 |
|
|
|
Фишинговая атака на российский бизнес: мошенники используют сбои в работе интернет-сервисов для обмана сотрудников
Фишинговая атака на российский бизнес: мошенники используют сбои в работе интернет-сервисов для обмана сотрудниковНачалась новая волна целевых фишинговых атак на российские компании. Злоумышленники эксплуатируют тему сбоев в работе интернет-сервисов и маскируются под государственные ведомства Суть угрозы По данным департамента киберразведки (Threat Intelligence) компании F6, с осени 2026 года зафиксирована активная волна фишинговых рассылок с QR-кодами, направленных на сотрудников российских компаний. Атакующие используют социальную инженерию, маскируясь под официальные уведомления от федеральных ведомств. В письмах, оформленных как извещения о внеплановых проверках или привлечении к административной ответственности, жертвам предлагается «оплатить спецдоставку физических документов» путем сканирования QR-кода. Сумма перевода обычно невелика (400–600 рублей), что снижает бдительность получателя. Характерной особенностью схемы является указание в инструкции: «Из-за проблем с интернетом в стране наблюдаются сбои в работе Яндекса. Если у Вас не открывается страница, повторите попытку через Гугл». Это позволяет злоумышленникам перенаправить жертву на подконтрольные фишинговые ресурсы. Цели и методы атакующих За серией атак стоит группировка, отслеживаемая аналитиками под именем QRGos TA. Она действует как минимум с осени 2025 года и специализируется на фишинговых рассылках с QR-кодами, ведущими на поддельные страницы оплаты. Истинная цель атакующих - не разовый перевод, а получение: - полных данных банковской карты сотрудника (включая CVC); - ФИО и адреса проживания; - платежных реквизитов компании. Эти сведения впоследствии используются для проведения более масштабных кибератак, включая компрометацию корпоративных счетов. География и целевые отрасли Осенью 2026 года жертвами атак стали компании из пяти отраслей: - промышленность; - логистика; - строительство; - ретейл и интернет-торговля; - операторы в сфере обращения с коммунальными отходами. Фишинговые сайты размещаются в доменных зонах `.beer`, `.biz`, `.cam`, `.casa`, `.click`, `.info`, `.lat`, `.me`, `.rest`, `.shop`, `.space`, `.wiki` и маскируются под официальные сервисы доставки. Индикаторы компрометации (IoC) При анализе входящей корреспонденции следует обращать внимание на следующие признаки:
Рекомендации по защите Для ИТ-подразделений: - Настроить правила фильтрации корпоративной почты для блокировки писем с QR-кодами от неизвестных отправителей. - Обеспечить проверку аутентификации отправителей (SPF, DKIM, DMARC). - Провести внеплановый инструктаж сотрудников по распознаванию фишинговых признаков. Для сотрудников: - Не сканировать QR-коды из входящих писем неизвестного происхождения. - При получении уведомлений от ведомств проверять информацию по контактам с официального сайта организации. - Не передавать данные банковской карты через формы, на которые ведут QR-коды из писем. - При любых сомнениях обращаться в ИТ-отдел или службу безопасности компании. От редакции Данная атака демонстрирует эволюцию социальной инженерии: злоумышленники эксплуатируют не только страх перед проверяющими органами, но и актуальный контекст (сбои в работе интернет-сервисов). Для ИТ-специалистов это сигнал о необходимости пересмотра политик фильтрации почты и повышения осведомленности персонала. Редакция журналов «Системный администратор» и «БИТ» продолжит отслеживать развитие угроз и информировать профессиональное сообщество. Источник: материалы департамента Threat Intelligence компании F6.
Подпишитесь на журналы «Системный администратор» и «БИТ», чтобы получать актуальную информацию о киберугрозах, практические руководства по защите инфраструктуры и экспертную аналитику. (Оформить подписку https://pay.samag.ru/)
|
|
