Phishing (Фишинг) - это вид кибератаки, в основе которой лежит социальная инженерия (Social Engineering). Злоумышленник не взламывает технические системы защиты напрямую, а обманывает человека, вынуждая его добровольно раскрыть конфиденциальные данные, перейти по вредоносной ссылке или запустить опасный файл. Ключевой механизм фишинга - имитация (Impersonation): атакующий выдает себя за доверенный источник, будь то банк, государственный орган, руководитель компании или популярный сервис. Именно поэтому фишинг остается одним из самых массовых и одновременно самых эффективных способов компрометации, поскольку эксплуатирует не уязвимости в коде, а особенности человеческого восприятия и поведения.
Как устроена фишинговая атака
Типичный сценарий начинается с приманки (Lure) - сообщения, которое вызывает у получателя сильную эмоцию: страх, срочность, любопытство или жадность. Это может быть уведомление о блокировке счета, требование срочно подписать документ, сообщение о неожиданном возврате денег или предупреждение о проблеме с доставкой. Сообщение содержит ссылку или вложение. Ссылка ведет на поддельную страницу (Spoofed Website), которая визуально неотличима от легитимной страницы авторизации, а вложение запускает установку вредоносного программного обеспечения (Malware). В обоих случаях цель одна - получить учетные данные (Credentials) или получить контроль над устройством. Современные атаки все чаще используют цепочки перенаправлений (Redirect Chains), чтобы обойти фильтры электронной почты и системы репутации доменов.
Основные разновидности
Массовый фишинг (Bulk Phishing) рассчитан на широкую аудиторию и не предполагает персонализации. Более опасен целевой фишинг (Spear Phishing), при котором атакующий предварительно изучает жертву, ее роль, круг общения и рабочие процессы, чтобы составить сообщение, которое будет выглядеть максимально естественно именно для этого человека. Особую категорию составляет компрометация деловой электронной почты (Business Email Compromise, BEC): злоумышленник либо подделывает адрес руководителя или контрагента, либо получает доступ к реальному почтовому ящику и от имени его владельца инициирует платеж или изменение реквизитов. Голосовой фишинг (Vishing) переносит атаку в телефонный канал, а SMS-фишинг (Smishing) использует текстовые сообщения. Отдельного упоминания заслуживает QR-фишинг (Quishing), при котором вредоносная ссылка закодирована в QR-коде: жертва сканирует код и переходит на фишинговый сайт с мобильного устройства, которое часто находится вне зоны действия корпоративных средств защиты.
Примеры из реальной практики
В конце 2025 года исследователи зафиксировали кампанию, в которой злоумышленники отправляли фишинговые письма с легитимного адреса в домене google.com. Они злоупотребили функцией Google Cloud для отправки транзакционных сообщений, поэтому письма проходили проверки подлинности домена отправителя. Ссылки вели на промежуточный домен, а затем перенаправляли пользователя на страницу, имитирующую авторизацию Microsoft, где учетные данные попадали к атакующим. Этот случай наглядно показывает, что даже безупречная репутация домена отправителя не гарантирует безопасности.
Другой пример связан с использованием легитимных SaaS-инструментов. Атакующие применяли платформу LiveChat, чтобы в реальном времени выдавать себя за службу поддержки Amazon и PayPal. Письмо сообщало о возврате средств или о заказе, требующем подтверждения, а ссылка вела в интерфейс чата, который выглядел как официальная поддержка бренда. В ходе переписки жертву убеждали ввести данные банковской карты или код многофакторной аутентификации (MFA). Эффективность схемы строилась на привычке пользователей к чат-ботам на легитимных сайтах.
Масштабную кампанию зафиксировали и в сегменте розничной торговли: через скомпрометированный сервер небольшой британской компании было разослано почти девять миллионов писем от имени известной аптечной сети. Письма предлагали бесплатный подарок за прохождение опроса, а ссылка вела на фишинговый набор (Phishing Kit), размещенный на взломанном государственном сайте. Этот кейс демонстрирует, как инфраструктура легитимного бизнеса превращается в инструмент массовой атаки.
Масштаб и эволюция угрозы
По оценкам отраслевых отчетов, в 2025 году ежедневно отправлялось около 3,4 миллиарда фишинговых писем, и лишь часть из них блокировалась почтовыми фильтрами. До 90% высокообъемных кампаний использовали готовые платформы «фишинг как услуга» (Phishing-as-a-Service, PhaaS), что снизило порог входа для атакующих без глубоких технических навыков. Техники обхода многофакторной аутентификации (MFA Bypass), обфускация URL (URL Obfuscation) и злоупотребление CAPTCHA встречались почти в половине атак. Генеративный искусственный интеллект позволил делать сообщения грамматически безупречными и персонализированными, а в сегменте вишинга - синтезировать реалистичный голос. Фишинг перестал быть просто кражей пароля: он служит начальной точкой для развертывания программ-вымогателей (Ransomware), компрометации облачных сред и финансового мошенничества.
Как противостоять
Защита от фишинга строится на сочетании организационных и технических мер. Многофакторная аутентификация, устойчивая к фишингу (Phishing-Resistant MFA, например аппаратные ключи или passkeys), снижает ценность украденного пароля. Регулярное обучение сотрудников (Security Awareness Training) формирует привычку проверять отправителя и не переходить по ссылкам из неожиданных сообщений. На уровне инфраструктуры применяются записи SPF, DKIM и DMARC для контроля подлинности домена, а также фильтрация вложений и изоляция ссылок (Link Isolation). Однако ни одна мера не дает абсолютной гарантии: фишинг постоянно эволюционирует, поэтому критически важно сочетать технологии с культурой безопасности и готовностью сообщать о подозрительных сообщениях до того, как они приведут к инциденту.
