В последнее время наблюдается рост сложных фишинговых кампаний, в которых злоумышленники прибегают к манипуляции ИИ-чатботами для распространения дезинформации и кражи данных. Об этом сообщается в основной статье, однако её текст ограничен технической заглушкой. Дополнительные источники раскрывают масштаб проблемы и разнообразие тактик.
Фишинг против USPS: трафик сравним с легитимным сайтом
Согласно исследованию Akamai, фишинговые кампании, нацеленные на Почтовую службу США (USPS), генерируют объём веб-трафика, сопоставимый с трафиком самого официального сайта USPS. Злоумышленники создают множество вредоносных доменов, имитирующих сервисы доставки, чтобы обманом заставить пользователей ввести персональные данные или оплатить несуществующие услуги.
Атака на пользователей crates.io
В сентябре 2025 года была зафиксирована активная фишинговая кампания, направленная на пользователей репозитория пакетов Rust — crates.io. Злоумышленники рассылали сообщения с требованием обновить учётные данные, что могло привести к компрометации аккаунтов разработчиков и внедрению вредоносного кода в экосистему.
Clickjacking в WhatsApp для фишинга
Исследователь под псевдонимом 00xbyte обнаружил уязвимость кликджекинга в WhatsApp, которая позволяет злоумышленникам обманом заставить пользователя совершить нежелательные действия, например, перейти по фишинговой ссылке или предоставить доступ к конфиденциальной информации. Уязвимость подчёркивает, что даже популярные мессенджеры могут становиться инструментом атак.
Использование сокращателя ссылок g.co
В ещё одном инциденте фишеры задействовали официальный сокращатель ссылок Google (g.co) для маскировки вредоносных URL. Это позволило повысить доверие жертв, так как ссылка вела на легитимный домен Google, но перенаправляла на фишинговый сайт.
Исследование эффективности ИИ-фишинга
На платформе LessWrong опубликовано исследование с участием людей, посвящённое кампаниям целевого фишинга с использованием ИИ. Результаты показывают, что автоматически сгенерированные сообщения могут быть не менее убедительными, чем написанные человеком, что увеличивает риск успешных атак.
Что такое фишинговая кампания
По определению Barracuda Networks, фишинговая кампания — это мошенническая рассылка, цель которой — выманить у жертвы конфиденциальные данные, такие как учётные записи или данные банковских карт, путём маскировки под надёжную организацию или известное лицо.
Living Security добавляет, что фишинговые кампании бывают разных типов: целевой фишинг (spear phishing), охота на руководителей (whaling) и клонированный фишинг (clone phishing), каждый из которых ориентирован на определённую аудиторию.
PurpleSec описывает типовую фишинговую кампанию как последовательность из восьми шагов, включая рассылку анкет, создание шаблонов писем, сценарии вишинга (голосовой фишинг) и смишинга (SMS-фишинг), получение одобрения заинтересованных сторон, проведение тестирования, отчётность и обучение сотрудников.
Вывод
Манипуляции с ИИ-чатботами — лишь часть широкого спектра фишинговых угроз. Атаки на USPS, crates.io, WhatsApp и использование доверенных сервисов, таких как g.co, демонстрируют, что злоумышленники постоянно адаптируют тактики. Понимание структуры фишинговых кампаний и их типов помогает организациям и пользователям лучше противостоять этим угрозам.
Источник: darkreading.com
Дополнительные источники: akamai.com, blog.rust-lang.org, gist.github.com, lesswrong.com, 00xbyte.github.io, purplesec.us, livingsecurity.com, barracuda.com