Что произошло

Специалисты направления киберразведки экспертного центра безопасности Positive Technologies (PT ESC TI) подвели итоги III квартала 2026 года. За три месяца аналитики зафиксировали 3425 фишинговых доменов. Злоумышленники маскировали подделки под голосования, розыгрыши призов, скидочные акции и службы доставки — через эти страницы у пользователей выманивали учетные данные и платежную информацию, выбивали денежные переводы и распространяли вредоносные приложения. Показательная деталь: содержание «приманки» нередко расходилось с тем сервисом, к которому на самом деле подбирались мошенники.

Структура угрозы: куда нацелены поддельные сайты

Абсолютное большинство выявленных доменов было ориентировано на кражу личных аккаунтов. В исследованной выборке доли распределились так:

  • 89% — учетные записи мессенджеров. Посетителей уводили на сторонние поддельные сайты, где запрашивали номер телефона и код подтверждения — якобы для получения приза, участия в голосовании или доступа к информации. Важно: речь о чистом обмане пользователей, а не о взломе инфраструктуры или обходе защиты самих мессенджеров.
  • 5% — банковские данные и прямые денежные схемы. Копировалось оформление служб доставки и банков: «подтвердите заказ», «войдите в банковский сервис». В одном из сценариев несколько способов оплаты намеренно возвращали ошибку — рабочим оставался только один, подконтрольный мошенникам. Другие страницы обещали выигрыш, за получение которого требовалось заранее оплатить «пошлину» или доставку либо связаться с «менеджером».
  • 3% — вредоносные Android-приложения. Пользователей убеждали установить программу ради «дополнительного доступа»; одним из примеров послужила приманка FreeNet VPN с обещанием бесплатного доступа к интернет-ресурсам.
  • 3% — кража учетных записей других систем. Среди схем встречались видеоприманки: страница под видом «материалов дела» с символикой Госавтоинспекции предлагала открыть запись «через привычный видеоплеер».

Почему это актуально

Мессенджеры в России — основной канал личной и рабочей коммуникации, а взломанный аккаунт быстро превращается в инструмент рассылки по контактам жертвы, то есть в точку повторного заражения. Ловкость сценариев повышает конверсию фишинга: используются знакомые триггеры — топливные талоны и карты АЗС, голосования за врачей, педагогов и детей, награды с символикой популярных мобильных игр. Убедительность страниц нагоняли фото «кандидатов», счетчики голосов и таймеры акций, торопящие жертву быстрее пройти «подтверждение».

Из общего массива 80 доменов оказались в российских зонах .ru и .рф — сведения о них переданы регистраторам для разделегирования. Это пример рабочей координации между вендором угрозевой аналитики и национальным доменным сообществом: часть инфраструктуры фишинга демантируется, не дожидаясь массовых жалоб.

Фишинг простыми словами

Фишинг — это вид мошенничества, при котором жертве подсовывают поддельную страницу, копирующую известный сервис, и побуждают ввести секретные данные: логины, пароли, коды из СМС, реквизиты карт. Технически защита от фишинга у крупных сервисов часто ни при чем — обходят не системы, а человека. Отсюда и главный практический вывод экспертов PT: одноразовый код входа в мессенджер не нужен для участия в голосовании, а требование оплатить получение неожиданного выигрыша — почти верный признак мошенничества.

«Легенды могут быть разными, но задача злоумышленников — убедить человека совершить нужное им действие: передать код для входа, ввести платежные данные, отправить деньги или установить приложение. Поэтому важно проверять не только оформление страницы, но и то, что именно она предлагает сделать», — отметил Денис Кувшинов, руководитель направления Threat Intelligence и сервиса PT Fusion в Positive Technologies. Вендор также рекомендует проверять полный адрес страницы, назначение одноразовых кодов и устанавливать приложения только из доверенных источников.

Итог: более 3,4 тысячи новых фишинговых доменов за квартал — это не статистика «за гранью», а ежедневный фон атак на сотрудников и клиентов любой российской компании. Рынку важно, что отечественные центры киберразведки не только считают угрозы, но и участвуют в зачистке доменной зоны. Продукты Positive Technologies для борьбы с фишингом и мониторинга угроз доступны у дистрибьютора MONT.

Читайте также: