Фишинг — одна из главных киберугроз для бизнеса. По статистике, до 80% кибератак так или иначе связаны с фейковыми письмами, сообщениями в мессенджерах, сайтами, приложениями.
При этом реализация фишинговых атак позволяет злоумышленникам реализовать широкий спектр действий. Среди них: кража персональных данных и другой конфиденциальной информации, распространение вредоносного ПО, кража средств, манипулирование жертвами для выполнения противоправных действий.
Аналитики DRP-решения (Digital Risk Protection) Smart Business Alert (SBA), разработанного в компании ЕСА ПРО (входит в ГК Кросс технолоджис), регулярно фиксируют фишинговые схемы, утечки данных и акты мошенничества. В обзоре мы представляем самые яркие кейсы фишинга, выявленные специалистами в III квартале 2026 года.
Кейсы будут полезны экспертам директорам по ИБ, планирующим обучение сотрудников компании, экспертам по OSINT и специалистам SOC. Ведь фишинг — зачастую лишь первый этап подготовки более крупной атаки на людей и бизнес: кражи средств и данных, взлома сетей.
Фишинг вокруг важных для государства событий
Важные государственные события являются одним из главных инфоповодов, который мошенники используют для создания своих легенд. К ним относятся государственные праздники, памятные даты, конференции и политические мероприятия. В III квартале 2026 года ключевым событием стали выборы в Государственную думу Российской Федерации, которые прошли с 18 по 20 сентября.
Важно отметить: мошенники регулярно используют электоральную тематику. Подобная активность фиксировалась и во время президентских выборов 2024 года, и ранее. При этом под каждую кампанию злоумышленники стараются создавать уникальные схемы. В 2026 году специалисты зафиксировали три основных мошеннических сценария:
Опросы от имени независимых исследовательских организаций. В данном случае мошенники создавали фишинговые сайты, имитирующие существующие или фейковые социологические организации. Для повышения доверия злоумышленники могли размещать на страницах данные о сотрудничестве с ЦИК РФ, Госуслугами и другими государственными органами и сервисами.
Пользователю предлагали пройти опрос на тему выборов, а затем «пройти идентификацию» или «подтвердить участие» в социологическом исследовании с помощью государственных сервисов, мессенджеров или банковских приложений. В результате мошенники получали в распоряжение идентификационные данные граждан, которые могут использоваться для кражи средств или проведения дальнейших сложных фишинговых атак.
Проверка гражданина в списках избирателей. Пользователю предлагали найти себя в избирательных списках или проверить номер избирательного участка. Для этого жертве было необходимо заполнить персональные данные: ФИО, адрес, паспортные данные, СНИЛС или номер телефона. Собранные данные впоследствии могут быть использованы для социальной инженерии.
Имитация ресурсов электронного голосования. Через федеральную и московскую систему ДЭГ проголосовало более 6 млн человек или около 10% всех избирателей. Мошенники создавали фишинговые ресурсы, которые имитировали официальные государственные платформы. С их помощью злоумышленники могли получить персональные данные пользователей, для их дальнейшего использования в схемах с социальной инженерией, а также красть идентификационные данные от мессенджеров и Госуслуг для дальнейших вредоносных действий с ними: оформления займов в микрофинансовой организации, сбора данных по документам.
Для всех схем характерно дополнительное привлечение внимания за счет розыгрышей и призов. Обещание выигрыша давало мошенникам возможность запросить дополнительную информацию о жертве.
Фишинг вокруг новых технологий
Распространение новых технологий, которые могут быть не до конца понятны пользователям, но становятся громкими инфоповодами, также является благоприятной почвой для мошенников.
Охота на корпоративный ИИ. Мы выявили распространение сервисов, предлагающих бесплатный аудит ИИ-агента. Для проведения процедуры мошенники запрашивают название агента, email владельца, API Endpoint, API-ключ и System Prompt. В совокупности эти сведения представляют собой цифровой портрет агента: адрес системы, средство авторизации и инструкции, определяющие ее поведение.
Получив действующий API-ключ, третьи лица могут отправлять запросы за счет владельца и расходовать оплаченные токены. Если ключ открывает доступ к корпоративному агенту, последствия могут быть еще серьезнее: злоумышленник получает возможность взаимодействовать с подключенными файлами, историей обращений, базами данных и рабочими инструментами — в пределах прав, предоставленных агенту.
Особую опасность такие действия злоумышленников представляют для компаний, где ИИ-агенты уже взаимодействуют с CRM-системами и базами данных, содержащими чувствительную информацию. В таком случае, манипуляции ИИ, например, с помощью prompt injection, позволяют украсть конфиденциальные данные, которые в дальнейшем могут быть проданы, использованы для шантажа бизнеса или дальнейших атак.
Развертывание 5G-сетей. Другая заметная волна фишинга и мошенничества в III квартале 2026 года связана с разрешением Государственной комиссии по радиочастотам для российских операторов разворачивать 5G сети. Мошенники опираются, во-первых, на заметность новости, а во-вторых, на непонимание пользователей, как они смогут воспользоваться новой сетью: через смену сим-карты, тарифа, настроек телефона или специализированное ПО.
Сервис SBA зафиксировал сигнал о формировании фишинговой сети в доменах, содержащих названия российских операторов связи. Если выделить регистрации, в которых бренд оператора сочетается с сервисными словами вроде "wifi", "cert", "seti", "internet", "partner", "app" или "online", то за первые десять дней сентября таких регистраций было примерно в 2,1 раза больше, чем за предыдущие десять дней. Это еще не позволяет говорить о сформировавшейся массовой фишинговой кампании, однако динамика показывает интерес к эксплуатации телеком-брендов.
Мы выделили три основные схемы мошенничества, которые могут использовать злоумышленники в связке с тематикой 5G:
- 1. Проверка совместимости телефона с 5G. В данном случае мошенники используют бренды крупных телеком-компаний, направляют от их имени сообщения пользователям с предложением якобы проверить совместимость смартфона с сетью нового поколения на их ресурсе. После перехода на фишинговую страницу пользователя могут попросить указать номер телефона, данные учетной записи для входа в личный кабинет, информацию из договора пользователя с оператором и так далее. Все эти данные впоследствии мошенник могут использовать для проведения сложных атак с использованием социальной инженерии.
- 2. Установка «обновления сети», «модуля 5G» и т.д. Этот сценарий специфичен для пользователей смартфонов на Android. Реализацию этой схемы мошенники также могут начать с СМС якобы от оператора с предложением установить специализированное ПО, которое позволит пользователю подключаться к сети 5G. На самом деле пользователь скачивает не необходимую программу, а вредоносное ПО, которое злоумышленники могут дистанционно использовать, чтобы красть чувствительную информацию, перехватывать сообщения и т.д.
- 3. Обход ограничений для IPhone. На данный момент доступ техники Apple к российским сетям 5G остается под вопросом. Мошенники предлагают пользователям использовать методы обхода ограничений: войти на смартфоне в специальный iCloud или Apple Account, зарегистрированный в стране, где 5G уже разрешен. Это не является штатным способом подключения к 5G. Фишинговая страница под видом iCloud может использоваться для кражи данных Apple Account, а попытка убедить владельца войти на устройстве в чужую учетную запись потенциально создает риск дальнейшей блокировки и захвата контроля над устройством.
Фишинг вокруг Чемпионата мира по футболу
Злоумышленники начали реализовывать фишинговые схемы еще до старта турнира, однако значительная масса пришлась именно на финальные стадии ЧМ-2026.
Аналитики сервиса SBA зафиксировали 7798 фишинговых доменов, связанных с ЧМ-2026, Международной федерацией футбола (FIFA) и другими футбольными явлениями, в период с 11 июня по 21 июля 2026 года. За весну 2026 года специалисты зафиксировали 18,7 тыс. доменов, порядка 6 тыс. за месяц в среднем. Массовая регистрация доменов была особенно сильна на старте турнира и в первой половине плей-офф. К 10 июля было учтено 7429 доменов — 95,7% от итоговой выборки.
Пики регистрации пришлись на 11-12 июня — дни открытия ЧМ, когда было опубликовано 1192 домена, 1-5 июля — переход к матчам на выбывание, когда было зарегистрировано 1750 доменов, 7-10 июля — дни четвертьфиналов турнира, когда было зарегистрировано 2059 доменов, включая суточный рекорд за весь период наблюдения — 1263 регистрации.
Чаще всего на фишинговых доменах злоумышленники размещали ресурсы, связанные со ставками на матчи — имитации существующих букмекерских контор или придуманные мошенниками компании. Другая категория — сайты со статистикой турнира, расписанием, возможностью отслеживать новости и трансляции. В отдельных случаях преступники предлагали жертвам скачать приложение для этих целей, которое оказывалось вредоносным ПО для шпионажа и кражи персональной информации. С помощью таких сайтов мошенники не только крадут средства пользователей, но и их аутентификационные данные от социальных сетей, мессенджеров и в отдельных случаях Госуслуг.
Фишинг вокруг турнира показывает, что для мошенников совершенно не принципиальна географическая привязка инфоповода. ЧМ-2026 проходил в Северной Америке, сборная России в нем не участвовала. Тем не менее, турнир стал поводом для массового фишинга, потери от которого будут исчисляться десятками миллионов рублей.
Резюме
Мошенники для формирования фишинговых атак используют инфоповоды разного масштаба и тематики. В III квартале мы наблюдали пик интереса к значимым событиям, а также новым технологиям. При этом их суть атак, с технической точки зрения, остается неизменной.
Хотя такие сервисы, как SBA, помогают блокировать фишинговые ресурсы, гражданам и бизнесу сегодня нужно оставаться предельно внимательными в цифровом пространстве — злоумышленники совершенствуют методы сокрытия вредоносной активности, чтобы увеличить срок жизни фейковых сайтов и приложений. Особенно осторожными необходимо быть во время значимых событий и громких новостей — от масштаба распространения инфоповода прямо зависит масштаб фишинговой кампании.
Поделиться
