В теневых Telegram-каналах злоумышленники активно рекламируют новую платформу для спуфинга. Разработчики утверждают, что сервис уже использовался для хищения средств у нескольких финансовых бирж. Эксперты BI.ZONE отмечают, что подобные атаки становятся все более изощренными, заставляя компании пересматривать подходы к защите почтовой инфраструктуры.
Как сообщает BI.ZONE, новый инструмент предназначен для массовых фишинговых рассылок с подменой отправителя . Жертва получает письмо, в котором в строке «Отправитель» отображается реальный email-адрес легитимной организации. Это достигается не за счет регистрации поддельных доменов (тайпсквоттинга), а через техническую подмену технических заголовков письма.
Разработчики платформы заявляют о возможности обхода стандартных средств защиты электронной почты — SPF и DKIM-проверок. Эти протоколы призваны подтверждать подлинность отправителя, сверяя домен с IP-адресом сервера и цифровую подпись письма. Если уязвимость в настройках почтового сервера получателя позволяет игнорировать эти проверки, злоумышленник может успешно выдать себя за любую организацию.
Киберпреступники часто действуют от лица легитимных компаний, чтобы вызвать у жертвы доверие. Чем крупнее и известнее бренд, тем охотнее злоумышленники используют его айдентику. Добросовестные организации не несут ответственности за неправомерное использование их бренда в преступных целях и причиненный в результате ущерб.
Схема атаки уже отработана на практике. По утверждению создателей сервиса, с его помощью были похищены деньги у нескольких финансовых бирж. Атакующие направляли в адрес бирж письма с апелляцией по якобы ошибочно проведенным финансовым операциям и просьбой «вернуть» денежные средства на счета мошенников. По словам преступников, апелляции были удовлетворены. Примечательно, что для большей убедительности злоумышленники отправляли письма от лица двух разных банков.
С вредоносных писем начинается 64% атак на российские компании, говорит руководитель BI.ZONE Threat Intelligence Олег Скулкин.
Он также отметил, что новый инструмент опасен тем, что позволяет создавать крайне правдоподобные фишинговые письма. По его словам, даже очень бдительные пользователи не смогут самостоятельно отличить их от легитимных, поскольку для подмены используются настоящие домены вполне реальных и известных компаний. Кроме того, злоумышленники, по его словам, используют автоматический парсинг изображений, чтобы сделать визуальное оформление своих писем максимально достоверным.
Подобные инциденты не являются единичными. Ранее массовые атаки с использованием подмены отправителя уже проводились от имени крупных организаций. Например, в январе 2021 года сотрудники крупных российских компаний получили фейковую рассылку от имени «Почты России» с подменного домена Mail.ru Group. Получателям предлагалось перейти по ссылке, чтобы уплатить небольшую пошлину за посылку, и ввести данные банковской карты. Тогда эксперты отметили, что фейковые письма смогли пройти через антиспам-фильтры получателей, что свидетельствовало о недостаточной проверке подлинности отправителя.
Мошенники все чаще используют не только спуфинг, но и легитимные сервисы: облачные платформы, веб-формы, файловые хранилища и доверенные домены. Письма, отправленные через такую инфраструктуру, могут успешно проходить базовые проверки и не вызывать подозрений у систем безопасности.
Подмена отправителя остается одной из наиболее распространенных техник. По данным BI.ZONE Mail Security, в первом квартале 2026 года более четверти всех нелегитимных писем содержали признаки спуфинга .
Стратегия защиты от таких атак должна включать анализ не только технических параметров (домен, репутация отправителя), но и содержимого письма. Системы безопасности должны учитывать признаки социальной инженерии: манипулятивные формулировки, побуждение к срочным действиям, логические несоответствия и семантические аномалии. Выявлять такие угрозы помогают ИИ-модели, которые анализируют смысл сообщения, контекст и поведенческие признаки.
Сама BI.ZONE уже использует ИИ для анализа эмоциональной окраски писем, чтобы выявлять манипулятивное воздействие. Помимо технических средств, компаниям критически важно обучать сотрудников распознавать вредоносную корреспонденцию: поддельные счета, запросы на оплату и другие сообщения с признаками социальной инженерии.
Фото: создано PRO Шеринг при помощи GigaChat
