Microsoft зафиксировала рост объёма почтового фишинга на 41% в сентябре

С июля по сентябрь 2026 года Microsoft зафиксировала около 7,3 млрд фишинговых угроз, распространявшихся по электронной почте. В сентябре объём достиг почти 3 млрд сообщений, что на 41% больше, чем в августе.

Фишинг с QR-кодами и CAPTCHA

В третьем квартале обнаружили около 12,1 млн атак с QR-кодами. Это на 67% меньше, чем во втором квартале, и на 86% ниже мартовского пика. Основным способом доставки QR-кодов оставались PDF-вложения, однако в течение квартала их чаще размещали непосредственно в теле письма.

Фишинг с CAPTCHA снова набрал объём: в сентябре зафиксировали 3,1 млн атак, почти вдвое больше, чем в июле. В таких атаках чаще использовали SVG-вложения. Их доля выросла с 17% в июле до 65% в августе, а в сентябре осталась высокой и составила 49%.

Кража учётных данных оставалась основным риском, связанным с вредоносными вложениями. По оценкам, в 94–96% атак, основанных на загрузке полезной нагрузки, пользователей перенаправляли на фишинговые сайты или показывали им поддельные страницы входа, а не устанавливали вредоносное ПО. Около 129 млн сообщений использовали подмену доменов отслеживаемых бизнес-сервисов.

Исключения из политик и вредоносные звонки

В сентябре для 63% сообщений, по которым был зафиксирован результат проверки безопасности, на уровне арендатора или пользователя применили исключения из политик безопасности. Эти сообщения не прошли проверки аутентификации и были классифицированы как вредоносные.

Microsoft также зафиксировала около 141 000 попыток вредоносных звонков в Teams. В них использовались прямое взаимодействие, выдача себя за других, совместное использование экрана и средства удалённой поддержки. Злоумышленники стремились получить удалённый доступ, украсть учётные данные или скомпрометировать устройства с непосредственным управлением с клавиатуры (hands-on-keyboard). Факт попытки не подтверждает, что получатели вступили во взаимодействие или были скомпрометированы.

После нарушения работы платформы фишинга как услуги Tycoon2FA объём связанных с ней сообщений оставался значительно ниже прежнего уровня. В июле зафиксировали около 21 000 таких сообщений, на 99,8% меньше, чем в феврале.

Две кампании с разными способами доставки

В августе кампания, нацеленная на юридические организации, использовала персонализированные документы Word с обзором заработной платы и QR-кодами. Коды вели на поддельную страницу OneDrive, которая запускала аутентификацию Microsoft с помощью кода устройства. Завершение этого процесса могло предоставить атакующим сеансовый токен и постоянный доступ к Microsoft 365 без раскрытия пароля.

В сентябре испаноязычные приманки в виде заказов на покупку и расчётных ведомостей доставляли Agent Tesla в архивах RAR с вводящими в заблуждение именами и расширениями файлов. В одном варианте использовались загрузчик на JavaScript и полезная нагрузка PowerShell, в другом находился замаскированный исполняемый файл. Agent Tesla часто применяют для кражи учётных данных и другой информации о хосте.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.