Сотни мошеннических сайтов охотятся за детьми через Roblox и Minecraft

Первый тип - offerwall-ресурсы, обещающие детям внутриигровую валюту Robux или Minecoins в обмен на выполнение простых задач: прохождение опросов, установку приложений или просмотр видео. На поверку такие сайты не генерируют валюту, а зарабатывают на партнёрских комиссиях, попутно собирая личные данные несовершеннолетних. Многие из них скрывают платные подписки и "бесплатные пробные периоды", которые автоматически списывают деньги. Исследователи насчитали 437 веб-свойств, соответствующих этой модели, только в одном срезе данных за июнь 2026 года. Эта цифра представляет собой нижнюю границу, так как домены постоянно меняются.

Второй тип - классический фишинг, нацеленный на кражу учётных записей. Здесь операторы используют подделку брендов и адресной строки. По данным Censys, обнаружено порядка 350 и более уникальных доменных имён, созданных для обмана детей. Среди них - подражатели страниц входа, генераторы "бесплатных Robux", ложные сайты верификации (например, Bloxlink и RoVer - инструменты, которыми дети ежедневно пользуются в Discord) и адресные строки с опечатками вроде r.oblox.com, robiox.com или httpss--roblox.co.

Структура мошеннической инфраструктуры выявляется через анализ технологического стека. Почти все offerwall-сайты (около 99%) используют бесплатные сертификаты Let’s Encrypt, Google Trust Services или Sectigo. Более половины (54,6%) полагаются именно на Let’s Encrypt, что является признаком одноразового, дешёвого хостинга. Примерно 300 из 437 сайтов работают за Cloudflare, который скрывает реальный IP-адрес оператора. При этом 153 ресурса явно идентифицированы как страницы входа, собирающие логины и электронную почту.

Среди технологий доминируют PHP (177 сайтов) и веб-сервер LiteSpeed (165 сайтов) - характерные признаки дешёвого общего хостинга. Установлено, что почти половина сайтов с известными уязвимостями (CVE) имеют критический или высокий уровень опасности. На 33 объектах обнаружены критические, а на 55 - высокие уязвимости. При этом сайты собирают данные детей, а их инфраструктура часто работает на устаревших операционных системах с просроченными сертификатами.

Примером служит сайт Rocash (rocash[.]co), который скрывался за Cloudflare, но при анализе был найден его реальный сервер. TLS-сертификат принадлежал не Rocash, а гемблинг-проекту joinbetme.com, что указывает на связь между ресурсом для детей и азартной игрой. Другой сайт RbxBest (rbx.best) открыто принимает бывших пользователей Rocash, используя те же идентификаторы Google Analytics и AdSense. Такие "миграции" показывают, что операторы меняют бренды, но сохраняют общую монетизационную платформу.

Фишинговый кластер на IP-адресе 179.43.150[.]242 демонстрирует иной подход. Он размещён у хостинг-провайдера Private Layer (Панама, Швейцария), который игнорирует запросы на удаление контента. На одном IP работает множество фальшивых доменов, включая r.oblox.com[.]et, robiox.com[.]ua, verify-bloxlink[.]cfd, shortsurl[.]bio и другие. Сроки жизни доменов укладываются в несколько дней: как только один блокируется, оператор поднимает следующий. Предоставленный анализ DNS-записей позволяет выявить закономерность: повторяющиеся поддомены auth., arkoselabs., twostepverification. - верный признак массового фишингового комплекта.

Особая опасность заключается в том, что эти схемы почти не отслеживаются традиционными системами обнаружения угроз. Исследователи Censys отмечают, что большинство offerwall-сайтов и фишинговых доменов не появляются в коммерческих фидах угроз. Причина - высокая ротация инфраструктуры и использование CDN, скрывающих происхождение. В итоге защитники (школы, интернет-провайдеры, платформы и регуляторы) полагаются на устаревшие списки индикаторов, которые не успевают за изменчивостью этих ресурсов.

Последствия для детей включают не только потерю игровых аккаунтов и денег. Нарушаются условия использования игр, собираются персональные данные (электронная почта, логины, иногда платежная информация), а подверженные уязвимостям серверы могут стать точкой входа для более серьёзных атак. При этом операторы массово используют шаблонные конструкторы сайтов, поэтому масштаб проблемы - это тысячи доменов, управляемых сотнями разрозненных групп.

Результаты исследования имеют практическое значение. Школьные округа, провайдеры семейной безопасности и сами игровые платформы могут использовать предложенные Censys сигнатуры (поисковые запросы по содержимому страниц, DNS-имена и сертификаты) для настройки собственных систем блокировки. Регуляторы, занимающиеся защитой детских данных и запретом тёмных паттернов, получают задокументированный пример нарушений в реальном времени. Пассивное ожидание предупреждений от вендоров неэффективно: необходимы активные методы сканирования и анализа инфраструктуры.