Фишинг перестал быть спамом: почему «не кликать» больше не спасает
Фишинг мутирует: злоумышленники перестали полагаться на ошибки в ссылках и теперь эксплуатируют доверие к легитимным облачным сервисам с помощью ИИ-генерируемых страниц, неотличимых от официальных порталов.
Фишинг перестал быть спамом: почему «не кликать» больше не спасает
В прошлом году каждый пятый сотрудник игнорировал подозрительную ссылку, считая себя защищенным. Сегодня эта же группа людей стала реже переходить по «сырым» фишинговым письмам, но охотнее вводит пароли на страницах, которые выглядят как официальные порталы ФНС или HR-системы компании. Парадокс заключается в том, что чем грамотнее пользователь, тем успешнее атака, если она построена не на ошибке клика, а на доверии к интерфейсу и авторитету источника.
Главный конфликт кибербезопасности 2026 года — разрыв между устаревшими методами защиты (проверка домена, блокировка ссылок) и новой реальностью. Фишинг размещается на серверах Google и Cloudflare, генерируется искусственным интеллектом за секунды и эксплуатирует не лень, а доверие к легитимным сервисам. Microsoft уже признал поражение традиционных методов, отключая SMS-аутентификацию, но рынок еще не готов к массовому переходу на криптографические ключи.
Почему проверка домена перестала работать
Злоумышленники перестали покупать фейковые домены и начали использовать репутацию крупных вендоров. «Лаборатория Касперского» заблокировала более 390 тысяч ссылок, размещенных на легитимных облачных платформах вроде Cloudflare Workers и GitHub Pages. Для бизнеса это означает, что стандартная проверка отправителя или адреса сайта больше не гарантирует безопасность: письмо может приходить с доверенного сервера, а форма входа — выглядеть безупречно.
Эта тактика работает за счет обхода технических фильтров SPF (Sender Policy Framework) и DKIM (DomainKeys Identified Mail). Например, мошенники используют платформу Google AppSheet для рассылки писем под видом рекрутеров крупных компаний. Сообщения проходят через доверенные адреса, что делает их невидимыми для стандартных спам-фильтров. В результате защита по репутации отправителя потеряла эффективность как единственный барьер.
Операторы связи пытаются компенсировать этот пробел сетевой блокировкой. «Ростелеком» отсек более 5 млн попыток перехода на фишинговые сайты с декабря 2025 года, анализируя трафик на уровне сети. Однако такой метод работает только против «сырых» фишинговых ресурсов. Атаки, идущие через легитимные облака и мессенджеры, проходят мимо сетевых фильтров, так как блокировка доверенных сервисов привела бы к параличу нормального трафика.
Как ИИ меняет математику обмана
Алгоритмы генерируют персонализированные сценарии быстрее, чем сотрудники успевают пройти обучение. Исследования Microsoft Threat Intelligence зафиксировали, что фишинговые кампании с использованием ИИ достигают уровня кликабельности 54%. Это в 4,5 раза выше показателей традиционных рассылок. Для бизнеса это оборачивается тем, что массовые тренинги «как распознать ошибку в названии» становятся бесполезными: поддельные сайты операторов связи или аквапарков генерируются без грамматических ошибок и с высоким качеством графики.
ИИ позволяет атакующим отказаться от копирования известных брендов. Эксперты Kaspersky GReAT зафиксировали создание примерно 300 фишинговых ресурсов, имитирующих несуществующие развлекательные объекты в различных городах России. Схема использует обещание бесплатного входа и искусственную срочность, чтобы обойти стандартные методы проверки подлинности сайтов. Поскольку объект вымышлен, пользователь не может сверить его с официальным сайтом реальной компании.
Массовые рассылки мертвы. Живы точечные атаки, эксплуатирующие контекст: название компании, должность сотрудника и текущие события. В 85% случаев утечки данных причиной становится человеческий фактор, когда злоумышленники используют открытую информацию о топ-менеджерах для создания целевых сценариев. Обучение сотрудников снижает риск (среди обученных уровень компрометации падает до 0,3%), но требует ресурсов, которых нет у малого бизнеса.
От ссылки к паролю: сдвиг в поведении жертвы
Пользователи научились не кликать, но не научились отличать поддельную форму входа от настоящей. Доля переходов по вредоносным ссылкам упала до 22% (с 40% в 2025 году), однако доля ввода паролей на фишинговых страницах выросла до 11,3%. Это доказывает, что жертвы стали осторожнее с «сырыми» атаками, но легче ведутся на сложные сценарии имитации госорганов или HR-отделов.
Социальная инженерия сместилась с этапа «перехода» на этап «аутентификации». Злоумышленники внедряют технику BiTB (Browser-in-the-Browser), создавая фальшивые окна входа прямо внутри реальных страниц. Адресная строка браузера продолжает отображать домен легитимного провайдера, что обманывает и пользователя, и защитные системы. В результате хакеры перехватывают не только пароли, но и сессионные токены, полностью обходя многофакторную аутентификацию.
Окно для реакции безопасности сократилось до критического минимума. Согласно данным «Информзащиты», от момента получения доступа до попытки кражи данных проходит в среднем 72 минуты. Это в четыре раза меньше, чем раньше. Даже если сотрудник заподозрил неладное, хакер уже внутри системы и использует украденные учетные данные как легитимный инструмент для доступа к критическим ресурсам.
Microsoft фиксирует 54% кликабельности у ИИ-фишинга и отключает SMS (ID 28). Одновременно доля переходов по ссылкам в корпоративном секторе упала до 22%, но ввод паролей вырос до 11,3% (ID 7). Вывод: проблема не в том, что люди «глупы» и кликают на все подряд. Проблема в том, что атаки стали слишком похожи на реальность, чтобы их можно было распознать визуально. Защита должна перестать проверять откуда пришло письмо и начать проверять как происходит вход.
Что делать бизнесу перед отключением SMS-кодов
Компании должны немедленно начать аудит каналов аутентификации. Отказ от SMS-кодов и переход на FIDO2/passkeys (криптографические ключи доступа) — не опция, а необходимость. Эти методы устойчивы к фишингу по своей конструкции, так как привязаны к конкретному устройству и не могут быть перехвачены через поддельную форму входа. Microsoft отключает бесплатные SMS-коды для входа в облако к 1 февраля 2027 года, что вынудит бизнес адаптироваться до этого срока.
Обучение сотрудников должно сместиться с «как распознать ссылку» на «как распознать поддельную форму входа». Ключевая мера — проверка через второй канал при любом запросе на срочное действие или ввод данных. Если письмо от HR требует срочно обновить пароль, сотрудник должен перезвонить в отдел кадров по известному номеру, а не переходить по ссылке из письма.
Вероятно, что к середине 2027 года доля атак, использующих технику BiTB на легитимных облачных хостах, станет доминирующей. Это проверяется по метрике: рост числа инцидентов с успешной кражей сессионных токенов без перехвата пароля в отчетках вендоров безопасности за Q1-Q2 2027 года. Если ИИ сделает формы входа неотличимыми от реальных, а хостинг будет доверенным, то единственный барьер останется сам пользователь или криптографическая защита.
🤖 Сводка сформирована на основе фактов из Календаря и обновляется при поступлении новых данных.
📅 Последнее обновление сводки: 12 ноября 2026.
