Киберпреступники начали чаще маскировать фишинг под сообщения госорганов
Сотрудники российских компаний в 2026 году стали реже переходить по фишинговым ссылкам, но чаще передавали злоумышленникам учетные данные. Одними из самых эффективных приманок оказались поддельные письма от ФНС и «Госуслуг», следует из данных «МегаФона» и «Лаборатории Касперского».
За январь—август доля пользователей, которые после открытия фишингового письма переходили по ссылке, составила 22% против 40% годом ранее. При этом доля атак, которые исследователи считают успешными, выросла с 40% до 43%. Еще заметнее увеличилась доля случаев, когда сотрудники передавали злоумышленникам учетные данные: до 11,3% против менее 10% в каждом из двух предыдущих лет. Опасные вложения пользователи, наоборот, стали открывать реже — в 7% случаев против 9% в 2025 году.
Параллельно меняются и сами сценарии атак. В 2024 году среди самых эффективных приманок были сообщения о «введении дресс-кода» и фотографии с корпоратива, годом позже лучше всего работала рассылка о расчете премий. В 2026-м на первое место вышли сообщения, связанные с государственными сервисами.
Особенно эффективными оказались письма, имитирующие сообщения от ФНС и «Госуслуг». Они одновременно используют доверие к знакомому отправителю и ощущение срочности. По словам генерального директора ITD Group Александра Саксаганского, страх возможных последствий из-за невыполнения требования заставляет пользователя действовать быстрее.
Одновременно становятся убедительнее и сами поддельные сайты. Они все точнее копируют страницы банков и государственных сервисов, поэтому пользователь может не заметить подмену даже после перехода по ссылке. Генеральный директор Secure-T Харитон Никишкин отмечает, что логин и пароль чаще вводят менее подготовленные сотрудники, случайные жертвы и те, кому попалась особенно качественная копия сайта.
При этом рабочие темы по-прежнему остаются действенной приманкой. По данным «Лаборатории Касперского», по ссылке в письме с просьбой согласовать запрос перешли 48% получателей. Сообщение о нарушении правил использования интернет-ресурсов принесло 38% переходов, а уведомление о новом плане эвакуации — 34%.
Эффективность привычных корпоративных сценариев постепенно снижается: сотрудники все чаще сталкиваются с ними во время тренировок по кибербезопасности. Специалист отдела тестирования на проникновение Innostage Мария Сергеева отмечает, что пользователи уже привыкли настороженно относиться к письмам от кадровых и ИТ-служб. С уведомлениями от государственных сервисов ситуация другая. Проверить их внутри компании сложнее, а возможные последствия напрямую касаются самого получателя.
При адресных атаках злоумышленники могут заранее изучить человека по открытым источникам и подстроить фальшивое сообщение под его должность, текущие задачи или рабочий контекст. Аналитик угроз GSOC «Газинформсервиса» Владислав Шелепов считает, что для руководителей и других привлекательных для атакующих сотрудников нужны более сложные и персонализированные сценарии кибертренировок.
Подпишитесь на «Инк» в Telegram. Там мы пишем нескучным языком о самом важном для предпринимателей. Подписаться.
