«Лаборатория Касперского обнаружила более 390 тыс. фишинговых атак с использованием облачных платформ за последний год

Эксперты «Лаборатории Касперского» обнаружили за последний год — с августа 2025-го по июль 2026-го — более 390 тыс. фишинговых атак*, в которых использовались популярные облачные платформы. Чаще всего злоумышленники эксплуатировали CloudflareWorkers, Vercel, GitHubPages и Netlify. Они размещали на подобных ресурсах фишинговые ссылки, в частности, чтобы обойти многофакторную аутентификацию и избежать обнаружения защитными решениями.

Как происходят атаки. В качестве примера можно привести фишинговую кампанию, в которой злоумышленники использовали популярную облачную платформу CloudflareWorkers. Сначала мошенники рассылали электронные письма и под разными предлогами убеждали потенциальных жертв перейти по ссылке: например, пользователю якобы пишет коллега и просит посмотреть рабочие документы.

Ссылка вела на страницу с фальшивым тестом CAPTCHA, где жертву просили ввести адрес своей корпоративной почты. Эти данные попадали в руки злоумышленников, а пользователя автоматически перенаправляли на URL-адрес workers.dev, подобные адреса бесплатно предоставляет CloudflareWorkers. Адрес электронной почты пользователя передавался в хэше URL, чтобы следующая страница могла получить его без обращения к серверу злоумышленников, чтобы скрыть подозрительную активность. На следующей странице, размещенной на бесплатном поддомене CloudflareWorkers, жертву просили пройти еще один тест CAPTCHA, но уже настоящий, чтобы злоумышленники могли убедиться, что страницу посещает реальный человек. Он не интегрирован в HTML-код, а динамически встроен в страницу, что затрудняет обнаружение защитными решениями.

После пользователь видел фальшивое окно, которое выглядело как стандартная форма входа в Microsoft Office 365 с похожей адресной строкой и элементами управления. Для его создания злоумышленники использовали технику BiTB (Browser-in-the-Browser, атака на уровне подмены интерфейса). Ее суть в следующем: внутри легитимной веб-страницы открывается блок, стилизованный под настоящее всплывающее окно. Если ввести в нем имя пользователя, пароль и код для многофакторной аутентификации, то встроенный скрипт перехватывал эту информацию, причем не только учетные данные, но и сессионные токены. Чтобы усыпить бдительность жертвы, после завершения пользователя перенаправляли на страницу с системной ошибкой.

«Злоумышленники эксплуатируют возможности легитимных сервисов по нескольким причинам. Первая — у таких ресурсов хорошая репутация, поэтому опубликованные на них фишинговые ссылки реже вызывают подозрения. Кроме того, у многих подобных платформ есть бесплатные тарифы, а регистрация аккаунтов занимает несколько минут. Мошенники эксплуатируют также встроенные механизмы защиты, чтобы избежать обнаружения. В случае с CloudflareWorkers была реализована многоэтапная атака с применением техник Adversary-in-the-Middle, или «злоумышленник посередине», а также Browser-in-the-Browser, то есть атака на уровне подмены интерфейса. Это показывает, насколько изощренными становятся фишинговые схемы», — комментирует Ольга Алтухова, эксперт по кибербезопасности «Лаборатории Касперского».

Прочитать полный текст исследования можно на сайте Securelist.

«Лаборатория Касперского» рекомендует пользователям:

— с осторожностью проходите CAPTCHA, как правило, для проверки не требуется вводить личные данные (например, адрес электронной почты), это один из признаков мошенничества;

— обращайте внимание на неожиданные входящие запросы, даже если они поступают с доверенных доменов или страница отображает действительный SSL-сертификат;

* внимательно проверяйте URL в адресной строке основного окна браузера: при атаках типа BiTB злоумышленники могут создать фальшивое всплывающее окно и вписать в него любой адрес, в том числе легитимный. Однако реальная адресная строка по-прежнему будет отображать реальный домен злоумышленников;

— регулярно обновлять браузер и другое ПО;

— использовать надежное защитное решение, которое в том числе блокирует переход на фишинговые ресурсы, такое как KasperskyPremium. Оно не только проверяет репутацию домена, но и скрипты страниц и динамические ресурсы.

* Количество заблокированных ссылок на доменах облачных платформ и децентрализованных сетей (IPFS).