Мошенники придумали, как заработать на сбоях Яндекса

Специалисты F6 зафиксировали новую волну фишинговых атак на российские компании, в которых злоумышленники используют тему сбоев Яндекса и проблем с интернетом. Мошенническая кампания строится на рассылке поддельных уведомлений от государственных ведомств с QR-кодами для оплаты фиктивной доставки документов. 

В качестве отправителей фигурируют три федеральные службы. Переписка оформляется как официальные извещения, требования и предписания, а в заголовках используются обозначения «Отдел Контроля [название ведомства]» и «ИСХ_название ведомства]». Под письмами стоит подпись старшего инспектора контролирующего отдела. Имена и фамилии предполагаемых должностных лиц подбираются в зависимости от того, какое ведомство имитируют злоумышленники.

Содержание уведомлений варьируется. В одних случаях организация узнает о предстоящей внеплановой выездной проверке, назначенной на основании жалобы или распоряжения. В других речь идет о контрольных мероприятиях либо административной ответственности. При этом сведения, необходимые для ознакомления с претензиями, якобы уже отправлены адресату в бумажном виде. Вместо самих документов компания получает инструкцию по их получению — в приложенном PDF-файле или непосредственно в письме.

Для оформления доставки получателю предлагают отсканировать QR-код, внести платеж и сообщить ФИО и адрес. Отдельный пункт инструкции посвящен возможным трудностям с доступом к странице: мошенники утверждают, что из-за проблем с интернетом в России Яндекс работает с перебоями, поэтому при неудачной попытке открыть сайт следует использовать Google.

Размер платежа обычно составляет 400-600 рублей, однако финансовый интерес злоумышленников не ограничивается этой суммой. Вместе с деньгами они стремятся получить реквизиты банковской карты, персональные данные сотрудника и адрес получателя. В дальнейшем такая информация может использоваться при подготовке других кибератак.

В числе адресатов мошеннической корреспонденции оказались предприятия промышленности и строительства, логистические организации, представители розничной и интернет-торговли, а также операторы в сфере обращения с коммунальными отходами. Таким образом, рассылка затронула компании как минимум из пяти отраслей.

Для размещения поддельных страниц оплаты организатор кампании использует домены в зонах .ru, .beer, .biz, .cam, .casa, .click, .info, .lat, .me, .rest, .shop, .space и .wiki. Сайты, доступ к которым открывается после сканирования QR-кодов, оформлены под официальные ресурсы служб доставки.