Фишинг и ВПО нацелились на ЧМ-2026

Предстоящий чемпионат мира по футболу 2026 года уже превратился в одну из самых заметных целей для злоумышленников. По данным отчета, киберпреступники активно используют ажиотаж вокруг турнира, выстраивая кампании с применением phishing, вредоносного ПО и социальной инженерии — как против болельщиков, так и против организаторов.

С начала 2026 года было зарегистрировано более 10 000 доменов, связанных с чемпионатом мира. В среднем это около 2 000 новых сайтов в месяц. Значительная часть инфраструктуры ориентирована на mobile devices, которые все чаще становятся основными объектами кибератак.

Социальные сети, мессенджеры и «бесплатные трансляции»

Отчет отмечает, что сообщения в social networks нередко маскируют ссылки, ведущие в WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta), Telegram или Discord. Такие площадки злоумышленники считают более удобными для обмана пользователей, поскольку они воспринимаются как менее защищенные и позволяют быстрее выстраивать контакт с жертвой.

Наиболее характерный сценарий — мошенничество в последнюю минуту. Перед матчами пользователям обещают «free streaming links» или доступ к билетам, играя на эмоциях болельщиков и ощущении срочности. Именно в такие моменты вероятность ошибки возрастает особенно сильно.

QR-коды и поддельные документы для атак на сотрудников

Отдельное внимание в отчете уделено сложным техникам, среди которых — фишинг через QR-коды, или quishing. Такие атаки применяются не только против обычных пользователей, но и против организаторов турнира, а также сотрудников связанных структур.

В одном из обнаруженных сценариев злоумышленники распространяли поддельный PDF-файл под названием «Employee Handbook». Документ был оформлен так, чтобы выглядеть легитимно, и содержал вредоносный QR-код, предназначенный для сканирования сотрудниками. Этот пример показывает, насколько убедительно киберпреступники умеют имитировать доверенные источники.

AiTM ставит под вопрос эффективность MFA

Отчет также указывает на рост атак в режиме реального времени с использованием техники adversary-in-the-middle (AiTM). Такие атаки позволяют злоумышленникам перехватывать одноразовые коды в момент их генерации и использовать их в течение нескольких секунд для захвата учетных записей.

Это означает, что традиционная multi-factor authentication (MFA) уже не может считаться достаточной защитой. В условиях современных атак одного лишь кода подтверждения недостаточно, если он может быть перехвачен и немедленно применен злоумышленником.

ВПО под видом продажи билетов

Еще одна угроза связана с распространением настольного malware под предлогом продажи билетов на чемпионат мира. Такое ВПО нацелено на устройства под управлением Windows и предназначено для кражи конфиденциальных данных с зараженных машин.

Собранная информация затем выводится в несанкционированные каналы, включая Telegram и Discord, при этом активность маскируется под легитимное поведение. В числе похищаемых данных:

• файлы cookies;
• сохраненные пароли;
• данные сеансов;
• учетные данные критически важных приложений.

Что рекомендуют эксперты

Авторы исследования подчеркивают: организациям, особенно тем, кто связан с FIFA World Cup, необходимо срочно усиливать защиту. Простая MFA больше не считается достаточной мерой.

В качестве более надежного подхода рекомендуется переход на аппаратные методы аутентификации, в частности на FIDO2/WebAuthn keys. Такие решения значительно усложняют перехват доступа в сценариях AiTM и снижают риск компрометации учетных записей.

Пользователям, в свою очередь, советуют с особой осторожностью относиться к любым нежелательным предложениям free tickets или streaming. В отчете такие предложения предлагается изначально рассматривать как потенциально вредоносные — прежде всего из-за искусственно созданного ощущения срочности.

Угроза будет только расти

По мере приближения турнира ожидается дальнейший рост киберактивности. Эксперты предупреждают, что и болельщики, и организаторы должны сохранять бдительность перед лицом все более изощренных и opportunistic атак, в том числе с использованием generative AI для повышения эффективности обмана и эксплуатации глобального события.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.