«Мамонт» стал курьером: мошенники предлагают доставку товара через популярный сервис и похищают деньги

Компания F6, российский разработчик технологий для борьбы с киберугрозами, зафиксировала новый сценарий мошеннической схемы «Мамонт», в котором киберпреступники действуют под брендом популярного интернет-сервиса. Главная цель злоумышленников – пользователи, которые покупают и продают товары через платформы бесплатных объявлений. Мошенники предлагают воспользоваться услугами «Яндекс Доставки» для отправки либо получения груза и перевода денег, а затем присылают ссылку на фальшивые сайты сервиса, на которых просят ввести данные банковской карты и подтвердить её привязку к номеру телефона. Аналитики F6 обнаружили более 20 поддельных сайтов, связанных с этой схемой и предназначенных для обмана пользователей в России и Казахстане. В мошеннических группах, работающих по схеме с фейковой доставкой, зарегистрированы более 3000 воркеров, а средняя сумма ущерба пользователей составляет 11 тыс. рублей.

«Вы продаёте славянский шкаф?»

«Мамонт» – популярная мошенническая схема, которую киберпреступники используют уже более шести лет. Летом 2026 года аналитики департамента защиты от цифровых рисков (Digital Risk Protection) компании F6 зафиксировали сценарий «Мамонта», в котором скамеры действуют от имени бренда «Яндекс Доставка». Злоумышленники используют как минимум 21 фейковый сайт, они созданы в период с мая по июль 2026 года и нацелены на пользователей сервисов бесплатных объявлений в России и Казахстане. Для обмана покупателей товаров предназначены 18 поддельных ресурсов (86%), остальные — для обмана продавцов. В мошеннических группах, работающих по схеме с фейковой доставкой, зарегистрированы более 3000 воркеров, а средняя сумма ущерба пользователей составляет 11 тыс. рублей.

Самый распространённый сценарий «Мамонта» почти не меняется. Злоумышленники размещают в сервисах бесплатных объявлений предложения о продаже товаров по низким ценам, через фишинговые сайты похищают у покупателей данные их банковских карт, а затем — и деньги. Роли могут меняться, и тогда мошенники выступают в роли покупателей.

Первый этап сценария обмана, в котором злоумышленники используют бренд «Яндекс Доставки», типичен для схемы «Мамонт». Мошенник под видом покупателя откликается на объявление — например, о продаже мебели, пишет, что готов приобрести товар, спрашивает, сможет ли продавец его отправить. А затем предлагает воспользоваться услугами «Яндекс Доставки» и присылает скриншоты якобы официального сайта сервиса с условиями оплаты товара. Преступники направляют именно скриншоты, а не ссылку на оригинальный сайт сервиса доставки, чтобы пользователь не заподозрил обмана.

На следующем этапе, если продавец соглашается на условия мошенника, ему присылают ссылку, по которой предлагают перейти для получения денег от «покупателя».

«Утром – деньги, вечером — стулья»

Ссылка ведёт на поддельный сайт сервиса. На странице в формате трек-листа, на котором отображаются все этапы доставки, сообщается, что «покупатель» якобы оплатил товар и доставку, и предлагается сразу, до передачи товара в доставку, получить деньги.

Такое предложение противоречит обычному порядку безопасных сделок. В тех случаях, когда служба доставки выступает посредником в передаче денег за товар, как правило, сумма «замораживается» на счёте площадки до того, как покупатель заберёт посылку.

После того, как продавец нажимает кнопку «Получить деньги», ему предлагают «подтвердить личность», для чего требуют сначала указать данные банковской карты, включая номер, срок действия, держателя и CVV-код, а также привязанный к карте номер телефона. Сбор этих сведений мошенники объясняют заботой о продавце: «Это нужно, что мы отправили деньги именно вам».

В следующем окне, которое открывается после этого сообщения, от пользователя требуют пройти «верификацию» и указать сумму на балансе карты «с точностью до копеек» (даже в сценариях, нацеленных на пользователей в Казахстане). Такой запрос якобы нужен для «проверки» карты, но на самом деле преступники запрашивают точную сумму, чтобы одним или несколькими переводами похитить всю сумму со счёта.

Ключевой этап обмана — когда на следующей странице от пользователя просят ввести код из СМС под предлогом того, что карта привязана к номеру телефону. На самом деле это код подтверждения от банковского сервиса. Если пользователь укажет код, злоумышленники сразу же получат доступ к его банковскому счёту.

В контактах ресурса, используемого для обмана продавцов в этом сценарии, указан несуществующий адрес электронной почты с доменом yandex.kz и официальный Telegram-бот поддержки сервиса «Яндекс Доставка».

«Подтвердите вашу карту»

Схема обмана покупателей, в которой злоумышленники используют популярный бренд, строится иначе. Под видом продавца мошенник присылает ссылку на фальшивый сайт, через который предлагает оплатить товар после его получения. На первый взгляд, всё безопасно. Однако под предлогом подтверждения заказа от покупателя требуют «подтвердить заказ», а для этого — «верифицировать карту на Yandex».

После нажатия кнопки «Подтвердить заказ» пользователь переходит на фишинговый сайт, замаскированный под платёжный сервис известного банка. Задача этого ресурса – получить от потенциального покупателя данные банковской карты.

В доменах фальшивых сайтов, используемых в этой схеме, злоумышленники используют различные вариации бренда с различными опечатками: например, yandex-doctavym[.]website, dostavka-y[.]website, yandex-dostavkoy[.]website, yandex-dostavkuy[.]website. Как и прежде, злоумышленники создают такие фейковые сайты через специальные Telegram-боты.

С момента появления схема «Мамонт» строится на использовании популярных брендов. Например, в 2025 году преступники, работающие по этой схеме, использовали для прикрытия 50 брендов, почти все — российских компаний. При этом мошенники постоянно дополняют список новыми брендами. В случае успешного обмана пользователей бренд используют дальше, а некоторые перестают использовать через несколько месяцев после первого применения.

Только за полтора года, с июля 2024 года по декабрь 2025-го, злоумышленники, работающие по схеме «Мамонт» и действующие против пользователей в России, похитили у них более 1 млрд рублей. По данным F6, среди самых опасных схем обмана «Мамонт» занимает второе место по количеству успешных атак после телефонного мошенничества.

«Опасность схемы «Мамонт» в том, что она нацелена на всех, кто пользуется сервисами бесплатных объявлений — как продавцов, так и покупателей. Фальшивые сайты для скама и фишинга маскируют под популярные бренды, которые пользователи знают и доверяют им. Современные технологии позволяют киберпреступникам за короткое время создавать десятки и сотни таких сайтов. В таких условиях перед брендами, которые атакуют злоумышленники, возникает задача не только обнаружить подобные ресурсы сразу после их создания, но и принять меры для ограничения доступа к мошенническим сайтам, чтобы защитить от них пользователей», — говорит Вячеслав Ходоров, аналитик второй линии CERT департамента Digital Risk Protection компании F6.

Рекомендации специалистов F6 по защите от мошенничества при покупке и продаже товаров

Будьте внимательны! Большие скидки на товары на сайтах бесплатных объявлений — один из признаков возможного лота-приманки, созданного мошенниками.

Для переписки с продавцом или покупателем, оформления доставки и оплаты используйте только чаты сайтов бесплатных объявлений. Не соглашайтесь перенести диалог в мессенджеры.

Если вы уже на финальном этапе покупки либо продажи товара, убедитесь, что находитесь на официальном сайте сервиса. Если домен сайта хотя бы одним символом отличается от оригинального, лучше не совершайте на нём никаких действий и закройте страницу — она может быть поддельной.

Перепроверяйте информацию, которую вам сообщает покупатель или продавец: какой сервис? какие условия? что потребуется для этого?

Если это известный сервис, то узнайте официальное название домена, например через верифицированные аккаунты бренда в социальных сетях.

Не переходите по подозрительным ссылкам.

Проверяйте домены сайтов с помощью whois-сервисов. Обращайте внимание на статус домена и кто регистрант, если информация скрыта и домен имеет статус — «не верифицирован» (not verified), то это тревожный сигнал.

Доверяйте только проверенным источникам.

Если вы обнаружили подозрительный сайт, отправьте ссылку или сообщение на платформу «Антифишинг». Специалисты F6 проверят информацию и передадут её регуляторам для блокировки.