F6 раскрыла девятилетнюю схему с клонами сайтов российских компаний
29 июля 2026 года F6 раскрыла детали международной мошеннической кампании, которая действует с 2017 года. Исследователи обнаружили почти 100 доменов, имитирующих сайты российских производителей удобрений, нефтехимических и металлургических предприятий, банков и логистических операторов. В апреле 2025 года одна компания из Азербайджана потеряла $150 000.
Как доверие к бренду превращают в инструмент атаки
Мошенники копируют дизайн и большую часть содержимого настоящих корпоративных сайтов, но заменяют контакты и платежные реквизиты. Ресурсы доступны на русском, английском, французском и арабском языках и ориентированы прежде всего на B2B-сделки и международную торговлю.
Контакт начинается с холодного звонка, фишингового письма или обращения через поддельный сайт. Иногда злоумышленники нанимают ничего не подозревающих менеджеров по продажам. На финальном этапе клиента переводят на «старшего менеджера», после чего с ним общаются уже участники схемы.
Единая инфраструктура и полный комплект документов
Клиенту отправляют коммерческое предложение, договор и счет с реквизитами фиктивной «дочерней» компании. Документы воспроизводят фирменные бланки и подписи, поэтому платеж выглядит частью обычной закупки. Кампания показывает механику тактики эксплуатации заимствованного доверия: злоумышленники используют репутацию реальной организации вместо создания собственного убедительного бренда.
«Значительная часть инфраструктуры имеет общие DNS-записи, IP-адреса и регистрационные данные. Это указывает на единую координируемую кампанию», — отметила Елена Шамшина, технический руководитель департамента Threat Intelligence компании F6.
Большинство выявленных доменов связано с IP-адресами 212.127.73[.]235 и 167.86.100[.]68. Ранние версии схемы использовали преимущественно доменную зону .ru, а новые сайты чаще размещаются в зонах .com, .org и .net.
Мошенники адаптируются даже к предупреждениям: когда пострадавшие компании публиковали сообщения о подделках, злоумышленники копировали их на сайты-клоны и заменяли упоминания настоящих доменов собственными.
Что проверить перед переводом аванса
Для бизнеса одного визуального осмотра сайта уже недостаточно. Перед оплатой стоит сверять контрагента и его дочерние структуры по официальным реестрам, проверять возраст домена, независимо подтверждать контакты и банковские реквизиты. Особенно важно повторно согласовывать платеж через доверенный канал, если реквизиты изменились в ходе сделки.