От 135 до 763 схем за год: как мошенники выстраивают цепочки атак и обходят защиту
За четыре года число разновидностей мошеннических схем, зафиксированных в российских открытых источниках, выросло с 135 за 2022 год до 763 за 2025-й. При этом мошенники часто действуют по повторяющемуся сценарию: начинают с бытового повода, получают код или доступ к аккаунту, подключают новых участников и под давлением заставляют человека перевести деньги, оформить кредит или передать имущество.
Таковы результаты исследования StopPhish, охватившего период с 1 января 2022 года по 30 июня 2026 года. После повторной проверки в итоговую базу вошли 5 083 публикации с доступными исходными источниками. Исследователи выделили 1 452 разновидности мошеннических схем. В 2 798 публикациях, или 55% выборки, описывались сценарии из нескольких последовательных этапов.
Для специалистов по информационной безопасности здесь есть практический вопрос: как строить защиту, если атака может начаться с безобидного сообщения, продолжиться в телефонном разговоре и закончиться действием, которое технические средства защиты уже не способны остановить?
Четыре года роста: что изменилось в открытых данных
В 2022 году StopPhish зафиксировал 389 публикаций о мошенничестве и 135 разновидностей схем. В 2023 году показатели выросли до 718 публикаций и 254 разновидностей, в 2024-м до 1 292 и 517 соответственно. За полный 2025 год в выборке оказалось 1 868 публикаций и 763 разновидности схем. За первое полугодие 2026 года исследователи учли ещё 816 публикаций и 428 разновидностей.
Рост числа публикаций нельзя напрямую приравнивать к росту реального количества преступлений: исследование отражает доступные открытые сообщения, а не полную статистику правоохранительных органов. На результат влияют освещение происшествий в СМИ, доступность источников и то, какие случаи попали в публичное поле. Данные за 2026 год охватывают только шесть месяцев, поэтому сравнивать их с полными годами некорректно.
Однако динамика разновидностей показывает, насколько широким стал набор сценариев, описанных в открытых источниках. Один и тот же замысел может использовать разные легенды, каналы связи и требования к жертве. В результате блокировка отдельного домена, номера телефона или способа перевода не закрывает всю схему.
Первый звонок может быть только началом
Телефонный звонок был первым каналом контакта в 3 171 публикации, или 62,4% базы StopPhish. На мессенджеры пришлось 814 публикаций, на социальные сети − 219, на электронную почту − 144. При этом исследователи учитывали именно первый канал связи: если затем мошенники переводили общение в другой сервис, повторный контакт в этой статистике не отражался.
Типичный многоэтапный сценарий начинается с бытового повода. Человеку звонят якобы из службы доставки, предлагают записаться к врачу или сообщают о другой привычной услуге. Под этим предлогом его просят назвать код из SMS. Затем появляется новый собеседник, который представляется сотрудником государственного органа, банка или правоохранительных органов и сообщает о взломе аккаунта. После этого начинается давление: человека убеждают, что его деньги в опасности, и требуют перевести их на «безопасный счёт».
В комментарии к исследованию УБК МВД России описывает аналогичную последовательность. Сначала злоумышленники звонят под предлогом решения бытовой задачи и добиваются передачи кода из SMS. При повторном контакте они представляются сотрудниками государственных организаций, правоохранительных органов, финансовых учреждений или операторов связи. Ссылаясь на ранее названный код, мошенники убеждают человека, что его учётная запись на «Госуслугах» скомпрометирована, а деньги находятся под угрозой. Затем под предлогом их защиты требуют перевести средства.
В исследовании StopPhish перевод на «безопасный счёт» указан среди самых распространённых поводов, с которых начинается контакт: с ним связаны 193 разновидности схем. Ещё 120 разновидностей начинались с сообщения о взломе аккаунта, 117 − с покупки, доставки или возврата. В 247 разновидностях мошенники добивались кода подтверждения, в 203 − предлагали перейти по ссылке или открыть сайт, в 302 − требовали перевести деньги.
Для ИБ-команд этот сценарий знаком по корпоративному фишингу: первоначальное действие само по себе может выглядеть неопасным. Пользователь открывает сообщение, передаёт код или входит в сервис, а затем злоумышленник использует полученный доступ для следующего этапа. Поэтому при разборе инцидента нужно восстанавливать всю последовательность действий, а не ограничиваться последним подозрительным письмом или операцией.
Обучение сотрудников как часть многоуровневой защиты
Александр Леонов, ведущий эксперт Positive Technologies, отмечает: даже регулярное антифишинговое обучение не исключает человеческих ошибок. Поэтому организация должна быть готова к ситуации, когда сотрудник всё-таки откроет опасную ссылку, передаст данные или запустит вредоносный файл.
При этом обучение остаётся важным элементом защиты. Чем лучше сотрудники распознают подозрительные сообщения, ссылки и вложения, тем выше вероятность, что атака остановится на первом этапе. Но устойчивый результат зависит и от других мер: технической проверки входящих сообщений, своевременного обновления рабочих станций, ограничения пользовательских привилегий, защиты конечных устройств и мониторинга подозрительной активности. Если атака всё же состоялась, у организации должен быть план восстановления инфраструктуры.
Многоэтапные сценарии из исследования StopPhish показывают, почему сотрудникам важно понимать не только признаки фишинга, но и логику действий злоумышленников. Мошенническая цепочка может начинаться с обычного звонка или сообщения, а затем переходить к краже учётных данных, захвату аккаунта и убеждению человека перевести деньги. Обучение помогает распознать манипуляцию и вовремя остановиться, а технические барьеры снижают возможный ущерб, если ошибка всё-таки произошла.
Для CISO это означает, что эффективность программы обучения стоит оценивать не только по результатам учебных фишинговых кампаний. Важно отслеживать, как меняется поведение сотрудников, умеют ли они распознавать актуальные сценарии атак и сообщать о подозрительных контактах. Эти данные следует рассматривать вместе с показателями технической защиты: какие угрозы блокируются на почтовом шлюзе, как обнаруживаются подозрительные входы и насколько быстро команда может ограничить доступ к скомпрометированной учётной записи.
Когда атака выходит из цифровой среды
В 1 381 публикации исследования упоминались курьер или личная передача ценностей. Обычно этот этап наступает после того, как человека уже убедили снять наличные, купить золото, оформить кредит или собрать семейные ценности. Таким образом, цифровой контакт может привести к физической передаче денег, которую невозможно остановить одной лишь блокировкой фишингового сайта.
Игорь Бедеров, основатель российской компании «Интернет-Розыск» и руководитель департамента информационно-аналитических исследований компании T.Hunter, отмечает, что переход к офлайн-этапу оставляет дополнительные следы для расследования. Помимо цифровой инфраструктуры первого контакта и финансовых операций, значение имеют геолокационные данные, записи с камер, сведения о перемещениях и особенности коммуникации участников. Эти данные помогают связать отдельные эпизоды в единую цепочку.
При этом задержание курьера не обязательно раскрывает всю схему. По оценке Бедерова, курьер часто занимает нижнее звено, тогда как организаторы, операторы колл-центров и участники, управляющие финансовыми потоками, представляют больший интерес для расследования. Поэтому специалистам важно сопоставлять цифровые данные с финансовыми и физическими следами.
Для корпоративной безопасности здесь есть параллель: расследование должно учитывать не только точку входа, но и дальнейшее развитие инцидента. Если сотрудник выполнил мошенническое поручение, нужно выяснить, какие аккаунты, документы, платёжные процессы и системы могли быть затронуты, а также проверить, не использовался ли тот же сценарий против других сотрудников.
Персонализация делает легенду убедительнее
В исследовании StopPhish чаще всего отмечались три психологических приёма: страх потери денег, страх уголовного преследования и доверие к авторитету. В 1 863 публикациях упоминался страх потерять средства, в 1 272 − страх уголовного преследования, в 1 171 − доверие к человеку, который говорит от имени известной организации. Ощущение срочности фигурировало в 500 публикациях.
Андрей Масалович, IT-специалист по информационной безопасности, OSINT и конкурентной разведке, известный как КиберДед, обращает внимание на роль цифрового следа. Публикации в социальных сетях, резюме, профессиональные профили и другие открытые сведения помогают злоумышленникам составить представление о человеке и подобрать убедительный повод для контакта. Например, сообщение от имени руководителя или партнёра может содержать детали текущего проекта, поездки или рабочей ситуации. Тогда обращение выглядит правдоподобнее массовой рассылки.
Для компаний это риск, выходящий за пределы почтового фишинга. Сведения о структуре подразделений, должностях, проектах и деловых контактах могут использоваться для подготовки адресных обращений к сотрудникам бухгалтерии, HR, ИТ и руководителям. Поэтому при проверке подозрительного запроса стоит оценивать не только адрес отправителя и текст сообщения, но и само требуемое действие: перевод денег, изменение реквизитов, выдачу доступа или передачу документов.
От статистики к моделированию угроз
Исследование StopPhish охватывает четыре с половиной календарных года, включая первое полугодие 2026-го, и описывает схемы, опубликованные в открытых источниках. Оно не претендует на подсчёт всех совершённых преступлений, зато даёт материал для анализа повторяющихся сценариев: от первого контакта и получения кода до компрометации аккаунта, финансовых потерь и передачи ценностей.
Для ИБ-специалиста практическая ценность такой базы в возможности сопоставить известные схемы с внутренними процессами компании. Например, проверить, можно ли изменить реквизиты по одной переписке, кто вправе подтверждать срочные платежи, какие ограничения сработают при компрометации учётной записи и как команда обнаружит переход атаки из одного канала связи в другой.
При моделировании угроз стоит учитывать и человеческий фактор, и технические последствия ошибки. Если сотрудник всё-таки поверит убедительной легенде, защитные механизмы должны ограничить доступ злоумышленника, дать команде сигнал об инциденте и помочь восстановить затронутые системы.
