30 сентября абоненты французского сотового оператора Free Mobile начали получать письма о неоплаченном счёте на 9,99 евро. В сообщении сказано, что без оплаты оператор приостановит обслуживание. Ссылка ведёт на страницу, которая почти не отличается от официального сайта компании. Там просят ввести данные банковской карты. Рассылка идёт уже несколько недель, и её качество заметно выросло по сравнению с прежними попытками.
Описание
За год до этого у оператора произошла крупная утечка. В октябре 2024 года посторонние получили доступ к личным записям клиентов, включая банковские реквизиты и данные для входа в личный кабинет. В январе французский регулятор в области защиты данных CNIL, следящий за соблюдением закона о персональных данных, оштрафовал Free Mobile на 27 миллионов евро. Причиной назвали слабую защиту клиентских сведений. С тех пор абоненты компании регулярно получают поддельные письма. Прежние сообщения выглядели небрежно: неточные шаблоны, ошибки в тексте, подозрительные адреса отправителей. Фишинг, то есть поддельные сообщения от имени известных организаций, редко был настолько убедительным.
Malwarebytes проследила изменение подхода злоумышленников с июля 2026 года. Июльские варианты выдавали себя грубыми цепочками перенаправлений, автоматических переходов между страницами, и случайными наборами символов в адресах. Последующие попытки выглядели аккуратнее. Новые письма повторяют фирменный стиль оператора: тот же логотип, та же вёрстка, похожие формулировки. Адрес отправителя при этом не имеет отношения к компании, а ссылка лишь выглядит как официальная. Такое письмо получил и сотрудник Malwarebytes, который сам пользуется услугами Free Mobile.
Ссылка открывает три последовательных перенаправления. Первый адрес служит для маскировки, второй играет роль промежуточного, третий ведёт на поддельную страницу. Конечный домен, то есть адрес сайта в интернете, появился всего месяц назад и работает через Cloudflare. Крупные облачные сервисы привлекают мошенников скоростью аренды, зато жалобы на них разбирают быстрее. Другие варианты кампании опираются на домены с правдоподобными именами, которые тоже появляются незадолго до рассылки. Регистрация за недели или дни до первого письма остаётся самым заметным признаком подделки.
Подобные кампании идут одна за другой. Сначала мошенники действуют грубо и проверяют, как фильтры пропускают их сообщения. Затем они переходят к аккуратным копиям корпоративных шаблонов. За два месяца злоумышленники сменили как минимум три набора адресов, и каждый следующий выглядел правдоподобнее предыдущего. Простое копирование текста уступило место воспроизведению всего оформления писем.
Пользователь видит привычную картинку: логотип, фирменные цвета, вежливое напоминание об оплате. Страница предлагает ввести номер карты, срок её действия и код проверки. После отправки формы сведения попадают к злоумышленникам. Первые списания возможны уже через несколько минут, а замечают их не сразу. Часть пострадавших узнаёт о проблеме только при попытке оплатить покупку или при звонке из банка.
Однако утечка 2024 года упрощает задачу мошенникам. Они знают имена, номера телефонов и часть платёжных данных, поэтому письма выглядят убедительно. Ошибка обходится дорого: потерянные деньги, спор с банком о возврате средств, перевыпуск карты. Украденные сведения используют повторно, для новых писем, звонков и сообщений от имени оператора. Абоненты, попавшие в первую утечку, рискуют сильнее остальных. Если данные карты уже введены, разумно позвонить в банк и заблокировать карту, не дожидаясь списаний.
Схемы с оплатой счёта работают за счёт спешки. Угроза отключения услуги подталкивает человека к быстрым действиям. Мошенники на это и рассчитывают: небольшая сумма не вызывает подозрений, а мысль об отключении связи мешает внимательно читать адрес страницы. К тому же подобные письма приходят и тем, чьи данные не попали в утечку, ведь рассылки идут по всем известным адресам.
Телекоммуникационные компании остаются удобной мишенью. Они общаются с абонентами постоянно: счета, напоминания, изменения тарифов. Клиенты привыкли к таким письмам и редко проверяют отправителя. Крупные базы персональных данных добавляют мошенникам уверенности, ведь обращение по имени повышает доверие. Штраф регулятора стал публичным напоминанием о цене небрежности с клиентскими сведениями.
Защита строится на нескольких простых привычках. Письма о задолженности лучше проверять через официальное приложение оператора или его сайт, открытые вручную. Адрес страницы в браузере нужно сверять с ожидаемым. Оператор принимает звонки на официальной линии поддержки по номеру 3244. Дополнительный слой защиты дают браузерные расширения, блокирующие поддельные сайты, например Malwarebytes Browser Guard, и антивирус с веб-защитой на всех устройствах. Во Франции операторы обязаны уведомлять регулятора о крупных утечках и сообщать пострадавшим о рисках, а несоблюдение этих требований приводит к штрафам.
Качество поддельных страниц в этой кампании заметно выросло. Утечка дала мошенникам материал, а инструменты копирования вёрстки стали доступнее. Операторам связи приходится учитывать, что публичная утечка повышает результативность последующих атак на их клиентов. Регуляторы в свою очередь усиливают требования к хранению клиентских сведений и к срокам уведомления о взломах.
Индикаторы компрометации
