Схема существует уже несколько лет, но по-прежнему регулярно используется против интеграторов, подрядчиков и поставщиков ИТ-услуг.

Атака начинается со сбора информации о человеке, чьим именем будут пользоваться злоумышленники. Обычно выбирают известных представителей отрасли: CISO крупного банка, руководителя службы информационной безопасности государственной компании, директора по ИБ промышленного холдинга или сотрудника профильного регулятора.

Фотографии, сведения о должности, местах работы и профессиональных контактах берутся из открытых источников: LinkedIn, Telegram, корпоративных сайтов, материалов конференций и публикаций в СМИ.

После этого создается фальшивый аккаунт. Внешне он максимально похож на профиль реального человека. Используется та же фотография, похожее имя и описание должности. Иногда отличается всего одна буква в имени пользователя или названии аккаунта.

Следующий этап – установление контактов. Злоумышленники добавляют в друзья интеграторов, подрядчиков, представителей вендоров и сотрудников компаний, которые потенциально могут взаимодействовать с человеком, от имени которого ведется переписка.

Как правило, первые сообщения не содержат ссылок или вложений. Общение начинается с нейтральных вопросов о проектах, рынке, отраслевых мероприятиях или возможном сотрудничестве. Это помогает сформировать доверие и убедиться, что собеседник готов продолжать диалог.

Через некоторое время в переписке появляется рабочий повод – просьба посмотреть «документ», «тендер», «архитектуру проекта», «результаты аудита» и др. Вместе с сообщением отправляется ссылка на файл, облачное хранилище или портал для совместной работы с документами.

После перехода пользователя могут попросить авторизоваться через Telegram, Microsoft 365, Google Workspace или другой корпоративный сервис. Если жертва вводит учетные данные или подтверждает вход, злоумышленники получают доступ к аккаунту.

Подобные схемы неоднократно фиксировались в LinkedIn. В ряде случаев злоумышленники месяцами поддерживали активность поддельных профилей руководителей служб информационной безопасности крупных компаний, используя их для установления контактов с поставщиками и подрядчиками.

В последние месяцы специалисты по безопасности регулярно сталкиваются с атаками под видом запросов на проведение работ.

Типичное сообщение выглядит следующим образом:
«Добрый день! Нам нужен аудит информационной безопасности для группы компаний. Направьте КП. Подробности во вложении».

К письму или сообщению прикрепляются файлы:
– NDA.docx;
– Scope.pdf;
– Architecture.zip.

В архиве пользователя ждет вредоносная нагрузка. В зависимости от целей атакующих это может быть стилер для кражи учетных данных, RAT для удаленного управления устройством или загрузчик дополнительного вредоносного ПО.

Особенность подобных атак заключается в том, что содержание обращения полностью соответствует повседневной деятельности интегратора.

Еще один сценарий связан с использованием авторитета государственных структур. По оценке экспертов StopPhish, в ближайшие 12 месяцев можно ожидать роста числа атак через поддельные аккаунты представителей государственных органов и отраслевых регуляторов в России, Казахстане, Узбекистане, Армении и других странах СНГ.

Интерес злоумышленников к таким легендам объясняется высоким уровнем доверия к официальным коммуникациям и возможностью оказывать дополнительное психологическое давление на получателей сообщений.

Для создания правдоподобной легенды злоумышленники могут выдавать себя за сотрудников Банка России, Минцифры России, ГосСОПКА, национальных центров кибербезопасности, а также зарубежных регуляторов и государственных организаций, отвечающих за цифровое развитие и информационную безопасность (NCA KSA, ADGM, CBUAE и др.). Выбор конкретной организации зависит от страны, отрасли и круга контактов потенциальной жертвы.

Как правило, в переписке фигурируют запросы, связанные с выполнением нормативных требований, проведением проверок, уточнением сведений об информационной безопасности или ознакомлением с новыми рекомендациями регулятора.

Например: «Требуется уточнить информацию по выполнению требований информационной безопасности»; «Просим ознакомиться с обновленными методическими рекомендациями»; «Необходимо заполнить форму для актуализации данных организации»; «Подтвердите получение уведомления и ознакомьтесь с приложенными материалами».

Расчет строится на том, что адресат опасается проигнорировать обращение, связанное с нормативными требованиями или проверками.

Для повышения доверия злоумышленники часто выдают себя за сотрудников известных производителей решений в области информационной безопасности и ИТ.

В переписке могут фигурировать представители Check Point, CrowdStrike, Microsoft, Palo Alto Networks, Cisco и других крупных вендоров, чьи продукты широко используются в корпоративном секторе.

В качестве предлога для контакта чаще всего используются вопросы безопасности и лицензирования. Получателю сообщают об обнаруженной уязвимости, необходимости срочного обновления, предоставлении NFR-лицензии или изменениях в партнерской программе. Далее следует ссылка на поддельный портал, страницу авторизации или вредоносный файл, замаскированный под техническую документацию. После перехода по ссылке жертва попадает на фишинговый ресурс либо загружает вредоносный файл.