Более 390 тысяч фишинговых ссылок на облачных платформах заблокированы решениями «Лаборатории Касперского»

Облачные сервисы стали новым инструментом фишинга: «Лаборатория Касперского» заблокировала более 390 тысяч вредоносных ссылок.

Фишинг выходит за пределы традиционных вредоносных доменов: злоумышленники всё чаще размещают поддельные страницы известных онлайн-сервисах. По итогам периода с августа 2025 по июль 2026 года защитные решения «Лаборатории Касперского» заблокировали более 390 тысяч подобных ссылок. Наиболее популярными площадками для атак стали Cloudflare Workers, Vercel, GitHub Pages и Netlify.

Главная причина такой тактики заключается в том, что мошенники стараются использовать репутацию известных сервисов в своих целях. Ссылки на легитимных облачных платформах выглядят менее подозрительно для пользователей и защитных систем, а бесплатные тарифы позволяют злоумышленникам быстро создавать новые страницы и менять инфраструктуру при обнаружении атак.

Кроме того, преступники активно используют встроенные механизмы защиты самих платформ, чтобы усложнить анализ и обнаружение вредоносной активности.

Как выглядит современная фишинговая атака с помощью облачных сервисов.

Один из примеров такой кампании связан с использованием Cloudflare Workers. Атака начиналась с массовой рассылки электронных писем, в которых злоумышленники под видом коллег или сотрудников компании предлагали пользователям перейти по ссылке. Например, письмо могло содержать просьбу открыть рабочий документ или проверить важную информацию.

Перейдя по ссылке, пользователь попадал на фальшивую страницу CAPTCHA с запросом корпоративного адреса электронной почты. После ввода этой информации данные передавались злоумышленникам, а затем происходило автоматическое перенаправление на веб-ресурс, размещённый на бесплатном домене сервиса Cloudflare Workers.

Для передачи адреса электронной почты злоумышленники использовали хэш URL. Это позволяло следующей странице получить данные без обращения к своему серверу.

Далее пользователь видел ещё одну проверку CAPTCHA. В отличие от первой, она была настоящей и динамически добавлялась на страницу. Такой механизм позволял злоумышленникам убедиться, что сайт посещает реальный человек, а также усложнял автоматическое обнаружение фишинговой страницы.

После прохождения проверки пользователь попадал на фейковый аккаунт Microsoft Office 365. Для её реализации киберпреступники применяли технику Browser-in-the-Browser (BiTB), которая позволяет создать внутри настоящего сайта имитацию всплывающего окна входа и визуально скрыть подмену.

В результате пользователь видел знакомый интерфейс входа и мог не заметить подмену. Если он вводил учётные данные для входа, включая пароль и код подтверждения MFA, данная информация перехватывались злоумышленниками вместе с сессионными токенами. Чтобы не вызвать подозрений у пользователя, по окончанию сбора данных киберпреступники показывали ему страницу с поддельным сообщением о системной ошибке.

Почему киберпреступники выбирают известные облачные сервисы

По словам экспертов «Лаборатории Касперского», использование легитимных сервисов стало одним из ключевых направлений развития современных фишинговых атак.

«Киберпреступники выбирают популярные облачные сервисы в качестве инструмента с целью атак не случайно. Данные ресурсы имеют высокий уровень доверия, поэтому ссылки на них реже вызывают подозрения у пользователей и защитных систем. При этом бесплатные тарифы и простая регистрация позволяют быстро создавать новые страницы для проведения кибератак.

В ситуации с Cloudflare Workers мы наблюдали многоэтапную схему с задействованием сразу нескольких техник, включая Adversary-in-the-Middle, или атаку “злоумышленник посередине”, и Browser-in-the-Browser, которая позволяет подделывать элементы интерфейса браузера. Подобные кампании показывают, что фишинг становится всё более сложным: злоумышленники не просто копируют страницы входа, а создают полноценные сценарии взаимодействия, рассчитанные на доверие пользователя», — рассказала Ольга Алтухова, эксперт по кибербезопасности «Лаборатории Касперского».

Полный анализ новой схемы фишинга с техническими деталями опубликован в исследовании на Securelist.

Рекомендации специалистов

Для снижения рисков заражения и компрометации учётных данных специалисты «Лаборатории Касперского» советуют:

• внимательно относиться к CAPTCHA-проверкам, особенно если они требуют указать персональные данные или корпоративный адрес электронной почты. Для обычной проверки личности такие данные чаще всего не нужны;
• не переходить по неожиданным ссылкам из писем и сообщений, даже при том что они ведут на известные сервисы или веб-ресурс имеет корректный SSL-сертификат;
• не забывайте проверять адрес сайта, отображаемый в основной адресной строке веб-обозревателя. При атаках Browser-in-the-Browser злоумышленники могут создать внутри страницы поддельное окно входа с любым адресом, однако настоящий URL браузера будет указывать на реальный домен мошенников;
• регулярно обновлять браузер, операционную систему и установленное программное обеспечение;
• применять современные средства защиты, которые анализируют не только репутацию доменов, но и содержимое страниц, скрипты и динамические элементы. Например, Kaspersky Premium помогает обнаруживать и ограничивает доступ к фишинговым сайтам.

* Указано количество фишинговых ссылок, заблокированных на доменах облачных платформ и в децентрализованных сетях (IPFS).

Хотите узнать больше о решениях Лаборатории Касперского? Обратитесь к нам за профессиональной консультацией.

Свяжитесь с нами сейчас по номеру +7 (495) 984-33-83 или отправьте заявку на нашу почту: shop@spectrasoft.ru и обеспечьте надежную кибербезопасность уже сегодня.