Зафиксирована новая мошенническая схема, направленная на российские организации. Злоумышленники используют в своих рассылках тему сбоев в работе Яндекса и общих проблем с интернет-соединением, чтобы убедить сотрудников компаний перейти по инструкции и оплатить якобы обязательную доставку официальных документов. Фишинговые письма маскируются под сообщения от государственных ведомств и содержат QR-коды, с помощью которых получателя пытаются заставить перевести деньги, а затем передать персональные и банковские данные.
Схема рассчитана прежде всего на сотрудников организаций, которые отвечают за деловую переписку, взаимодействие с контролирующими органами, получение корреспонденции и оплату счетов. Мошенники делают сообщения максимально похожими на настоящие официальные уведомления: используют деловой стиль, упоминают проверки, распоряжения, жалобы и возможное административное наказание. За счёт этого письмо может показаться важным и срочным, а получатель — выполнить указанные действия, не проверив достоверность информации.
Как выглядит мошенническая рассылка
Специалисты департамента киберразведки Threat Intelligence компании F6 выявили очередную волну фишинговых сообщений с QR-кодами. В рассылке используется предлог, связанный с предполагаемыми внеплановыми проверками российских компаний. Письма распространяются от имени трёх федеральных служб, однако конкретные названия ведомств могут меняться. Это позволяет злоумышленникам использовать одну и ту же схему против разных организаций и регулярно обновлять содержание сообщений.
В темах писем встречаются формулировки, напоминающие внутреннюю переписку государственных учреждений. Например, мошенники могут указывать варианты вроде «Отдел контроля [название ведомства]» или использовать обозначения, стилизованные под исходящие документы, — «ИСХ_[название ведомства]». Подобные элементы создают впечатление, что письмо было сформировано в официальной системе документооборота и направлено конкретному адресату в рамках служебного взаимодействия.
Содержание сообщений также построено таким образом, чтобы вызвать тревогу и заставить получателя действовать как можно быстрее. В письме может сообщаться, что в отношении организации поступила жалоба, было принято распоряжение или выявлены нарушения. Далее указывается, что в ближайшее время состоится внеплановая выездная проверка, будут проведены контрольные мероприятия либо компании грозит привлечение к административной ответственности.
В отдельных случаях мошенники пишут, что решение уже принято, а дополнительные сведения направлены отдельным отправлением. Для этого используются выражения «физические документы», «специальная доставка», «заказная корреспонденция» или «служебное отправление». Получателю предлагают ознакомиться с инструкцией, которая находится во вложенном PDF-файле либо размещена непосредственно в тексте электронного письма.
Как используется QR-код
Главный элемент этой схемы — QR-код. В инструкции получателю предлагают отсканировать его с помощью смартфона, после чего перейти на страницу оплаты. Сумма обычно относительно небольшая и составляет примерно от 400 до 600 рублей. Небольшой размер платежа рассчитан на то, чтобы не вызвать у сотрудника серьёзных сомнений: человеку может показаться, что речь идёт о стандартной оплате курьерской услуги или небольшого почтового сбора.
После перехода по QR-коду пользователь может попасть на поддельную страницу оплаты. Внешне она способна напоминать интерфейс известного банка, платёжного сервиса или службы доставки. На такой странице человека могут попросить указать номер банковской карты, срок её действия, код с обратной стороны карты, имя держателя и одноразовый пароль из СМС. Иногда дополнительно запрашиваются фамилия, имя, отчество, номер телефона и адрес, на который якобы должна быть доставлена корреспонденция.
Таким образом, цель злоумышленников не ограничивается получением нескольких сотен рублей. Они стремятся завладеть реквизитами банковской карты и персональными сведениями жертвы. Полученные данные могут быть использованы для дальнейших списаний, оформления новых мошеннических операций, атак от имени банков, государственных организаций или служб доставки. Адрес и ФИО также могут применяться для составления более убедительных персонализированных сообщений в будущих рассылках.
Зачем мошенники упоминают сбои в работе Яндекса
Отдельное место в схеме занимает предупреждение о якобы существующих проблемах с интернетом и сервисами Яндекса. В письме может быть сказано, что из-за нестабильной работы сети страницы открываются не у всех пользователей. Если сайт не загрузился, человеку предлагают повторить попытку через Google или другой браузер.
Такое пояснение выполняет сразу несколько задач. Во-первых, оно заранее объясняет возможные технические проблемы при открытии мошеннической страницы. Если сайт загружается медленно, отображается некорректно или не открывается в одном браузере, пользователь может решить, что причина действительно связана с общими сбоями, а не с подозрительной рассылкой. Во-вторых, рекомендация воспользоваться другим поисковиком или браузером помогает злоумышленникам обойти часть автоматических предупреждений и повышает вероятность того, что жертва всё же попадёт на фишинговый ресурс.
Использование актуальной новости или широко обсуждаемого события — распространённый приём социальной инженерии. Мошенники выбирают тему, о которой люди уже слышали, и включают её в правдоподобный сценарий. В результате письмо выглядит более убедительно: технические неполадки становятся объяснением для нестандартного поведения сайта, необходимости повторной попытки и срочного выполнения инструкции.
На что следует обратить внимание
Даже если письмо выглядит официально, его необходимо тщательно проверить. Государственные ведомства, как правило, не требуют оплачивать получение уведомлений через случайный QR-код, отправленный по электронной почте. Наличие логотипа, подписи, фамилии инспектора, регистрационного номера или официально звучащих формулировок не подтверждает подлинность сообщения. Эти элементы легко подделать или скопировать из открытых источников.
Особенно подозрительными признаками являются:
— требование срочно оплатить доставку документов;
— использование QR-кода без понятного описания получателя платежа;
— просьба указать данные банковской карты на неизвестном сайте;
— запрос одноразового кода из СМС;
— предупреждение о возможном наказании, если получатель немедленно не выполнит инструкцию;
— ссылка на проблемы с Яндексом или интернетом как объяснение неполадок страницы;
— отправитель с подозрительным адресом, который лишь напоминает официальный домен;
— несоответствия в названии ведомства, подписи, реквизитах и оформлении письма;
— наличие грамматических ошибок, странных оборотов и нехарактерного для государственного учреждения стиля.
Если организация действительно получила уведомление о проверке, его следует подтвердить через независимые каналы. Нельзя использовать телефонный номер или ссылку, указанные в подозрительном письме. Лучше самостоятельно найти официальный сайт соответствующего ведомства, позвонить по опубликованному там номеру и уточнить, направлялся ли документ. Также можно связаться с руководителем или ответственным сотрудником, который занимается взаимодействием с государственными органами.
Что делать при получении такого письма
Сотрудникам не следует сканировать QR-код и переходить по неизвестной ссылке, даже если в письме говорится о возможной проверке или штрафе. Подозрительное сообщение нужно сохранить для последующего анализа, но не отвечать на него и не пересылать коллегам без предупреждения. Желательно сообщить о попытке атаки в службу информационной безопасности или системному администратору компании.
Если QR-код уже был отсканирован, но данные не вводились, необходимо закрыть страницу и провести проверку устройства. Если же пользователь указал реквизиты карты или сообщил код из СМС, нужно немедленно связаться с банком по официальному номеру, заблокировать карту и уточнить, не были ли проведены операции. При необходимости следует подать заявление в полицию и уведомить службу безопасности организации.
Если в письме были раскрыты ФИО, адрес, телефон или другие персональные сведения, нужно учитывать вероятность новых атак. В дальнейшем мошенники могут звонить от имени банка, курьерской службы, государственного ведомства или технической поддержки. Любые подобные обращения следует проверять самостоятельно, не сообщая собеседнику коды подтверждения и данные платёжных средств.
Эта кампания показывает, что злоумышленники продолжают сочетать фишинг, поддельные государственные уведомления и оплату через QR-коды. Они используют страх перед проверками и штрафами, а также актуальные новости о сбоях в интернете, чтобы снизить бдительность адресатов. Главный способ защиты — не выполнять финансовые требования из неожиданных писем, проверять информацию через официальные источники и никогда не передавать неизвестным лицам данные банковской карты и одноразовые коды.