Phishing-as-a-Service (PhaaS, Фишинг как услуга) - это модель киберпреступного бизнеса, при которой злоумышленники продают или сдают в аренду готовые инструменты и инфраструктуру для проведения фишинговых атак. Термин образован по аналогии с легитимной моделью Software-as-a-Service (SaaS): вместо того чтобы разрабатывать фишинговую кампанию с нуля, преступник покупает подписку на платформу, которая предоставляет всё необходимое «под ключ». PhaaS радикально снижает порог входа в фишинг, позволяя людям без технических навыков проводить сложные атаки на уровне опытных группировок.
Как устроена бизнес-модель
Платформы PhaaS работают по модели подписки (Subscription-Based) или оплаты за использование. Клиент - его называют аффилиатом (Affiliate) - получает доступ к панели управления, где может выбрать шаблон фишинговой страницы, настроить домен, загрузить список целей и отслеживать результаты в реальном времени. Подписка обычно включает регулярные обновления инструментария, исправления, помогающие обходить новые детекторы, и техническую поддержку. Стоимость варьируется: например, набор Sneaky 2FA предлагался примерно за 200 долларов в месяц, а RaccoonO365 - от 355 долларов за тридцать дней до 999 долларов за девяносто дней, с оплатой в криптовалюте. По данным отраслевых отчётов, в 2025 году количество известных PhaaS-наборов удвоилось, а 90% высокообъёмных фишинговых кампаний полагались на готовые инструменты такого рода. Это означает, что фишинг перестал быть уделом одиночек и превратился в индустрию с разделением труда, конкуренцией и собственной «экосистемой».
Механизм работы и технические особенности
Современный PhaaS-набор - это не просто поддельная страница входа. Это многоступенчатая система, которая решает три задачи: доставить сообщение жертве, обойти защиту и собрать украденные данные. Для доставки используются скомпрометированные учётные записи легитимных сервисов рассылки, чтобы сообщения проходили проверки подлинности отправителя, а также QR-коды, которые переносят взаимодействие на личный мобильный телефон жертвы - устройство, часто находящееся вне зоны действия корпоративных средств защиты. Для обхода многофакторной аутентификации (MFA) применяется техника "человек посередине" (Adversary-in-the-Middle, AitM): платформа действует как прокси между жертвой и настоящим сайтом входа. Жертва вводит пароль и код MFA на поддельной странице, платформа передаёт их легитимному сервису, получает сессионный cookie и сохраняет его у себя. После этого атакующий может войти в аккаунт, не зная ни пароля, ни второго фактора. Сбор данных может идти через Telegram-ботов, панели администратора или даже через злоупотребление легитимными сервисами вроде EmailJS, что затрудняет обнаружение.
Примеры из реальной практики
Платформа VoidProxy, обнаруженная в сентябре 2025 года, представляет собой типичный пример зрелого PhaaS-продукта. Она нацелена на учётные записи Microsoft и Google, использует AitM для перехвата сессионных cookies и построена по двухслойной архитектуре: одноразовый фронтенд, который можно быстро отбросить при обнаружении, и устойчивый бэкенд, продолжающий работу. Атаки начинаются с писем, отправленных через скомпрометированные аккаунты легитимных сервисов рассылки, что позволяет обходить спам-фильтры. Интересно, что VoidProxy была вскрыта исследователями после того, как не смогла обойти Okta FastPass - аутентификатор, устойчивый к фишингу, что подчёркивает разницу между обычной MFA и защитой, специально спроектированной против перехвата.
Другой пример - платформы Lighthouse и Lucid, которые в 2025 году использовались для атак на более чем 316 известных брендов в 74 странах. Их наборы позволяли настраивать отображение фишинговой страницы в зависимости от страны или устройства жертвы, а для обмана использовались гомоглифы - замена символов в URL на визуально похожие знаки из других алфавитов. Набор Sneaky 2FA, распространявшийся через Telegram по подписке, использовал цепочку с password-protected PDF на легитимных доменах и CAPTCHA для фильтрации исследователей и ботов, прежде чем показать жертве поддельную страницу Microsoft.
Эволюция и защита
PhaaS продолжает эволюционировать в сторону большей автоматизации и скрытности. Генеративный искусственный интеллект помогает создавать грамматически безупречные и персонализированные сообщения, а интеграция с легитимными API позволяет платформам проверять валидность украденных учётных данных до того, как они попадут к клиенту. Защита от PhaaS требует смещения фокуса с блокировки отдельных писем на устойчивость учётных данных. Многофакторная аутентификация, устойчивая к фишингу (passkeys или аппаратные ключи), делает перехваченные сессионные cookies бесполезными, поскольку привязывает вход к криптографическому ключу, который не покидает устройство. Организациям также важно контролировать, какие легитимные сервисы рассылки используются в инфраструктуре, и внедрять политики, ограничивающие переход по ссылкам из неожиданных сообщений. Поскольку PhaaS сделал сложные атаки доступными для широкого круга преступников, устойчивость к фишингу становится не технической опцией, а базовым требованием к архитектуре идентификации.
