Defender ошибочно блокирует ссылки Google: что это значит для доверия к антивирусам

Почему Defender проверяет обычные ссылки Google

В Microsoft 365 ссылки из писем могут проходить через Safe Links. Сервис переписывает или проверяет URL во время доставки и в момент нажатия, чтобы выявить фишинг, вредоносные перенаправления и сайты, которые изменились после отправки письма.

Для поискового URL это сложнее, чем для обычной статической страницы. Адрес Google может содержать параметры запроса, перенаправления, разные домены локализации, кодировки и длинный текст. Система безопасности должна решить, безопасен ли такой URL, но ошибка модели классификации может воспринять необычную структуру как подозрительную.

Защита работает по принципу снижения риска, а не абсолютной безошибочности. Она может пропустить новую угрозу, заблокировать безопасный URL или временно показать предупреждение во время обновления правил. Поэтому в организациях сочетают автоматические фильтры, проверку администратором и здравый смысл пользователя.

Как выглядела проблема

Пользователь открывал ссылку на страницу результатов Google из письма или другого поддерживаемого Microsoft 365 сервиса. Safe Links проверял адрес, после чего появлялось предупреждение о небезопасном сайте. По описанию инцидента, копирование URL и вставка его напрямую в браузер не всегда обходили предупреждение, значит проблема была не в конкретном клике, а в классификации адреса.

Для организации это могло привести к нескольким последствиям:

• сотрудники не открывали легитимные результаты поиска;
• служба поддержки получала много одинаковых обращений;
• SIEM или портал Defender могли показывать лишние уведомления;
• администратор мог ошибочно добавить слишком широкую исключающую политику;
• пользователи могли привыкнуть игнорировать предупреждения.

Последний пункт особенно опасен. Ложное срабатывание не делает отключение защиты правильным решением, ведь следующее предупреждение может быть настоящим.

Как отличить false positive от реальной угрозы

Проверьте не только название «Google», но полный URL и контекст. Реальный поисковый URL обычно принадлежит домену Google и содержит понятный путь или параметры запроса. Фишинговый сайт может использовать слово google в поддомене или длинном домене, например google.example.com, где настоящий владелец — example.com.

Перед открытием проверьте:

1. адрес отправителя письма;
2. полный домен ссылки;
3. ожидали ли вы это письмо;
4. требует ли страница пароль, код MFA или платежные данные;
5. не ведёт ли URL через сокращатель или несколько редиректов.

Если предупреждение появилось для официального URL, не вводите данные на странице и не создавайте исключение самостоятельно. Отправьте URL администратору или откройте Google через собственную закладку, введённую вручную.

Что делать обычному пользователю

Если вы увидели предупреждение на рабочем компьютере:

• не нажимайте «продолжить» без проверки;
• не отключайте антивирус и Safe Links;
• скопируйте полный адрес, не открывая его повторно;
• сделайте скриншот и передайте его администратору;
• проверьте, открывается ли официальный сайт через закладку или вручную введённый адрес;
• дождитесь обновления политики или подтверждения от ИТ-отдела.

На домашнем ПК без Microsoft 365 можно проверить тот же URL в браузере, но не считайте отсутствие предупреждения гарантией безопасности. Разные системы имеют разные базы репутации. Не устанавливайте расширения, обещающие «убрать предупреждение Defender», так как они могут перехватывать весь поиск.

Что делать администратору Microsoft 365

Сначала откройте Microsoft 365 admin center и проверьте Service health и активные advisories. Сопоставьте время появления проблемы, политику Safe Links, версии правил и конкретные URL. Не добавляйте google.com в глобальный allow list только чтобы убрать предупреждения: это может ослабить проверку вредоносных страниц и перенаправлений.

Если исключение действительно нужно, ограничьте его точным доменом или URL, задокументируйте причину, укажите владельца и дату пересмотра. Проверьте, применяется ли политика ко всем пользователям, и протестируйте не только позитивный, но и негативный сценарий с известным опасным URL.

Сохраните примеры false positive: исходный URL, URL после Safe Links, время, идентификатор сообщения и скриншот. Не пересылайте конфиденциальное письмо сторонним сервисам без очистки данных. Эта информация поможет поддержке Microsoft локализовать проблему.

Нужно ли менять антивирус

Нет, единичный инцидент не доказывает, что Defender хуже другого продукта. Системы репутации ошибаются, особенно при отслеживании сложных URL и быстрых перенаправлений. Важнее, насколько быстро производитель признаёт проблему, исправляет классификацию и даёт администратору контролируемые настройки.

Не устанавливайте одновременно несколько полноценных антивирусов и не отключайте встроенную защиту без плана. Конфликт фильтров может вызвать больше блокировок, нагрузку и непонятные уведомления. Для защиты браузера важны также обновления Windows, безопасные расширения и ограниченные права пользователя.

Если после блокировки появились другие симптомы

Если предупреждения появляются на всех сайтах, браузер сам меняет поиск, возникают перенаправления или устанавливаются неизвестные расширения, проблема может быть уже не в false positive. Проверьте программы, расширения, прокси и DNS, но не удаляйте системные файлы наугад.

При повторных зависаниях браузера, подозрительном трафике или самовольных изменениях настроек сохраните доказательства и обратитесь на диагностику ноутбука. Если в систему попало вредоносное ПО, сначала отключите устройство от сети и смените важные пароли с другого надёжного устройства.

Полезно также просмотреть подозрительные и скрытые приложения и удалить только то, что вы можете идентифицировать. Не доверяйте программам, которые просят отключить Defender ради «правильной работы».

Вывод

Ложное блокирование ссылок Google в Defender for Office 365 показывает, что автоматическая защита тоже нуждается в контроле качества. Предупреждения не стоит игнорировать, но и не нужно паниковать из-за каждой ошибки классификации. Проверяйте полный домен, контекст письма и статус Microsoft 365, а исключения создавайте только точечно и документированно.

Для домашнего пользователя лучший алгоритм — не отключать защиту, не устанавливать сомнительные «исправления», открывать Google через собственную закладку и обращаться к администратору, если блокировки повторяются. Для бизнеса важны журналы, Service Health, узкие исключения и проверка политики после каждого изменения.

FAQ

Q: Значит ли предупреждение Defender, что Google заражён? A: Нет. В сентябре 2026 года Microsoft расследовала случай, когда Safe Links ошибочно классифицировал некоторые легитимные поисковые URL Google как опасные.

Q: Поможет ли скопировать ссылку и вставить её в браузер? A: Не обязательно. Во время описанного инцидента проверка могла срабатывать и после копирования, так как проблема была в классификации URL.

Q: Можно ли добавить весь Google в список разрешённых? A: Не стоит создавать широкую исключающую политику. Администратор должен проверить точный URL и создать минимальное исключение только при необходимости.

Q: Что делать, если Defender блокирует все сайты? A: Проверьте статус Microsoft 365, время появления проблемы, обновления политик и расширения браузера. Если есть перенаправления или незнакомые программы, нужна отдельная проверка устройства.