Предупреждение об операции по счету? Последний день обслуживания мобильного номера? Это уже классика.
Но если вы думаете, что фантазия и способности мошенников на этом заканчиваются, то увы. В 2024 году жертвами стали несколько гигантских и, казалось бы, хорошо защищенных компаний.
Лето 2024 года. Париж готовится принять Олимпийские игры, а миллионы болельщиков по всему миру мечтают стать частью этого грандиозного праздника спорта. Именно в этот момент группа восточноевропейских киберпреступников запускает одну из самых масштабных и изощренных фишинговых кампаний в истории — операцию Ticket Heist.
За считанные недели мошенники создали впечатляющую инфраструктуру обмана: более 700 поддельных доменов, таких как paris2024-tickets.com и olympic-entry.net, каждый из которых был практически неотличим от официальных сайтов. SSL-сертификаты, идеальное копирование дизайна, многоязычный контент на 12 языках — все это создавало иллюзию подлинности. Преступники даже установили цены чуть ниже официальных, чтобы привлечь больше жертв.
Распространение ссылок на фейковые сайты осуществлялось через таргетированную рекламу в социальных сетях, массовые рассылки (более пяти миллионов электронных писем) и даже SEO-оптимизацию для попадания в топ поисковой выдачи. Технические уловки включали использование динамической системы доменов и ботнетов, что позволяло обходить блокировки и усложняло обнаружение мошенничества.
Типичный сценарий обмана выглядел так. Иван, менеджер из Москвы, всегда мечтал попасть на Олимпиаду. Увидел сайт с билетами со скидкой 40%, не раздумывал, заплатил 500 евро. А потом понял, что его обманули.
Международная операция полиции привела к аресту 23 подозреваемых и блокировке более 500 банковских счетов, связанных с мошенниками. Олимпийский комитет был вынужден выпустить специальное предупреждение для болельщиков.
Ticket Heist стала горьким уроком для тысяч болельщиков и напоминанием о том, что даже в погоне за мечтой нельзя терять бдительность. Всегда проверяйте источник информации, особенно когда речь идет о крупных покупках в интернете. Ведь, как показала эта история, цена доверчивости может оказаться слишком высокой.
Февраль 2024 года. Сан-Франциско. В офисах Twilio, гиганта облачных коммуникаций, царит обычная рабочая атмосфера. Никто из 500 сотрудников, получивших в этот день SMS-сообщения от якобы корпоративного IT-отдела, не подозревает, что вот-вот станет участником одной из самых изощренных фишинговых атак года.
Злоумышленники тщательно подготовились. Они создали поддельные сайты, до мельчайших деталей имитирующие систему единого входа Twilio. Использовали технику подмены номера отправителя (SMS spoofing), делая SMS неотличимыми от легитимных корпоративных сообщений. Каждое нажатие на ссылку в этих сообщениях открывало дверь в святая святых компании — ее внутренние системы.
В результате 76 сотрудников попались на удочку, а их учетные данные оказались в руках хакеров. Но истинный масштаб бедствия стал ясен позже. Под угрозой оказались данные 163 клиентов Twilio — компаний, доверивших свои коммуникации этому технологическому гиганту.
В ходе выяснилось, что хакеры использовали фишинговые сообщения, информируя сотрудников о «просроченных паролях» и «изменениях в расписании», которые указывали на домены, содержащие слова «Twilio», «Okta» и «SSO».
Атака была частью более масштабной кампании, названной экспертами «0ktapus». Целью злоумышленников было получение идентификационных данных Okta и кодов двухфакторной аутентификации. Эта схема позволила хакерам не только проникнуть в системы Twilio, но и потенциально получить доступ к данным множества других компаний, использующих ее услуги.
Двенадцать часов потребовалось команде безопасности Twilio, чтобы обнаружить вторжение. Начался настоящий кибер-блицкриг: блокировка скомпрометированных аккаунтов, усиление систем аутентификации, масштабный внутренний аудит. Каждая минута была на счету, ведь на кону стояла не только репутация Twilio, но и безопасность данных миллионов пользователей их клиентов.
В июле 2024 года произошло еще одно значительное событие для Twilio, когда хакеры использовали уязвимость в API приложения Authy — популярного инструмента двухфакторной аутентификации. В результате этой атаки было раскрыто 33 миллиона телефонных номеров пользователей Authy. Злоумышленники смогли получить к данным через незащищенный API-эндпоинт, что повысило риск фишинговых атак на пользователей.
В марте 2024 года мир кибербезопасности вновь столкнулся с угрозой, напоминающей о печально известном вирусе-вымогателе Petya. Новая версия, получившая название Petya 2.0, начала распространяться с ужасающей скоростью и вскоре привела к серьезным последствиям для многих компаний по всему миру.
Атака началась с фишинговых писем, которые злоумышленники тщательно замаскировали под важные корпоративные уведомления. Эти письма содержали вложения с вредоносным ПО, которое активировалось при открытии. Как только вирус попадал на компьютер, он начинал шифровать файлы и требовать выкуп в биткоинах для восстановления доступа. В отличие от предыдущих версий, Petya 2.0 также использовал уязвимости в протоколе SMB (Server Message Block), что позволяло ему быстро распространяться по корпоративным сетям.
Способы распространения включали фишинговые письма с вложениями — более 500 000 таких писем было отправлено по всему миру. Злоумышленники использовали уязвимости в системах безопасности, такие как EternalBlue, и распространяли вирус по локальным сетям через зараженные компьютеры.
В результате атаки пострадали более 100 крупных организаций в Европе и США, включая финансовые учреждения и компании из сферы здравоохранения. Оценки убытков варьировались от 5 до 50 миллионов долларов для отдельных компаний. Вирус не только шифровал данные, но и мог повредить системы резервного копирования, что усложняло восстановление.
После обнаружения вируса многие компании начали немедленно отключать свои системы от сети и проводить аудит безопасности. Были приняты меры по усилению защиты: обновление антивирусного ПО и систем безопасности, а также проведение тренингов для сотрудников по распознаванию фишинговых писем и других угроз. Некоторые компании также обратились за помощью к экспертам по кибербезопасности для анализа инцидента и предотвращения повторных атак.
из компании Positive Technologies отметили, что Petya 2.0 использует как хакерские методы, так и стандартные утилиты системного администрирования для обеспечения высокой скорости распространения внутри сети. Специалисты из Group-IB также подчеркивают, что этот вирус был создан с целью максимального ущерба для организаций.
Возрождение Petya в 2024 году стало напоминанием о том, что киберугрозы продолжают эволюционировать. Эта атака подчеркнула важность постоянного обновления систем безопасности и обучения сотрудников для минимизации рисков в условиях постоянно меняющегося киберландшафта.
В мае 2024 года произошла одна из самых значительных утечек данных, затронувшая облачную платформу Snowflake. Хакерская группа ShinyHunters осуществила атаку на несколько клиентов Snowflake, в результате которой было украдено огромное количество конфиденциальной информации. Атака была организована с использованием украденных учетных данных, которые были получены через инфостилеры — вредоносные программы, предназначенные для кражи логинов и паролей. Злоумышленники использовали учетные данные, которые были ранее скомпрометированы на других системах, и не имели многофакторной аутентификации, что значительно упростило доступ к аккаунтам.
По данным исследования от , хакеры получили доступ к аккаунтам Snowflake клиентов, используя украденные учетные данные, которые были проданы на черном рынке. Эти учетные данные были получены из различных источников, включая зараженные компьютеры и системы третьих лиц. Утечка данных затронула более 30 миллионов записей, включая 560 миллионов записей клиентов Ticketmaster, 30 миллионов записей клиентов Santander, 2,3 миллиона записей клиентов Advance Auto Parts и 28 миллионов номеров кредитных карт. Среди украденной информации оказались имена, номера социального страхования, номера водительских удостоверений, данные банковских счетов, а также контактная информация и даты рождения.
Однако с изданием Wired один из злоумышленников заявил, что одной из таких компаний-подрядчиков была EPAM Systems — компания по разработке программного обеспечения и оказанию цифровых услуг с годовым доходом около 4,8 миллиардов долларов. Хакер утверждает, что его группе удалось использовать данные, найденные в системе сотрудников EPAM, для получения доступа к некоторым учетным записям в Snowflake.
После обнаружения утечки Snowflake приняла меры для повышения безопасности своих систем. Компания начала требовать от клиентов внедрения многофакторной аутентификации для защиты аккаунтов. В своем официальном заявлении Snowflake подчеркнула важность соблюдения базовых стандартов кибербезопасности и необходимость защиты данных пользователей.
В ответ на инцидент Advance Auto Parts сообщила, что начала расследование и приняла меры для предотвращения дальнейших несанкционированных доступов. В результате атаки компания подтвердила компрометацию данных более двух миллионов клиентов, что привело к необходимости уведомления соответствующих органов и пострадавших.
Использование технологий машинного обучения также становится все более распространенным среди злоумышленников: по данным Labs, количество атак с использованием ИИ увеличилось на 25% за последний год. Это свидетельствует о том, что киберпреступники активно используют новые технологии для повышения эффективности своих атак.
В 2024 году количество фишинговых атак в России увеличилось почти в четыре раза по сравнению с предыдущим годом. По данным TAdviser, рост числа фишинговых ресурсов составил 425%, а заблокировано было более 22 тысяч таких сайтов. Также отмечается, что около 80% кибератак начались с фишинговых рассылок, а использование мессенджеров для распространения фишинга стало особенно актуальным из-за растущей аудитории этих платформ.
В 2024 году количество преступных схем с использованием дипфейков выросло на 3 000%, что делает эти технологии одним из самых серьезных инструментов для киберпреступников. Дипфейки позволяют злоумышленникам создавать высококачественные подделки видео и аудио, которые могут вводить в заблуждение даже самых внимательных сотрудников.
Например, мошенники могут использовать дипфейки для имитации голосов руководителей компаний, чтобы обманом заставить сотрудников передать конфиденциальные данные или перевести средства. По данным , убытки россиян от кибермошенничества в 2024 году могут составить 300 млрд рублей, и значительная часть этих потерь связана с использованием дипфейков в фишинговых атаках.
Интересно, что по прогнозам аналитиков, глобальный рынок дипфейков достигнет 79,1 миллиона долларов к концу 2024 года, что подчеркивает растущую популярность и доступность этой технологии для злоумышленников.
SPF (Sender Policy Framework) позволяет владельцам доменов указывать, какие почтовые серверы имеют право отправлять почту от их имени. Это помогает предотвратить подделку адресов отправителей.
DKIM (DomainKeys Identified Mail) позволяет подписывать электронные письма криптографической подписью, что подтверждает их подлинность и целостность.
DMARC (Domain-based Message Authentication, Reporting & Conformance) строится на базе SPF и DKIM и позволяет владельцам доменов определять, как почтовые серверы должны обрабатывать сообщения, которые не прошли проверку подлинности. DMARC также предоставляет механизмы отчетности, позволяя организациям отслеживать попытки фишинга.
Но если вы думаете, что фантазия и способности мошенников на этом заканчиваются, то увы. В 2024 году жертвами стали несколько гигантских и, казалось бы, хорошо защищенных компаний.
Олимпийская афера Ticket Heist: как мошенники похитили мечты и миллионы
Лето 2024 года. Париж готовится принять Олимпийские игры, а миллионы болельщиков по всему миру мечтают стать частью этого грандиозного праздника спорта. Именно в этот момент группа восточноевропейских киберпреступников запускает одну из самых масштабных и изощренных фишинговых кампаний в истории — операцию Ticket Heist.
За считанные недели мошенники создали впечатляющую инфраструктуру обмана: более 700 поддельных доменов, таких как paris2024-tickets.com и olympic-entry.net, каждый из которых был практически неотличим от официальных сайтов. SSL-сертификаты, идеальное копирование дизайна, многоязычный контент на 12 языках — все это создавало иллюзию подлинности. Преступники даже установили цены чуть ниже официальных, чтобы привлечь больше жертв.
Распространение ссылок на фейковые сайты осуществлялось через таргетированную рекламу в социальных сетях, массовые рассылки (более пяти миллионов электронных писем) и даже SEO-оптимизацию для попадания в топ поисковой выдачи. Технические уловки включали использование динамической системы доменов и ботнетов, что позволяло обходить блокировки и усложняло обнаружение мошенничества.
Типичный сценарий обмана выглядел так. Иван, менеджер из Москвы, всегда мечтал попасть на Олимпиаду. Увидел сайт с билетами со скидкой 40%, не раздумывал, заплатил 500 евро. А потом понял, что его обманули.
Международная операция полиции привела к аресту 23 подозреваемых и блокировке более 500 банковских счетов, связанных с мошенниками. Олимпийский комитет был вынужден выпустить специальное предупреждение для болельщиков.
Ticket Heist стала горьким уроком для тысяч болельщиков и напоминанием о том, что даже в погоне за мечтой нельзя терять бдительность. Всегда проверяйте источник информации, особенно когда речь идет о крупных покупках в интернете. Ведь, как показала эта история, цена доверчивости может оказаться слишком высокой.
Как хакеры проникли в сердце Twilio
Февраль 2024 года. Сан-Франциско. В офисах Twilio, гиганта облачных коммуникаций, царит обычная рабочая атмосфера. Никто из 500 сотрудников, получивших в этот день SMS-сообщения от якобы корпоративного IT-отдела, не подозревает, что вот-вот станет участником одной из самых изощренных фишинговых атак года.
Злоумышленники тщательно подготовились. Они создали поддельные сайты, до мельчайших деталей имитирующие систему единого входа Twilio. Использовали технику подмены номера отправителя (SMS spoofing), делая SMS неотличимыми от легитимных корпоративных сообщений. Каждое нажатие на ссылку в этих сообщениях открывало дверь в святая святых компании — ее внутренние системы.
В результате 76 сотрудников попались на удочку, а их учетные данные оказались в руках хакеров. Но истинный масштаб бедствия стал ясен позже. Под угрозой оказались данные 163 клиентов Twilio — компаний, доверивших свои коммуникации этому технологическому гиганту.
В ходе выяснилось, что хакеры использовали фишинговые сообщения, информируя сотрудников о «просроченных паролях» и «изменениях в расписании», которые указывали на домены, содержащие слова «Twilio», «Okta» и «SSO».
Атака была частью более масштабной кампании, названной экспертами «0ktapus». Целью злоумышленников было получение идентификационных данных Okta и кодов двухфакторной аутентификации. Эта схема позволила хакерам не только проникнуть в системы Twilio, но и потенциально получить доступ к данным множества других компаний, использующих ее услуги.
Двенадцать часов потребовалось команде безопасности Twilio, чтобы обнаружить вторжение. Начался настоящий кибер-блицкриг: блокировка скомпрометированных аккаунтов, усиление систем аутентификации, масштабный внутренний аудит. Каждая минута была на счету, ведь на кону стояла не только репутация Twilio, но и безопасность данных миллионов пользователей их клиентов.
В июле 2024 года произошло еще одно значительное событие для Twilio, когда хакеры использовали уязвимость в API приложения Authy — популярного инструмента двухфакторной аутентификации. В результате этой атаки было раскрыто 33 миллиона телефонных номеров пользователей Authy. Злоумышленники смогли получить к данным через незащищенный API-эндпоинт, что повысило риск фишинговых атак на пользователей.
Petya вернулся и требует биткоины
В марте 2024 года мир кибербезопасности вновь столкнулся с угрозой, напоминающей о печально известном вирусе-вымогателе Petya. Новая версия, получившая название Petya 2.0, начала распространяться с ужасающей скоростью и вскоре привела к серьезным последствиям для многих компаний по всему миру.
Атака началась с фишинговых писем, которые злоумышленники тщательно замаскировали под важные корпоративные уведомления. Эти письма содержали вложения с вредоносным ПО, которое активировалось при открытии. Как только вирус попадал на компьютер, он начинал шифровать файлы и требовать выкуп в биткоинах для восстановления доступа. В отличие от предыдущих версий, Petya 2.0 также использовал уязвимости в протоколе SMB (Server Message Block), что позволяло ему быстро распространяться по корпоративным сетям.
Способы распространения включали фишинговые письма с вложениями — более 500 000 таких писем было отправлено по всему миру. Злоумышленники использовали уязвимости в системах безопасности, такие как EternalBlue, и распространяли вирус по локальным сетям через зараженные компьютеры.
В результате атаки пострадали более 100 крупных организаций в Европе и США, включая финансовые учреждения и компании из сферы здравоохранения. Оценки убытков варьировались от 5 до 50 миллионов долларов для отдельных компаний. Вирус не только шифровал данные, но и мог повредить системы резервного копирования, что усложняло восстановление.
После обнаружения вируса многие компании начали немедленно отключать свои системы от сети и проводить аудит безопасности. Были приняты меры по усилению защиты: обновление антивирусного ПО и систем безопасности, а также проведение тренингов для сотрудников по распознаванию фишинговых писем и других угроз. Некоторые компании также обратились за помощью к экспертам по кибербезопасности для анализа инцидента и предотвращения повторных атак.
из компании Positive Technologies отметили, что Petya 2.0 использует как хакерские методы, так и стандартные утилиты системного администрирования для обеспечения высокой скорости распространения внутри сети. Специалисты из Group-IB также подчеркивают, что этот вирус был создан с целью максимального ущерба для организаций.
Возрождение Petya в 2024 году стало напоминанием о том, что киберугрозы продолжают эволюционировать. Эта атака подчеркнула важность постоянного обновления систем безопасности и обучения сотрудников для минимизации рисков в условиях постоянно меняющегося киберландшафта.
Атака на Snowflake: масштабная утечка данных
В мае 2024 года произошла одна из самых значительных утечек данных, затронувшая облачную платформу Snowflake. Хакерская группа ShinyHunters осуществила атаку на несколько клиентов Snowflake, в результате которой было украдено огромное количество конфиденциальной информации. Атака была организована с использованием украденных учетных данных, которые были получены через инфостилеры — вредоносные программы, предназначенные для кражи логинов и паролей. Злоумышленники использовали учетные данные, которые были ранее скомпрометированы на других системах, и не имели многофакторной аутентификации, что значительно упростило доступ к аккаунтам.
По данным исследования от , хакеры получили доступ к аккаунтам Snowflake клиентов, используя украденные учетные данные, которые были проданы на черном рынке. Эти учетные данные были получены из различных источников, включая зараженные компьютеры и системы третьих лиц. Утечка данных затронула более 30 миллионов записей, включая 560 миллионов записей клиентов Ticketmaster, 30 миллионов записей клиентов Santander, 2,3 миллиона записей клиентов Advance Auto Parts и 28 миллионов номеров кредитных карт. Среди украденной информации оказались имена, номера социального страхования, номера водительских удостоверений, данные банковских счетов, а также контактная информация и даты рождения.
Однако с изданием Wired один из злоумышленников заявил, что одной из таких компаний-подрядчиков была EPAM Systems — компания по разработке программного обеспечения и оказанию цифровых услуг с годовым доходом около 4,8 миллиардов долларов. Хакер утверждает, что его группе удалось использовать данные, найденные в системе сотрудников EPAM, для получения доступа к некоторым учетным записям в Snowflake.
После обнаружения утечки Snowflake приняла меры для повышения безопасности своих систем. Компания начала требовать от клиентов внедрения многофакторной аутентификации для защиты аккаунтов. В своем официальном заявлении Snowflake подчеркнула важность соблюдения базовых стандартов кибербезопасности и необходимость защиты данных пользователей.
В ответ на инцидент Advance Auto Parts сообщила, что начала расследование и приняла меры для предотвращения дальнейших несанкционированных доступов. В результате атаки компания подтвердила компрометацию данных более двух миллионов клиентов, что привело к необходимости уведомления соответствующих органов и пострадавших.
Тенденции и статистика
Согласно отчету Cybersecurity & Infrastructure Security Agency ( ), количество фишинговых атак увеличилось на 33% в 2024 году по сравнению с предыдущим годом. Более 60% организаций сообщили о том, что они стали жертвами фишинга хотя бы один раз за последний год. Кроме того, исследование от показало, что 94% всех вредоносных программ приходят через электронную почту.Использование технологий машинного обучения также становится все более распространенным среди злоумышленников: по данным Labs, количество атак с использованием ИИ увеличилось на 25% за последний год. Это свидетельствует о том, что киберпреступники активно используют новые технологии для повышения эффективности своих атак.
В 2024 году количество фишинговых атак в России увеличилось почти в четыре раза по сравнению с предыдущим годом. По данным TAdviser, рост числа фишинговых ресурсов составил 425%, а заблокировано было более 22 тысяч таких сайтов. Также отмечается, что около 80% кибератак начались с фишинговых рассылок, а использование мессенджеров для распространения фишинга стало особенно актуальным из-за растущей аудитории этих платформ.
В 2024 году количество преступных схем с использованием дипфейков выросло на 3 000%, что делает эти технологии одним из самых серьезных инструментов для киберпреступников. Дипфейки позволяют злоумышленникам создавать высококачественные подделки видео и аудио, которые могут вводить в заблуждение даже самых внимательных сотрудников.
Например, мошенники могут использовать дипфейки для имитации голосов руководителей компаний, чтобы обманом заставить сотрудников передать конфиденциальные данные или перевести средства. По данным , убытки россиян от кибермошенничества в 2024 году могут составить 300 млрд рублей, и значительная часть этих потерь связана с использованием дипфейков в фишинговых атаках.
Интересно, что по прогнозам аналитиков, глобальный рынок дипфейков достигнет 79,1 миллиона долларов к концу 2024 года, что подчеркивает растущую популярность и доступность этой технологии для злоумышленников.
Как защититься от фишинга
Фишинг — одна из самых распространенных и опасных форм киберугроз. Для эффективной защиты от него необходимо применять комплексный подход. Он включает технологии защиты, обучение сотрудников и мониторинг.SPF, DKIM и DMARC
Эти технологии помогают защитить корпоративную почту от подделки и фишинговых атак.SPF (Sender Policy Framework) позволяет владельцам доменов указывать, какие почтовые серверы имеют право отправлять почту от их имени. Это помогает предотвратить подделку адресов отправителей.
DKIM (DomainKeys Identified Mail) позволяет подписывать электронные письма криптографической подписью, что подтверждает их подлинность и целостность.
DMARC (Domain-based Message Authentication, Reporting & Conformance) строится на базе SPF и DKIM и позволяет владельцам доменов определять, как почтовые серверы должны обрабатывать сообщения, которые не прошли проверку подлинности. DMARC также предоставляет механизмы отчетности, позволяя организациям отслеживать попытки фишинга.
