17 ℃
Решения Kaspersky за последний год — с августа 2025 по июль 2026 — заблокировали более 390 тысяч фишинговых ссылок, размещённых на популярных облачных платформах. Чаще всего злоумышленники эксплуатировали Cloudflare Workers, Vercel, GitHub Pages и Netlify. Мошенники прибегают к такому методу, чтобы обойти многофакторную аутентификацию и избежать обнаружения защитными решениями.
Как происходят атаки. В качестве примера можно привести фишинговую кампанию, в которой злоумышленники использовали популярную облачную платформу Cloudflare Workers. Сначала мошенники рассылали электронные письма и под разными предлогами убеждали потенциальных жертв перейти по ссылке: например, пользователю якобы пишет коллега и просит посмотреть рабочие документы.
Ссылка вела на страницу с фальшивым тестом CAPTCHA, где жертву просили ввести адрес своей корпоративной почты. Эти данные попадали в руки злоумышленников, а пользователя автоматические перенаправляли на URL-адрес .workers.dev: подобные адреса бесплатно предоставляет Cloudflare Workers. Адрес электронной почты пользователя передавался в хэше URL, чтобы следующая страница могла получить его без обращения к серверу злоумышленников — чтобы скрыть подозрительную активность. На следующей странице, размещённой на бесплатном поддомене Cloudflare Workers, жертву просили пройти ещё один тест CAPTCHA, но уже настоящий, чтобы злоумышленники могли убедиться, что страницу посещает реальный человек. Он не интегрирован в HTML-код, а динамически встроен в страницу, что затрудняет обнаружение защитными решениями.
После пользователь видел фальшивое окно, которое выглядело как стандартная форма входа в Microsoft Office 365 — с похожей адресной строкой и элементами управления. Для его создания злоумышленники использовали технику BiTB (Browser-in-the-Browser, атака на уровне подмены интерфейса). Её суть в следующем: внутри легитимной веб-страницы открывается блок, стилизованный под настоящее всплывающее окно. Если ввести в нём имя пользователя, пароль и код для многофакторной аутентификации, встроенный скрипт перехватывал эту информацию, причём не только учётные данные, но и сессионные токены. Чтобы усыпить бдительность жертвы, после завершения пользователя перенаправляли на страницу с системной ошибкой.
«Злоумышленники эксплуатируют возможности легитимных сервисов по нескольким причинам. Первая — у таких ресурсов хорошая репутация, и поэтому опубликованные на них фишинговые ссылки реже вызывают подозрения. Кроме того, у многих подобных платформ есть бесплатные тарифы, а регистрация аккаунтов занимает несколько минут. Также мошенники эксплуатируют встроенные механизмы защиты, чтобы избежать обнаружения. В случае с Cloudflare Workers была реализована многоэтапная атака с применением техник Adversary-in-the-Middle, или „злоумышленник посередине”, а также Browser-in-the-Browser, то есть атака на уровне подмены интерфейса. Это показывает, насколько изощрёнными становятся фишинговые схемы», — комментирует Ольга Алтухова, эксперт по кибербезопасности Kaspersky.
«Рост числа фишинговых атак, использующих легитимные облачные платформы, — тревожный сигнал для бизнеса и частных пользователей. Злоумышленники всё тоньше маскируют угрозы под привычные сервисы, эксплуатируя доверие к известным платформам и возможности их бесплатных тарифов. Статистика показывает: сегодня недостаточно полагаться только на базовые меры защиты — нужны проактивные решения, способные выявлять даже изощрённые схемы. Обладая широкой международной экспертизой и колоссальным опытом в отражении угроз, мы продолжаем отслеживать эти тренды и адаптировать защитные механизмы под новые вызовы», — отмечает Дмитрий Кудревич, представитель Kaspersky в Беларуси.
Прочитать полный текст исследование можно на сайте Securelist.
Kaspersky рекомендует пользователям:
- с осторожностью проходите CAPTCHA — как правило, для проверки не требуется вводить личные данные (например, адрес электронной почты), это один из признаков мошенничества;
- обращайте внимание на неожиданные входящие запросы, даже если они поступают с доверенных доменов или страница отображает действительный SSL-сертификат;
- внимательно проверяйте URL в адресной строке основного окна браузера — при атаках типа BiTB злоумышленники могут создать фальшивое всплывающее окно и вписать в него любой адрес, в том числе легитимный. Однако реальная адресная строка по-прежнему будет отображать реальный домен злоумышленников;
- регулярно обновляйте браузер и другое ПО;
- используйте надёжное защитное решение, которое в том числе блокирует переход на фишинговые ресурсы.
