Group-IB: хакеры начали собственный чемпионат мира по футболу и уже охотятся за фанатами

До старта Чемпионата мира по футболу ФИФА 2026 остаются считаные дни, а киберпреступники уже развернули массовую кампанию обмана болельщиков. Group-IB, FortiGuard Labs и ФБР фиксируют тысячи поддельных доменов, копии официального портала ФИФА с украденной системой авторизации и фальшивые сервисы продажи билетов с расчётом в криптовалюте. Потенциальный ущерб одной только схемы с VIP-пакетами оценивается в сотни миллионов долларов.

Выбор цели у преступников понятен. По оценкам организаторов, более 6 миллионов человек собираются посетить 16 городов в США, Канаде и Мексике. ФИФА сообщила, что за первые 15 дней продаж получила свыше 150 миллионов заявок — спрос превысил предложение примерно в 30 раз. Дефицит, ажиотаж и желание попасть на матч любой ценой создают для мошенников комфортную среду.

Специалисты Group-IB обнаружили более 4300 доменов, связанных с тематикой турнира, регистрация которых началась с августа 2025 года. Центром всей инфраструктуры стала группа GHOST STADIUM — китайскоязычная преступная организация, ориентированная исключительно на прибыль. Один набор фишинговых инструментов применялся более чем на 300 отдельных сайтах-двойниках портала ФИФА — фактически собран конвейер по выпуску поддельных страниц.

Качество подделок выходит за рамки привычного фишинга. Фальшивая страница повторяет внешний вид ФИФА.com и воспроизводит систему единого входа на базе PingIdentity со скопированным идентификатором клиента настоящего сервиса. Часть графики и визуального оформления подгружается напрямую с серверов ФИФА — страница выглядит естественно и обходит инструменты защиты, которые обычно распознают полную копию ресурса.

Настоящая цель операции — не продажа несуществующих билетов. Поддельная форма предлагает выполнить восстановление доступа к аккаунту, после чего злоумышленники получают логин и пароль, меняют учётные данные и выбрасывают владельца из профиля. Привязанные к аккаунту билеты затем перепродают на теневых площадках.

Основной трафик на ресурсы идёт через рекламу в Facebook. Дополнительно ссылки распространяются через Telegram, WhatsApp и поисковые системы. Одинаковые аналитические идентификаторы связывают сотни отдельных сайтов в единую инфраструктуру.

Какие способы расчёта предлагают мошеннические площадки ФИФА-тематики:

• оплата банковской картой через подменный платёжный шлюз;
• сторонние сервисы денежных переводов вроде Chime и Nequi;
• локальные мексиканские платёжные платформы;
• автоматическая конвертация карточного платежа в криптовалюту;
• прямой расчёт цифровыми активами без участия банка.

Group-IB обращает внимание, что официальная билетная система ФИФА криптовалюту не использует вообще. Настойчивое предложение рассчитаться цифровыми активами — практически гарантированный признак обмана.

По оценке аналитиков, ущерб только от мошенничества с VIP-пакетами и премиальными билетами может составить от 71 до 474 миллионов долларов, а суммарные потери способны исчисляться миллиардами. Эти расчёты основаны на изученной инфраструктуре и не являются официальной статистикой подтверждённых убытков.

Картина не ограничивается одной группой. FortiGuard Labs сообщили, что с января по май зарегистрировано более 13 000 доменов, связанных с турниром, и порядка 8,8% уже признаны вредоносными или подозрительными. ФБР выпустило отдельное предупреждение со списком десятков поддельных ресурсов — от адресов с орфографическими отличиями от официального домена до полностью фальшивых страниц с вакансиями. Количество подобных площадок будет расти по мере приближения старта.

Продажа билетов оказалась лишь одной частью индустрии обмана вокруг ФИФА 2026. Что ещё нашли исследователи:

• интернет-магазины с контрафактной атрибутикой и сувенирами;
• сервисы для просмотра трансляций, после оплаты устанавливающие на устройство вредоносное ПО;
• поддельные букмекерские площадки, собирающие фотографии документов и селфи;
• рассылки Bitdefender о выигрышах в фиктивной лотерее ФИФА с выплатами до 2 миллионов долларов;
• более тысячи фиктивных аккаунтов в социальных сетях для распространения ссылок.

Ранее уже сообщалось, что мошенники начали подготовку к продаже поддельных билетов на чемпионат мира по футболу. По данным специалистов, с начала года было обнаружено почти 3 тыс. потенциально мошеннических доменов с упоминанием турнира, зарегистрированных в различных доменных зонах. Покупка билетов через такие сайты может обернуться для пользователей потерей крупных денежных сумм.

Болельщикам стоит покупать билеты исключительно на FIFA.com, сверять адрес страницы перед вводом данных, отказываться от любых расчётов в криптовалюте и игнорировать письма о неожиданных выигрышах в лотереях, в которых никто не участвовал.

* Корпорация Meta, владеющая WhatsApp и Facebook, признана экстремистской организацией и запрещена на территории Российской Федерации.