С 28 августа 2026 года в сети зарегистрировали 17 новых доменных имён, связанных с инфраструктурой группировок, которые зарабатывают на вымогательстве. Наблюдение ведёт исследовательская группа Unit 42. Речь идёт о кластерах Bling Libra и CL-CRI-1116, а также о связанных с ними командах. Эти команды действуют под собственными названиями и делят добычу с ядром. Часть новых адресов имитирует известные бренды. Ничего не подозревающий сотрудник видит знакомое имя компании и охотнее отвечает на звонок. Под угрозу попадают семь отраслей: финансовые услуги; высокие технологии; ИТ-услуги; некоммерческие организации; юридические и профессиональные услуги; транспорт и логистика; оптовая и розничная торговля.
Описание
Инфраструктура растёт быстро. С момента прошлой публикации, вышедшей 28 августа 2026 года, прибавилось 17 адресов. Разбор поддоменов, созданных на их основе, позволил установить, на какие организации готовятся нападения. В списке - банки и страховые компании, поставщики технологий, сервисные ИТ-подрядчики, некоммерческие фонды, юридические фирмы, перевозчики и торговые сети. Всех их объединяет один признак: сотрудники много общаются с внешним миром по телефону и почте. Такой профиль удобен для голосового фишинга. Жертву не нужно взламывать - достаточно убедить её самой открыть доступ. Ранее эти же группы выбирали похожие цели, поэтому перечень отраслей не выглядит случайным. Совпадения в схемах именования адресов и шаблонах страниц указывают на общую инфраструктуру.
По данным Unit 42, схема строится на телефонном звонке, а не на взломе кода. Звонящий представляется сотрудником службы поддержки, кадровой службы или партнёра. Он просит подтвердить данные, установить программу либо перейти по ссылке для проверки учётной записи. Разговор ведут вежливо и уверенно, часто со ссылкой на реальные внутренние процессы. Домены и поддомены нужны для правдоподобия. Они служат основой для почтовых адресов, страниц входа и корпоративных порталов, которые выглядят как настоящие. Голосовой фишинг обходит технические фильтры. Письмо с подозрительной ссылкой задержит почтовый шлюз, а разговор - нет.
Модель, при которой одни разрабатывают инструменты и ведут переговоры, а другие получают доступ и забирают процент от выкупа, встречается у многих групп. Bling Libra и CL-CRI-1116 относят к числу команд, работающих именно так. Новые домены появляются волнами. Как только часть адресов перестаёт работать после блокировки, злоумышленники готовят следующую партию. При этом инфраструктуру отслеживают по характерным признакам регистрации, поэтому новые партии замечают заранее. Однако быстрая смена адресов затрудняет борьбу. Списки блокировок устаревают за считаные дни, и служба безопасности не успевает реагировать.
Последствия успешной атаки выходят далеко за пределы одного рабочего места. Получив доступ к учётной записи, злоумышленник изучает внутреннюю сеть, ищет резервные копии и платёжные документы. Затем следуют шифрование серверов и требование выкупа. Для производственных и логистических компаний простой измеряется сутками и прямыми убытками. Финансовые организации и юридические фирмы дополнительно рискуют утечкой конфиденциальных данных клиентов. После этого к потерям добавляются претензии регуляторов и удар по репутации. Некоммерческие фонды пострадают сильнее прочих. У них обычно нет ни резервных бюджетов, ни штатных специалистов по защите.
Отдельная сложность - сезонность. Всплески активности вымогательских команд часто совпадают с периодами повышенной нагрузки: закрытием квартала, отчётной кампанией, крупными распродажами. В такие недели сотрудники торопятся, отвечают на звонки незнакомых номеров и реже проверяют отправителя. Злоумышленники это учитывают и усиливают давление. Организациям из списка стоит заранее решить, кто имеет право подтверждать данные по телефону и какие сведения нельзя сообщать посторонним.
Защита начинается с простых шагов. Сотрудников предупредите о звонках от имени службы поддержки и научите перезванивать по официальному номеру. Двухфакторная аутентификация усложнит вход даже при украденном пароле. Регулярные обновления и проверки подрядчиков сокращают число точек входа. Крупным компаниям полезно ограничить права доступа: рядовому бухгалтеру незачем видеть всю сеть. Резервные копии храните отдельно от основной инфраструктуры и периодически проверяйте их восстановление. Заодно имеет смысл проводить тренировочные звонки силами службы безопасности. Если сотрудник всё же продиктовал данные, пароли меняют немедленно, а инцидент передают в службу безопасности и правоохранительные органы.
Инфраструктура вымогателей обновляется быстрее, чем компании успевают менять регламенты. Подделка брендов и телефонные звонки смещают акцент с технических уязвимостей на человеческий фактор. Организациям из перечисленных отраслей разумно считать себя приоритетной целью и готовиться к разговору, а не только к взлому.
Индикаторы компрометации
