Российские компании столкнулись с рекордным всплеском фишинговых атак: за III квартал их число выросло в 2,5 раза по сравнению с предыдущим периодом. Хакеры подбирают пароли из баз утечек, рассылают вредоносные файлы и всё чаще выдают себя за руководителей, чтобы получить доступ к данным и обманом заставить сотрудников выполнить их поручения. Как устроены эти схемы и как защитить аккаунты, разбирались «Известия».

Бизнес накрыла волна хакерских атак, сообщили «Известиям» специалисты в области кибербезопасности. Согласно данным сервиса DLBI, за июль – сентябрь число попыток взлома корпоративных аккаунтов оказалось в 2,5 раза выше, чем за предыдущие три месяца.

Специалисты сервиса отметили, что злоумышленники также проникают в личные аккаунты на бесплатных платформах. Скомпрометированные ящики используют для рассылки стилеров и троянцев с функцией удаленного доступа. В корпоративных сетях это позволяет похищать данные и заражать системы вирусами-вымогателями.

Для взлома чаще всего используется технология password reuse: злоумышленники собирают из украденных данных списки возможных комбинаций для конкретного пользователя и проверяют их на других аккаунтах. Для этого они входят в почту через браузер или специальные программы, некоторые из которых используют устаревшие протоколы с более слабой защитой.

Другой популярный способ — password spraying (распыление паролей), напомнил бизнес-партнер по инновационному развитию компании «Гарда», технический директор «Гарда WAF» Лука Сафонов. Злоумышленники пробуют несколько распространенных комбинаций для входа сразу на множестве аккаунтов. На каждый приходится мало попыток, поэтому системы защиты, рассчитанные на выявление массового подбора, могут пропустить такую активность.

Аналитик данных Координационного центра доменов .RU/.РФ Евгений Панков подтвердил, что число атак с применением вредоносного ПО растет.

— Если судить по обращениям в рамках проекта «Доменный патруль», то за девять месяцев 2026 года число обращений о распространении вредоносного ПО выросло в 1,9 раза, а их доля в общем объеме обращений об угрозах увеличилась с 19,1 до 27,3%, — уточнил он. — При этом атаки заметно усложняются: злоумышленники всё чаще сочетают фишинг и вредоносное ПО, а развитие ИИ-технологий позволяет готовить убедительные сообщения и масштабировать рассылки.

Мошенники понимают, что письмо от коллеги вызывает гораздо меньше подозрений, особенно если оно продолжает реальный рабочий диалог, и активно пользуются этим, подтвердил руководитель департамента специальных сервисов Infosecurity (входит в «Софтлайн Решения», ГК Softline) Константин Мельников.

— Приведу пример из практики. В одной из компаний злоумышленники добрались до критичной инфраструктуры через взлом почты инженера по техническому обслуживанию, — поделился он. — Из переписки они узнали, что тот часто взаимодействует с локальным администратором, у которого были широкие права доступа. От имени инженера они попросили разрешение установить новое ПО для тестирования. Администратор не стал запрашивать официальное подтверждение, и на сервер попал майнер. Он оставался неактивным около двух месяцев. В итоге инцидент обнаружили, когда загрузка серверов выросла с обычных 20 до 80%.

Также через взлом почты злоумышленники могут шантажировать сотрудников. Получив доступ к личной или рабочей переписке, преступники ищут сведения, с помощью которых можно надавить на человека или его близких.

— Иногда они требуют деньги за молчание, иногда пытаются заставить человека передавать документы или помогать в дальнейшей атаке на компанию. С ИИ такие схемы стали убедительнее: поддельный голос начальника или сообщение, составленное в привычной для него манере, проще использовать для давления и выманивания конфиденциальной информации.

В последнее время распространена и схема Fake Boss: злоумышленники выдают себя за руководителей компаний и пишут сотрудникам в Telegram, рассказали «Известиям» ГК Softline. Компания уже зафиксировала 1740 случаев такого мошенничества.

— Схема Fake Boss строится на доверии к начальству и привычке быстро реагировать на рабочие сообщения, — добавил Константин Мельников. — ИИ дополнительно расширяет возможности злоумышленников: он позволяет создавать персонализированные обращения и подделывать голос.

По его словам, в классическом варианте сотруднику пишет аккаунт, владелец которого представляется руководителем. Сообщение поступает через социальные сети или мессенджеры и имитирует обычное рабочее обращение. Подмена личности позволяет выдавать мошенническое поручение за распоряжение руководства. Эксперты зафиксировали 31 случай использования ИИ для подмены голоса руководителей и сотрудников.

— В зоне риска компании, сотрудники которых регулярно проводят платежи, получают доступ к корпоративным системам и работают с конфиденциальными данными, — отметил Константин Мельников. — Чтобы снизить вероятность успешной атаки, запросы на переводы и предоставление доступа, поступившие через мессенджеры, важно дополнительно подтверждать по независимому защищенному каналу.

Развиваются и более сложные виды фишинга, добавил Лука Сафонов. Например, человек получает письмо со ссылкой на поддельную страницу входа. Если он вводит свои данные, злоумышленник перехватывает сеанс, а затем обходит некоторые виды двухфакторной аутентификации.

— В другом случае ссылка ведет на страницу, где сотрудника обманом убеждают предоставить доступ к почте стороннему приложению, — рассказал он. — Такие письма часто отправляют с уже взломанных почт коллег и контрагентов. Знакомый отправитель и реальная деловая переписка делают атаку убедительнее.

Руководитель центра мониторинга информационной безопасности компании «Бастион» Михаил Шеховцов отметил, что в последнее время усилились и компрометации через подрядные организации.

— Взламывают персональные устройства работников и вводят их в заблуждение, чтобы получить код двухфакторной аутентификации для доступа к корпоративной информационной среде, — сказал он.

Корпоративная почта остается одним из основных векторов проникновения в инфраструктуру компаний, отметил руководитель направления сервисов центра мониторинга и реагирования на кибератаки RED Security SOC Михаил Климов. В почтовых ящиках можно найти множество ценных сведений: информацию об инфраструктуре, системах, коллегах, контрагентах и даже IP-адреса и аутентификационные данные к разным сервисам.

— В то же время взломать рабочую почту становится всё сложнее, так как компании усиливают меры ИБ-защиты всего периметра, — пояснил эксперт. — Поэтому злоумышленники целятся и в личные аккаунты сотрудников. Их компрометация может стать отправной точкой для дальнейших атак на организацию. Получив доступ к переписке, злоумышленники собирают информацию о сотруднике и его окружении, а затем используют ее для целевого фишинга.

Почта — удобная точка входа в корпоративную инфраструктуру: через нее можно сбрасывать пароли, перехватывать коды подтверждения и рассылать вредоносные письма от имени персонала, считает руководитель отдела по информационной безопасности Axiom JDK Дмитрий Карасовский. К ней могут быть привязаны Google Drive, Microsoft 365, Telegram, VK, а также банковские и рабочие сервисы. Получив доступ к ящику, мошенник может попытаться добраться и до этих аккаунтов. Одна из причин распространенности подобных атак — стремление пользователей упростить себе работу с учетными записями.

— Запоминать десятки уникальных паролей сложно, поэтому люди повторно используют одни и те же комбинации или меняют в них всего несколько символов, — отметил он. — Взломщики автоматизируют проверку украденных учетных данных на других сервисах, и утечка на сторонней площадке может стать отправной точкой для взлома корпоративной почты. И через нее у атакующих появится возможность получить доступ к внутренним данным организации.

Как рассказал основатель сервиса DLBI Ашот Оганесян, такие действия хакеров являются следствием общего изменения ситуации на рынке информационной безопасности.

— Число скам-звонков постепенно снижается благодаря блокировкам, сами пользователи стали меньше реагировать на фишинг, а корпоративные VPN-сервисы, которые ранее были основной целью взломщиков, массово переходят с доступа по паролю на использование сертификатов, — отметил он. — Всё это заставляет интернет-криминал не только искать новые методы, но и возвращаться к забытым — например, отказываться от социнженерии в пользу рассылки вредоносного ПО. Тем более что его создание при помощи ИИ стало простым и дешевым.

Для защиты от подобных атак необходимо контролировать компрометацию паролей и немедленно сбрасывать те, что попали в руки взломщиков, напомнил Ашот Оганесян.

— Причем сброс паролей нужно проводить с помощью автоматизированных инструментов, а не доверять самим пользователям, так как треть из них избегают этой процедуры, не желая запоминать новые данные, — подчеркнул эксперт. — В самих почтовых системах нужно использовать блокировку исполняемых вложений, с чем справляются серверные антивирусные решения.

Константин Мельников добавил, что персоналу важно уметь распознавать подозрительные сообщения и знать, куда обращаться, если они уже открыли файл или передали конфиденциальные сведения. Эксперты также отметили необходимость обучать руководителей и владельцев бизнеса: их аккаунты часто открывают доступ к наиболее ценной информации.