Специалисты «Лаборатории Касперского» выявили новую многоэтапную фишинговую кампанию, нацеленную на предприятия производственного сектора. Атаки затронули организации сразу в нескольких странах, включая Россию, Чехию, Малайзию и Египет. По данным экспертов, кампания началась в апреле 2026 года и продолжается до сих пор.
В отличие от классических фишинговых рассылок с требованиями срочно оплатить счёт, злоумышленники используют более правдоподобный сценарий. Они связываются с сотрудниками предприятий на английском языке, представляясь потенциальными клиентами. В письмах интересуются выпускаемой продукцией, уточняют стоимость, наличие товаров или другие коммерческие детали.
Если сотрудник вступает в переписку, мошенники переходят ко второму этапу. Они отправляют ссылку на документ, который якобы содержит технические требования к продукции. В некоторых случаях ссылка приходит сразу, в других — только после короткого диалога с уточняющими вопросами, что делает общение максимально похожим на обычную деловую переписку.
После перехода по ссылке пользователь оказывается на поддельной странице, стилизованной под популярный облачный сервис для работы с PDF-файлами. Далее жертве предлагают скачать документ, после чего появляется форма авторизации. Для получения доступа к файлу необходимо ввести корпоративный адрес электронной почты и пароль — якобы в целях защиты документа от посторонних. На самом деле эти данные сразу попадают к злоумышленникам.
В «Лаборатории Касперского» отмечают, что современные целевые фишинговые атаки становятся всё более продуманными. Преступники всё чаще используют многоступенчатые сценарии, заранее изучают потенциальные цели и адаптируют легенды под специфику конкретной отрасли. В случае с производственными предприятиями они эксплуатируют привычные рабочие процессы: коммерческие запросы, технические спецификации, документы с требованиями и переписку с потенциальными заказчиками.
Эксперты подчёркивают, что главная опасность подобных атак заключается в их правдоподобии. Письмо выглядит как стандартный запрос от клиента, ссылка напоминает обычный документ, а форма входа практически не отличается от легитимного сервиса.
Именно поэтому компаниям важно не только использовать современные средства защиты информации, но и регулярно проводить обучение сотрудников. Простое правило остаётся актуальным: если «заказчик» предлагает ввести корпоративный логин и пароль на незнакомой странице, речь, скорее всего, идёт не о новом контракте, а о попытке получить доступ к корпоративной инфраструктуре.