Компания F6, разработчик технологий для борьбы с киберугрозами, выявила масштабную мошенническую кампанию, участники которой уже более 9 лет создают сайты-двойники крупных российских предприятий из химической, металлургической, нефтехимической, пищевой и финансовой отраслей на английском, французском, арабском и русском языках.
Исследователи F6 обнаружили 98 доменов фейковых «сайтов-клонов», которые использовались в атаках на международных клиентов для кражи средств при предоплате за несуществующие товары.
Аналитики департамента Threat Intelligence и департамента расследований высокотехнологичных преступлений компании F6 представили исследование мошеннической инфраструктуры сети «сайтов-клонов», которые более 9 лет маскируются под официальные ресурсы крупных российских промышленных предприятий, производителей удобрений, нефтехимических компаний, металлургических предприятий, логистических операторов, банков и других организаций. Содержимое большинства из фейковых ресурсов было скопировано с официальных сайтов компаний, некоторые из них имели похожие доменные имена.
По данным аналитиков департамента Threat Intelligence F6, мошенническая кампания была нацелена в первую очередь на организации из СНГ, Ближнего Востока и Средней Азии: Казахстана, Узбекистана, Азербайджана, Турции, Пакистана, ОАЭ, Таджикистана, Туркменистана, Афганистана и других стран мира.
«Будьте осторожны, потеряете деньги!»
В отличие от массового фишинга, злоумышленники точечно ориентировались на B2B-сегмент и международную торговлю, используя «холодные звонки», фишинговые почтовые рассылки и поддельные корпоративные сайты для общения с потенциальными клиентами и отправки документов с банковскими реквизитами «дочерних» компаний.
Суть схемы в том, что преступники связывались с потенциальными клиентами и предлагали перейти на фейковые ресурсы — точные копии официальных сайтов компаний, где размещаются измененные контактные данные. В ряде случаев злоумышленники нанимали для «холодных» обзвонов ничего не подозревающих менеджеров, которые на финальном этапе заключения контракта передавали контакт «старшему менеджеру».
Затем потенциальный покупатель вступал в переписку со злоумышленниками, те направляли ему коммерческое предложение, контракты и счета на оплату с подставными банковскими реквизитами.
В результате денежные средства перечислялись не настоящему поставщику, а мошенникам. Например, одна из жертв — компания из Азербайджана — заявляла, что в апреле 2025 года потеряла в результате фейковой сделки около 150 тыс долларов.
«В ходе исследования специалисты F6 выявили около ста мошеннических доменов, имитирующих предприятия химической, металлургической, нефтехимической, пищевой и финансовой отраслей, — отмечает технический руководитель департамента Threat Intelligence F6 Елена Шамшина. — Анализ показал, что значительная часть инфраструктуры связана между собой общими DNS-записями, IP-адресами, и другими регистрационными данными, что указывает на единую кампанию».
Исследование также позволило установить связь части инфраструктуры с более ранними мошенническими кампаниями. Например, самый ранний выявленный домен был зарегистрирован в 2017 году и, вероятно, использовался атакующими с того времени.
Миграция доменов
Особое внимание аналитики F6 обратили на международный характер деятельности злоумышленников. Если в предыдущих подобных схемах использовались преимущественно локальные домены — в зоне .ru, то в новой кампании регистрируются сайты в международных доменных зонах (.com, .org, .net и других), а отдельные ресурсы имеют русскую, английскую, арабскую и французскую языковые версии.
«В ходе расследования специалисты F6 также обнаружили документы, включая коммерческие предложения (некоторые — на официальных бланках), контракты и счета, в которых использовались поддельные корпоративные адреса электронной почты и банковские реквизиты, — рассказала старший специалист департамента расследований высокотехнологичных преступлений Вера Коленикова. — Анализ этих файлов показал, что злоумышленники готовят полноценный комплект документов для сопровождения сделки и повышения доверия потенциальной жертвы. В результате жертва теряет деньги, а компании, чей бренд используют мошенники, несет репутационный ущерб. Для компаний, работающих на экспорт и импорт, независимая проверка контактных данных и платежной информации перед переводом средств становится одним из ключевых элементов безопасности».
Отметим, что после того, как некоторые из жертв опубликовали у себя на официальных сайтах предупреждение о мошеннической активности, злоумышленники скопировали эти новости на свои поддельные сайты и меняли в предупреждении упоминание официального домена на мошеннический.
Компания F6 предупредила клиентов Threat Intelligence о потенциальной угрозе.
Рекомендации специалистов F6
— Тщательно проверяйте контрагентов по независимым источникам, включая официальные корпоративные сайты, государственные реестры и отраслевые базы данных.
— Свяжитесь с головным офисом компании по официальным контактам, чтобы подтвердить информацию о дочерних компаниях, контактных лицах, банковских реквизитах и актуальности коммерческого предложения.
— Проверяйте домен и дату регистрации сайта поставщика. Недавно зарегистрированный домен или адрес, не совпадающий с официальным сайтом компании, могут свидетельствовать о мошенничестве.
— Используйте двойную проверку платежных реквизитов перед переводом средств, особенно если они отличаются от ранее использовавшихся или были изменены в ходе переписки.
— Не поддавайтесь давлению, если вас торопят с принятием решения или требуют немедленно перевести деньги — стоит приостановить сделку и провести дополнительные проверки.
