.

Почему холодное письмо в принципе похоже на фишинг

Фишинговое письмо и холодное деловое письмо решают на первый взгляд одну задачу: заставить незнакомого человека открыть письмо от незнакомого отправителя и сделать шаг — перейти по ссылке, ответить, скачать файл. Почтовые фильтры и сам получатель используют одни и те же эвристики для обеих категорий, потому что не различают намерение автора — только форму сообщения.

Это значит, что часть работы над холодным письмом — не про убедительность оффера, а про снятие подозрения. Получатель B2B-почты видит десятки писем в день, часть из них — реальные попытки мошенничества (компрометация деловой переписки, поддельные счета, фишинг под видом партнёров). Реакция «не знаю отправителя — подозрительно» встроена по умолчанию, и письмо должно её преодолеть за первые секунды, до того как получатель вообще задумается об оффере.

Разница между спамом с точки зрения закона и обычной деловой перепиской в том, что ФЗ-38 «О рекламе» регулирует именно рекламные рассылки массового характера, а адресное письмо конкретному ЛПР по существу деятельности его компании под эту категорию, как правило, не подпадает. Но получателя закон не защищает от чувства «это подозрительно» — это отдельная, чисто психологическая планка, и её нужно преодолевать сигналами, а не ссылками на легальность.

Домен и адрес отправителя — сигнал номер один

Первое, что проверяет и человек, и антифрод-система, — соответствует ли домен отправителя тому, за кого он себя выдаёт. Классический приём мошенников — доменный сквоттинг: замена одной буквы (mycompany.com → mycornpany.com), использование похожего домена другой зоны (.com вместо .ru), или отправка с бесплатной почты якобы от имени сотрудника известной компании. Любой из этих паттернов мгновенно переводит письмо в категорию подозрительных, даже если получатель не может сразу сформулировать, что именно его насторожило.

Для холодного письма отсюда простое правило: отправлять нужно с корпоративного домена компании, которая реально стоит за предложением, и этот домен должен быть легко проверяем — рабочий сайт, узнаваемое название, соответствие подписи. Домен, зарегистрированный неделю назад специально под рассылку, не имеющий сайта или с сайтом-заглушкой, воспроизводит ровно тот паттерн, которым пользуются мошенники, даже если у отправителя чистые намерения.

Второй слой — техническая аутентификация домена: настроенные SPF, DKIM и DMARC. Это не про доверие человека, а про то, пропустит ли письмо почтовый сервер получателя без пометки «этот отправитель не подтверждён» — такая пометка сама по себе выглядит как красный флаг фишинга ещё до того, как человек начал читать текст.

Тон и структура письма: чего мошенники делают много, а деловая переписка — никогда

У мошеннических писем есть узнаваемая риторическая сигнатура, которую стоит держать в голове как список того, чего в холодном письме быть не должно. Искусственная срочность («ответьте в течение 24 часов», «предложение только сегодня») — приём давления, вынуждающий действовать не думая; в деловом первом касании ему просто нет функции. Угроза последствий («ваш аккаунт заблокируют», «вы теряете доступ») — вообще не применима к холодному аутричу, поскольку у получателя изначально нет никакого аккаунта или обязательств перед отправителем.

Обращение без персонализации («Уважаемый клиент», «Dear user») вместо имени и должности — ещё один узнаваемый паттерн массовых мошеннических рассылок. Персонализированное холодное письмо, где видно, что автор посмотрел на компанию получателя и его роль, работает здесь одновременно и на конверсию, и на доверие — это тот редкий случай, где хорошая практика продаж совпадает с антифрод-сигналом.

Излишне выгодные или эмоционально заряженные обещания («увеличим выручку в три раза», «уникальное предложение только для вас») тоже сближают письмо с мошенническим паттерном в восприятии получателя, даже если цифры реальны. Спокойный, конкретный, проверяемый тезис («сократили цикл согласования на 20% у трёх компаний вашей отрасли») читается как деловое предложение; превосходная степень без конкретики — как приманка.

Ссылки и вложения: самая чувствительная зона

Ссылка в письме — то место, где фишинг реализует свою цель, поэтому именно на ссылки настороженный получатель и почтовый фильтр смотрят внимательнее всего. Несовпадение видимого текста ссылки и реального адреса, ссылки через сокращатели (bit.ly и подобные) без объяснения, куда они ведут, домены-редиректы через несколько прокладок — всё это классические признаки фишинга, которые нужно исключить из холодного письма полностью.

Практический вывод: в первом письме цепочки лучше вообще обойтись без ссылок, если предложение можно раскрыть текстом. Если ссылка нужна — на кейс, презентацию, календарь для встречи — она должна вести на понятный, узнаваемый домен (сайт компании или известный сервис вроде календарного планировщика), а не на промежуточный трекер без объяснений.

Вложения в первом холодном письме — практика, которую стоит избегать почти всегда: получатель, не знающий отправителя, скачивать вложение от незнакомца не будет, а почтовые фильтры реагируют на неожиданные вложения от новых отправителей особенно жёстко. Материал (презентацию, кейс, прайс) лучше предлагать по ссылке на публичную страницу после того, как получен ответ и установлен минимальный контакт.

Подпись и проверяемость — то, что мошенники не могут подделать полноценно

Полная подпись с именем, должностью, названием компании, рабочим телефоном и ссылкой на профиль в LinkedIn или на сайт компании — самый простой способ снять подозрение, потому что она даёт получателю способ проверить отправителя за пределами письма. Мошенники обычно избегают такой подписи намеренно: чем больше проверяемых точек контакта, тем выше риск для них быть раскрытыми, поэтому у поддельных писем подпись либо отсутствует, либо сведена к минимуму.

Для холодного письма отсюда вытекает конкретная рекомендация: подпись должна быть избыточно полной, а не экономной. Имя и фамилия, должность, компания, телефон (даже если им никто не будет пользоваться — сам факт его наличия работает как сигнал), ссылка на профиль в деловой соцсети, где можно увидеть реальную историю человека. Это стоит буквально одной строки в шаблоне подписи, а эффект на доверие получателя ощутимо больше, чем от любой правки текста самого письма.

Дополнительно работает согласованность: если в письме упомянута компания, у неё должен быть находимый через поиск сайт, страница в соцсетях, упоминания в открытых источниках. Получатель, засомневавшись, делает ровно одно действие — вбивает имя компании в поисковик — и результат этого действия за пять секунд решает, ответит он или отправит письмо в спам.

Чек-лист: что проверить перед отправкой первой волны

Собрать все сигналы доверия в один проходной чек-лист проще, чем держать их в голове по отдельности при написании каждого письма.

• Домен отправителя совпадает с реальным сайтом компании и легко проверяется поиском
• Настроены SPF, DKIM, DMARC — письмо не помечается почтовым сервером как непроверенное
• Нет искусственной срочности и угроз («только сегодня», «иначе потеряете доступ»)
• Обращение персонализировано — есть имя и, желательно, отсылка к реальной роли или компании получателя
• Нет ссылок через сокращатели без пояснения, куда они ведут; текст ссылки совпадает с реальным адресом
• Нет вложений в первом письме цепочки
• Подпись полная: имя, должность, компания, телефон, ссылка на профиль
• Обещания конкретны и умеренны, без превосходных степеней и гарантий результата без контекста

Вопросы и ответы