Фишинговые кампании к ЧМ-2026 угрожают билетам и данным

Чемпионат мира по футболу 2026 года уже становится не только крупнейшим спортивным событием, но и заметным триггером для киберпреступников. На фоне повышенного спроса на билеты, мерчандайз и временную занятость злоумышленники развернули масштабные phishing campaigns, ориентированные прежде всего на mobile users. По данным отчета, атаки социальной инженерии используют ажиотаж вокруг турнира и уязвимость аудитории, которая спешит приобрести билеты или откликнуться на предложения о работе.

Три ключевые кампании: билеты, мерчандайз и найм

В отчете выделены три основные схемы, каждая из которых нацелена на свою группу жертв:

• Ticket fraud — мошенничество с продажей билетов;
• RetailPhish — фишинг, связанный с продажей мерчандайза;
• OffsideHire — схема обмана, замаскированная под recruitment.

Общий принцип у всех кампаний один: злоумышленники создают ощущение срочности, рассылая сообщения через SMS и social media. Такой подход провоцирует эмоциональную реакцию и заставляет пользователей переходить по вредоносным ссылкам без должной проверки источника.

Поддельные домены и институциональный спуфинг

Для обмана пользователей применяются Typosquatting и institutional spoofing. В частности, упоминаются поддельные домены, такие как fifa-tickets.vip, которые визуально и по смыслу имитируют официальные ресурсы. Подобные сайты рассчитаны на тех, кто отчаянно пытается купить билеты и поэтому менее критично оценивает URL и структуру страницы.

В случае с ticket fraud мошеннические сайты почти не отличаются от легитимных платформ. Это позволяет злоумышленникам выманивать конфиденциальные личные и финансовые данные, а также проводить взаимодействие с жертвой на протяжении всего «покупочного» сценария. По сути, пользователь проходит реалистичный путь оформления заказа, не подозревая, что находится на фишинговой площадке.

RetailPhish: атака на фанатов мерчандайза

Кампания RetailPhish использует другой психологический фактор — желание фанатов купить атрибутику команды, особенно когда билеты становятся дефицитными. Злоумышленники создают сайты, которые имитируют легитимные бренды, включая Nike и Adidas, и нередко скрывают свою инфраструктуру за Cloudflare, чтобы усложнить обнаружение.

Дополнительную устойчивость этим операциям придает быстрая регистрация доменов и использование прокси-сервисов конфиденциальности. Шаблонные URL-адреса адаптируются под разные языки и регионы, что позволяет масштабировать кампании практически без задержек.

OffsideHire: фишинг под видом вакансий

Наиболее тревожной эксперты называют кампанию OffsideHire, поскольку она эксплуатирует интерес к временной занятости, связанной с Чемпионатом мира по футболу. В этом случае фишинговые сайты маскируются под законные рекрутинговые процессы и используются для сбора учетных данных, в том числе из корпоративных аккаунтов Google Workspace.

Сайт построен таким образом, чтобы облегчить атаку Man-in-the-Middle (AiTM). Это позволяет перехватывать учетные данные в реальном времени и потенциально открывает путь к более глубокому проникновению в корпоративные сети.

«Стратегия злоумышленников рассчитана на то, чтобы обойти обычные корпоративные меры безопасности и перехватить пользователей вне периметра, в том числе на personal devices», — следует из логики отчета.

Почему традиционной защиты недостаточно

Авторы отчета подчеркивают: эти кампании целенаправленно работают вне стандартных корпоративных барьеров, включая firewalls. Поскольку взаимодействие часто происходит через личные устройства, подключенные к ресурсам компании, традиционные меры защиты оказываются недостаточными для своевременного выявления атаки.

В связи с этим организациям рекомендуют внедрять решения для mobile threat detection and prevention, способные отслеживать подозрительную активность в real time. Такой подход помогает не только блокировать вредоносные переходы, но и защищать конфиденциальные данные от компрометации.

Вывод

Чемпионат мира по футболу 2026 года уже стал удобной площадкой для масштабных phishing campaigns. Спрос на билеты, мерчандайз и временную работу формирует благоприятную среду для social engineering, а сочетание Typosquatting, institutional spoofing и AiTM-методов делает атаки особенно опасными. Для бизнеса и обычных пользователей это означает одно: внимание к ссылкам, доменам и источникам сообщений становится критически важным.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.