Обострение фишинга. На RIW-2021 обсудили интернет-угрозы

Как заметил Андрей Воробьев, Координационный центр доменов .RU/.РФ, тема фишинга и интернет-мошенничества сейчас очень актуальна. К примеру, Минцифры считает, что каждый 20-й звонок с неизвестного номера является мошенническим, но в действительности этот показать занижен и таких звонков больше.

Пандемия, по словам эксперта, повлияла на ландшафт интернет-технологий и, соответственно, на активность мошенников. В частности, появились новые подходы. Например, работающая новая разновидность мошенничества – свидания, назначаемые через интернет и предполагающие просьбу что-то купить для организации встречи.

Об этой же схеме говорил и Александр Калинин, представитель Group-IB. Более тысячи доменов продвигали схему, при которой мужчина пытается договориться с дамой о свидании, а она ему кидает в ответ ссылку на покупку места на концерте, в театре, бронирование столика в ресторане. Ссылка, разумеется, ведет на фишинговый сайт – и после оплаты общение заканчивается. Схема недорогая, ущерб составляет порядка 3-5 тысяч. Но она работает, заявлений не поступает и домен несколько месяцев живет. При этом в рамках такой схемы используется мало доменных имен в зоне .ru, поэтому блокировка требовала взаимодействия с зарубежными регистраторами, что осложняло борьбу с данной схемой мошенничества.

Еще одна схема – многоэтапная, она до сих пор очень активна в Нидерландах. Человеку на телефон приходит в SMS ссылка на сайт, где написано, что его банковская карта будет заблокирована. Пользователю предлагается перейти на этот сайт, оставить свои данные, в конце ему сообщают о том, что приняли запрос на отмену блокировки карты и теперь саму карту надо разрезать – так, чтобы чип не повредить. После этого приезжает курьер, забирает карту и ее используют злоумышленники. Сайты были зарегистрированы у отечественного регистратора.

Также Александр Калинин рассказал, что компанией обработано около 27 тыс. обращений, заблокировано более 2,9 тыс. доменов в зоне .ru – и это меньше, чем в прошлом году: количество уникальных доменов уменьшилось на 27 %. Но в целом фишинга стало больше – в том числе за счет того, что 43 % доменов было использовано в схеме «мамонт». Эта схема предполагает, что на основном сайте упоминаний брендов нет, но на его субдоменах могут быть 5-10 фишинговых ресурсов. Также эксперт отметил, что больше половины фишинговых ресурсов расположены в США – на тех серверах, которые не в России. Наш страна на третьем месте.

Евгений Панков, Координационный центр доменов .RU/.РФ, заметил, что на долю фишинга приходится более 90 % доменов с вредоносной активностью. Наиболее подвержены атакам известные бренды – банки, интернет-ретейлеры, портал Госуслуг и т.д. За год было зафиксировано более 10 тыс. обращений к регистраторам, 9,7 тыс. делегирований доменов были прекращены или ресурсы заблокированы хостинг-провайдерами. При этом от момента обращения компетентных организаций до прекращения делегирования проходило порядка 18-20 часов. Такой срок объясняется тем, что компетентные организации работают в режиме 24х7, а сотрудники хостинг-провайдеров и регистраторов – лишь днем. При этом, по данным эксперта, выросло качество обращений к регистраторам, что упрощает взаимодействие.

Евгений Кускевич, РосНИИРОС, рассказал, что в доменной зоне .su пока число мошеннических сайтов не столь значительно. Но, как и везде, самый распространенный вид мошенничества – фишинг. По прогнозам эксперта, ситуация будет становиться только хуже, и, чтобы что-то изменить, нужна консолидация всех ресурсов.

Александр Лискин (Лаборатория Касперского) отметил, что в России попадание пользователей на мошеннические домены случается немногим реже, чем в среднем по миру: 6% против 8 %. Самая распространённая категория мошеннических сайтов – интернет-магазины, на долю которых приходится более трети от общего числа фишинговых сайтов.

Любопытна статистика во времени обращений пользователей к мошенническим доменам. В период локдауна был рост, потому что мошенники активизировались, а пользователи сидели дома и искали информацию. Мошенники быстро реагируют на то, что людям нужно – сейчас много сайтов связаны с QR-кодами. В теневом интернете количество объявлений со словом «вакцинация» резко выросло в июне и вошло в топ популярности, где до сих пор и находится. Среди других любопытных кейсов – продажа кукисов.