За год обнаружено более 390 тыс. фишинговых атак через облачные платформы

Решения «Лаборатории Касперского» за последний год — с августа 2025 по июль 2026 — заблокировали более 390 тысяч фишинговых ссылок*, размещенных на популярных облачных платформах. Чаще всего злоумышленники эксплуатировали Cloudflare Workers, Vercel, GitHub Pages и Netlify. Мошенники прибегают к такому методу, чтобы обойти многофакторную аутентификацию и избежать обнаружения защитными решениями.

Как происходят атаки. В качестве примера можно привести фишинговую кампанию, в которой злоумышленники использовали популярную облачную платформу Cloudflare Workers. Сначала мошенники рассылали электронные письма и под разными предлогами убеждали потенциальных жертв перейти по ссылке: например, пользователю якобы пишет коллега и просит посмотреть рабочие документы.    

Ссылка вела на страницу с фальшивым тестом CAPTCHA, где жертву просили ввести адрес своей корпоративной почты. Эти данные попадали в руки злоумышленников, а пользователя автоматические перенаправляли на URL-адрес .workers.dev: подобные адреса бесплатно предоставляет Cloudflare Workers. Адрес электронной почты пользователя передавался в хэше URL, чтобы следующая страница могла получить его без обращения к серверу злоумышленников — чтобы скрыть подозрительную активность. На следующей странице, размещенной на бесплатном поддомене Cloudflare Workers, жертву просили пройти еще один тест CAPTCHA, но уже настоящий, чтобы злоумышленники могли убедиться, что страницу посещает реальный человек. Он не интегрирован в HTML-код, а динамически встроен в страницу, что затрудняет обнаружение защитными решениями.  

После пользователь видел фальшивое окно, которое выглядело как стандартная форма входа в Microsoft Office 365 — с похожей адресной строкой и элементами управления. Для его создания злоумышленники использовали технику BiTB (Browser-in-the-Browser, атака на уровне подмены интерфейса). Ее суть в следующем: внутри легитимной веб-страницы открывается блок, стилизованный под настоящее всплывающее окно. Если ввести в нем имя пользователя, пароль и код для многофакторной аутентификации, встроенный скрипт перехватывал эту информацию, причем не только учетные данные, но и сессионные токены. Чтобы усыпить бдительность жертвы, после завершения пользователя перенаправляли на страницу с системной ошибкой.  

«Злоумышленники эксплуатируют возможности легитимных сервисов по нескольким причинам. Первая — у таких ресурсов хорошая репутация, и поэтому опубликованные на них фишинговые ссылки реже вызывают подозрения. Кроме того, у многих подобных платформ есть бесплатные тарифы, а регистрация аккаунтов занимает несколько минут. Также мошенники эксплуатируют встроенные механизмы защиты, чтобы избежать обнаружения. В случае с Cloudflare Workers была реализована многоэтапная атака с применением техник Adversary-in-the-Middle, или „злоумышленник посередине”, а также Browser-in-the-Browser, то есть атака на уровне подмены интерфейса. Это показывает, насколько изощренными становятся фишинговые схемы», — комментирует Ольга Алтухова, эксперт по кибербезопасности «Лаборатории Касперского».

«Лаборатория Касперского» рекомендует пользователям:

• с осторожностью проходите CAPTCHA — как правило, для проверки не требуется вводить личные данные (например, адрес электронной почты), это один из признаков мошенничества;
• обращайте внимание на неожиданные входящие запросы, даже если они поступают с доверенных доменов или страница отображает действительный SSL-сертификат;
• внимательно проверяйте URL в адресной строке основного окна браузера — при атаках типа BiTB злоумышленники могут создать фальшивое всплывающее окно и вписать в него любой адрес, в том числе легитимный. Однако реальная адресная строка по-прежнему будет отображать реальный домен злоумышленников;
• регулярно обновляйте браузер и другое ПО;
• используйте надежное защитное решение, которое в том числе блокирует переход на фишинговые ресурсы.

* Количество заблокированных ссылок на доменах облачных платформ и децентрализованных сетей (IPFS).