В течение нескольких лет злоумышленники эксплуатируют загруженность государственных служб Мексики, создавая фишинговые сайты под видом ускоренной записи на оформление паспорта. Анализ этой долгосрочной кампании, проведенный исследователями, показывает, что основным драйвером мошенничества является устойчивый дефицит легальных слотов: граждане, столкнувшиеся с бюрократическими ограничениями, готовы платить за возможность получить услугу быстрее. Мошенники используют этот спрос, копируя официальный портал Министерства иностранных дел Мексики (Secretaría de Relaciones Exteriores, SRE) и собирая с жертв денежные средства вместе с полным пакетом персональных данных.
Описание
Кампания началась как минимум несколько лет назад и продолжается до сих пор, несмотря на предупреждения со стороны мексиканских властей и публикации отчетов, таких как январское исследование ESET 2026 года. Фальшивые сайты известны под брендами "Mexican Cita Express" или "Cita Express SRE México". Они имитируют настоящий сервис ускоренной записи на получение паспорта, хотя официально такая программа не существует. Жертвы, не имея возможности записаться через легитимные каналы, обращаются к сторонним посредникам и попадают в ловушку.
Механика мошенничества построена на точной визуальной копии официального сайта SRE. Поддельные домены, такие как cita-mx-pasaporte-gob[.]com, используют тот же логотип, цветовую палитру и макет. Однако под капотом сайта внедрены вредоносные JavaScript-перехватчики, которые блокируют обращение к реальному API банковских реквизитов и подменяют их на счета, контролируемые мошенниками. Эти счета, вероятно, принадлежат дропам или скомпрометированы - в коде сайта обнаружены жестко прописанные номера CLABE, которые не относятся к казначейству Мексики. Легальная оплата паспортной пошлины должна поступать на государственный счет, но в данной схеме деньги уходят напрямую злоумышленникам.
Финансовые потери для каждой жертвы могут достигать 13 090-15 480 мексиканских песо (примерно 650-770 долларов США) после прохождения всех этапов вымогательства. Изначально мошенники запрашивают сумму, сопоставимую с реальной стоимостью паспорта (от 1 730 до 4 120 песо). После оплаты сайт генерирует дополнительные бюрократические преграды: "биометрическая проверка", "очистка личности", "окончательное разрешение". Каждый такой шаг требует нового перевода; в общей сложности жертву принуждают совершить до пяти дополнительных платежей на общую сумму 11 360 песо. Все личные данные, включая уникальный национальный идентификационный код CURP (Clave Única de Registro de Población), имя, адрес электронной почты, номер телефона и квитанции о переводах, в реальном времени отправляются в Telegram-бот, управляемый оператором.
Ранее в схеме использовались инструменты аналитики PostHog и библиотека rrweb для записи каждого действия пользователя. Новый подход с Telegram-ботом, по мнению экспертов, позволяет мошенникам работать более асинхронно и автономно - возможно, с использованием AI-агентов. Запись сессий через rrweb сохраняется и воспроизводится для контроля качества атакующими. Как показал анализ телеметрии инцидента, в коде также присутствуют скрипты, создающие искусственное ощущение срочности: модальное окно "Aviso Importante" предупреждает, что оплату необходимо произвести в течение 30 минут, иначе учетная запись будет заблокирована на 12 месяцев. Дополнительные поля для ввода данных и блокировка кнопки подтверждения оплаты до их заполнения максимизируют объем собираемой информации.
Собранные CURP представляют собой долгосрочную угрозу. Этот идентификатор используется мексиканскими финансовыми учреждениями в рамках процедур "Знай своего клиента" (KYC). Таким образом, украденные CURP открывают доступ к мошенничеству с банковскими счетами даже после завершения текущей фишинговой кампании.
Признаки, указывающие на происхождение атакующих, включают установленный часовой пояс +03:00 (московское время) в переменной "updated_at", многочисленные комментарии на русском языке в коде JavaScript, а также активное использование эмодзи - все это типично для контента, сгенерированного искусственным интеллектом. Один из найденных комментариев гласит: "КРИТИЧЕСКОЕ ИСПРАВЛЕНИЕ: Блокируем внешний API ПЕРВЫМ ДЕЛОМ! Это предотвращает загрузку чужих реквизитов из внешнего источника".
Инфраструктура сайтов размещена на защите DDoS-Guard, а регистрация доменов производится через CNOBIN INFORMATION TECHNOLOGY LIMITED. Поиск по токену PostHog (phc_yJW1VjHGGwmCbbrtczfqqNxgBDbhlhOWcdzcIJEOTFE) выявил 12 IP-адресов, многие из которых относятся к той же сети DDoS-Guard, что указывает на единого оператора.
Исследователи выделили четыре ключевых условия, при которых такие мошеннические схемы процветают: обязательная государственная услуга, ограниченный легитимный доступ (дефицит слотов, технические сложности, языковой барьер), ожидаемая оплата на правительственном сайте (поэтому счёт не вызывает подозрений) и сбор полного пакета персональных данных при регистрации. Когда все четыре фактора совпадают, возникает идеальная среда для атак, основанных на дефиците.
Отчёт подчёркивает, что традиционные методы борьбы - предупреждающие баннеры на сайтах правительства и точечное удаление фишинговых доменов - не решают коренную проблему. Пока правительственные услуги остаются недоступными для граждан из-за бюрократических задержек, мошенники будут заполнять образовавшуюся пустоту. Кампания Cita Express - лишь один из примеров глобального явления: аналогичные схемы с местным брендированием существуют в разных странах, нацеленные на паспортные службы, налоговые порталы, очереди за пособиями и иммиграционные процедуры. Вместо борьбы с симптомами исследователи предлагают сосредоточиться на устранении первопричин - повышении доступности и эффективности государственных цифровых сервисов.
Индикаторы компрометации
IPv4
- 167.86.104.83
- 185.149.120.203
- 186.2.175.17
- 186.2.175.21
- 186.2.175.63
- 186.2.175.75
- 186.2.175.77
- 192.232.50.197
- 192.232.50.5
- 195.250.30.188
- 212.132.75.102
- 35.158.27.71
- 54.149.62.89
- 54.212.88.2
- 65.21.88.152
- 68.178.203.99
- 98.84.79.71
Domain
- aadharcrop.com
- agilizacnh.com.br
- aires-fgts.co
- ameli-secu.com
- application-mygovbd.online
- bolsafamiliabr.com
- bolsafamilianajustica.com.br
- brgovoficial.com
- calculafgts.com.br
- casestatusalert.com
- centralguiaveiculars.online
- certificacion-internacional-gob-ve.site
- cita-mx-pasaporte-gob.com
- cita-online-mx-gob.com
- citas-gobmx.com
- citas-pasaporte-gobmx.com
- cita-sre-gob-mx.com
- cita-sre-pasaporte-mx-gob.com
- citas-sje-gob-mx.com
- citas-sregob-mx.com
- cnhdescomplicada.com.br
- concursoespcex2026.sbs
- concursopenal2026.sbs
- concursopenal-2026.sbs
- constanciasmx.online
- consulta-gov-sc.top
- contesevias.com
- cra-tax-return.online
- cscseva.xyz
- detransclaim.com
- digibansos.my.id
- digilocker.live
- efazenda-lpva-ms.com
- epfoin.com
- epfologinn.com
- epfoo.net
- epfoporrtal.com
- espcex2026-seguro.sbs
- espcexconcurso2026.sbs
- espcexinscricao.sbs
- especexinscricao2026.sbs
- e-visamontenegro.info
- express-cita-gobmx.com
- express-cita-sre-gob-mx.com
- express-citas-sre-gob-mx.co
- express-citas-sre-gobmx.com
- express-mexico-cita.com
- express-mexico-online-cita.com
- express-mx-gob-cita.com
- fgts-pan.co
- fgts-up.co
- gbb-mx-cita-express.com
- gestoriadigitalmx.com
- getschengenvisa.com
- gobmx-cita-express.com
- gob-mx-cita-express.com
- gobmx-citas-express.com
- gobmx-express-cita.com
- gob-mx-pasaporte-cita.com
- gob-online-cita-express.com
- gov.br
- gov-brz.com
- govoficialbr.site
- govportalbr.com
- govseguro.com
- guiadacnhbrasil.click
- info-tls.net
- info-tlscontact.net
- ircc-travelassist.ca
- italyforretire.info
- jobici-fr.work
- meuinsslogin.com
- mexico-online-gob-cita.com
- mexico-sre-cita-express.com
- mexico-sre-gob-cita-express.com
- m-parivahan.info
- mparivahan.one
- mparivahanapp.digital
- mparivahanapp.help
- mparivahangov.digital
- mparivahangov.help
- mparivahangov.work
- mparivahanorg.help
- mx-cita-express-online.com
- mx-cita-pasaporte-gob-online.com
- mx-citas-gob-sre.com
- mx-cita-sre-gob.com
- mx-express-citas-gob-sre.com
- mx-gob-express-cita.com
- mx-online-cita-express.com
- mx-online-sre-cita-express.com
- mx-pasaporte-cita-express.com
- mx-pasaporte-cita-gob.com
- mx-pasaporte-express-cita.com
- mx-sre-express-cita-gob.com
- mygovconnectionassociates.com
- mygovconnectionbrands.com
- mygovconnectioncollective.com
- mygovconnectioncompany.com
- mygovconnectionenterprise.com
- mygovconnectiongroup.com
- mygovconnectionhq.com
- mygovconnectionindustries.com
- mygovconnectioninternational.com
- mygovconnectionmanagement.com
- mygovconnectionnetwork.com
- mygovconnectionoperations.com
- mygovconnectionpartners.com
- mygovconnectionresources.com
- mygovconnectionworks.com
- mygov-repository-uz.ink
- mygovt-bd.co
- mygovupdates.com
- nextgen-mparivahan.digital
- notificationsservicegov.ca
- obtain-uspassports-online.com
- oficial-cita-express.com
- oficial-express-mx-cita.com
- onine-pasaporte-cita-mx.com
- online-cita-mexico-express.com
- online-cita-sre-gob-express.com
- online-gob-cita-express.com
- online-gob-mx-cita-express.com
- online-mexico-cita-express.com
- online-mx-cita-gob-express.com
- online-mx-citas-express.com
- online-mx-gob-cita-express.com
- online-pasaporte-cita.com
- online-pasaporte-express-cita-mx.com
- parivahanportal.live
- partidacnh.com.br
- pasaporte-gobmx-cita-express.com
- pasaporte-mexico-express.com
- pasaporte-mx-cita-online.com
- pmkisanstatuschecks.info
- portaldetransito.site
- registro-cita-express.com
- regularizafgts.com.br
- samiaive.sbs
- sassacheckstatus.web.za
- sassastatuscheck.bar
- sassastatus-gov.co.za
- scis-govt.us
- secured-traffic-ticket-portal.com
- srdsassastatuscheck.net.za
- srdsassastatuscheck350.co.za
- sre-mx-cita-express.com
- sunat123.net
- swiftfiscaledge.live
- swissvisa-gov.com
- syscnh.online
- uidai-login.com
- ukvisa-service.com
- usacitizen.app
- uscis-govt.us
- www-online-pasaporte-cita-mx.com
SHA256
- 09644b375f92e552653911a6dfda40ada772b6bc15eb4267521bd2c8341af0b1
