Bulk Phishing (Массовый фишинг) - это стратегия фишинговой атаки, при которой злоумышленники рассылают огромное количество универсальных, неперсонализированных сообщений широкой аудитории, рассчитывая на статистику: даже если лишь малая доля получателей попадётся на уловку, общий объём рассылки делает атаку рентабельной. В отличие от целевого фишинга (Spear Phishing), где сообщение тщательно адаптируется под конкретного человека, массовый фишинг строится на шаблонных формулировках, общих темах и минимальной кастомизации. Это своеобразная «широкая сеть», заброшенная в надежде, что несколько рыб клюнут.
Ключевое отличие от целевых атак
Главное различие между массовым и целевым фишингом лежит в экономике атаки и уровне персонализации. Массовые кампании не тратят ресурсы на изучение конкретной жертвы: одно и то же письмо, имитирующее уведомление от банка, службы доставки или технологической платформы, уходит тысячам получателей одновременно. Целевой фишинг, напротив, требует разведки, изучения organisational структуры и индивидуального подхода, поэтому применяется реже, но нацелен на более крупный выигрыш. Массовый фишинг компенсирует низкую конверсию масштабом, тогда как целевой - точностью. При этом граница между ними постепенно размывается: современные инструменты автоматизации и генеративный искусственный интеллект позволяют добавлять в массовые рассылки элементы персонализации, повышая их эффективность без существенного роста затрат.
Механизм работы и современные особенности
Классическая массовая фишинговая кампания начинается с приобретения или компрометации списка адресов электронной почты. Затем злоумышленники используют легитимные облачные платформы и доверенные сервисы для размещения вредоносного контента или перенаправления жертв. Это принципиальный сдвиг: если раньше массовый фишинг ассоциировался с дешёвыми поддельными доменами и очевидными ошибками в тексте, то теперь атакующие всё чаще злоупотребляют инфраструктурой Google Cloud, SharePoint, Dropbox и сервисов электронных подписей. Сообщение может приходить с настоящего домена крупной компании, проходить проверки подлинности отправителя и вести на страницу, визуально неотличимую от легитимной формы входа. Многоступенчатые цепочки перенаправлений, использование открытых редиректов (Open Redirect) и промежуточных страниц с CAPTCHA позволяют обходить автоматические фильтры и снижать подозрительность пользователя.
Отдельного внимания заслуживает развитие модели «фишинг как услуга» (Phishing-as-a-Service, PhaaS). Готовые наборы для массовых рассылок, включающие шаблоны писем, фишинговые страницы и механизмы обхода многофакторной аутентификации, сделали проведение кампаний доступным даже для злоумышленников без глубоких технических навыков. По оценкам отраслевых отчётов, до 90% высокообъёмных фишинговых кампаний в 2025 году использовали инструменты PhaaS, а общее количество известных фишинговых наборов за год удвоилось. Генеративный искусственный интеллект дополнительно усилил эту тенденцию: он позволяет автоматически генерировать грамматически безупречные тексты, адаптировать тематику под текущие события и даже имитировать голос или стиль письма руководителя.
Примеры из реальной практики
Масштаб массового фишинга удобно проиллюстрировать несколькими кампаниями 2025 года. В Австралии злоумышленники, обозначенные как MCTO3001, провели одну из крупнейших фишинговых операций за последние годы: более 270 тысяч поддельных писем от имени государственных служб Services Australia и Centrelink были разосланы в течение примерно четырёх месяцев. Кампания использовала легитимные сервисы рассылки (SendGrid, Mailgun, Office 365) и элементы искусственного интеллекта для создания убедительных сообщений, нацеленных на кражу учётных данных. Этот пример показывает, как массовая атака может маскироваться под официальное уведомление и при этом оставаться достаточно масштабной, чтобы охватить десятки тысяч получателей.
Другой показательный случай связан со злоупотреблением функцией автоматической отправки писем в Google Cloud Application Integration. Злоумышленники отправляли сообщения от имени адреса noreply-application-integration@google.com, которые выглядели как служебные уведомления о голосовой почте или запросы доступа к файлам. Первые переходы по ссылкам действительно вели на легитимную инфраструктуру Google, но затем происходила незаметная переадресация на страницу, имитирующую вход в Microsoft. За две недели было отправлено почти 9 400 сообщений более чем 3 200 получателям. Этот пример демонстрирует, что наличие настоящего домена отправителя и корректной инфраструктуры больше не гарантирует безопасность.
Ещё одна кампания, обнаруженная исследователями Check Point, имитировала уведомления от SharePoint и DocuSign. Более 40 тысяч писем были разосланы по более чем 6 100 организациям в США, Европе, Канаде, Азиатско-Тихоокеанском регионе и на Ближнем Востоке. Атакующие использовали функцию переписывания безопасных ссылок Mimecast, чтобы все вредоносные URL проходили через доверенный домен mimecastprotect.com, что позволяло обходить автоматические фильтры. Письма копировали логотипы Microsoft, форматирование и стандартные кнопки вроде «Review Document», а в одном из вариантов цепочка перенаправления полностью скрывала конечный фишинговый адрес за токенизированным редиректом.
Масштаб и защита
Массовый фишинг остаётся доминирующей формой фишинговых атак. По разным оценкам, ежедневно в мире отправляется около 3,4 миллиарда фишинговых писем, и значительная часть из них относится именно к категории массовых рассылок. В отчётах также фиксируются кампании, которые отправляют миллионы писем в месяц, например, деятельность группы Scripted Sparrow, оцениваемая примерно в 6,6 миллиона целевых сообщений ежемесячно. Защита от массового фишинга строится на сочетании технических и организационных мер. На уровне инфраструктуры важны корректно настроенные записи SPF, DKIM и DMARC, фильтрация вложений и изоляция ссылок. Многофакторная аутентификация, устойчивая к фишингу, снижает ценность украденных паролей. Однако ключевым остаётся обучение сотрудников: массовый фишинг эксплуатирует человеческое доверие и привычку действовать быстро, поэтому культура проверки отправителя и готовность сообщать о подозрительных сообщениях часто оказываются эффективнее любых технических фильтров.
