B2B-скам: F6 раскрыла масштабную схему хищения средств международных компаний через сайты-двойники

B2B-мошенничество: F6 выявила масштабную схему хищения средств международных компаний через сайты-двойники

Компания F6, специализирующаяся на разработке технологий для борьбы с киберугрозами, раскрыла масштабную мошенническую кампанию, которая на протяжении более 9 лет использует сайты-двойники крупных российских предприятий. Эти поддельные ресурсы, созданные на английском, французском, арабском и русском языках, имитируют компании из химической, металлургической, нефтехимической, пищевой и финансовой отраслей.

Исследователи F6 обнаружили 98 фейковых доменов, которые использовались для атак на международных клиентов с целью хищения средств путем предоплаты за несуществующие товары.

Аналитики департамента Threat Intelligence и департамента расследований высокотехнологичных преступлений F6 представили результаты исследования мошеннической инфраструктуры. Сеть "сайтов-клонов" более 9 лет маскируется под официальные ресурсы крупных российских промышленных предприятий, производителей удобрений, нефтехимических компаний, металлургических предприятий, логистических операторов, банков и других организаций. Содержимое большинства фейковых ресурсов было скопировано с официальных сайтов компаний, а некоторые из них имели схожие доменные имена.

По данным аналитиков департамента Threat Intelligence F6, мошенническая кампания была нацелена в первую очередь на организации из СНГ, Ближнего Востока и Средней Азии, включая Казахстан, Узбекистан, Азербайджан, Турцию, Пакистан, ОАЭ, Таджикистан, Туркменистан, Афганистан и другие страны.

«Будьте осторожны, потеряете деньги!»

В отличие от массового фишинга, злоумышленники целенаправленно ориентировались на B2B-сегмент и международную торговлю. Они использовали "холодные звонки", фишинговые почтовые рассылки и поддельные корпоративные сайты для общения с потенциальными клиентами и отправки документов с банковскими реквизитами "дочерних" компаний.

Суть схемы заключалась в том, что преступники связывались с потенциальными клиентами и предлагали им перейти на фейковые ресурсы — точные копии официальных сайтов компаний, где были размещены измененные контактные данные. В некоторых случаях злоумышленники нанимали ничего не подозревающих менеджеров для "холодных" обзвонов, которые на финальном этапе заключения контракта передавали контакт "старшему менеджеру".

Затем потенциальный покупатель вступал в переписку со злоумышленниками, которые направляли ему коммерческое предложение, контракты и счета на оплату с подставными банковскими реквизитами.

В результате денежные средства перечислялись не настоящему поставщику, а мошенникам. Например, одна из жертв — компания из Азербайджана — заявила, что в апреле 2025 года потеряла около 150 тысяч долларов в результате фейковой сделки.

«В ходе исследования специалисты F6 выявили около ста мошеннических доменов, имитирующих предприятия химической, металлургической, нефтехимической, пищевой и финансовой отраслей, — отмечает технический руководитель департамента Threat Intelligence F6 Елена Шамшина. — Анализ показал, что значительная часть инфраструктуры связана между собой общими DNS-записями, IP-адресами и другими регистрационными данными, что указывает на единую кампанию».

Исследование также позволило установить связь части инфраструктуры с более ранними мошенническими кампаниями. Например, самый ранний выявленный домен был зарегистрирован в 2017 году и, вероятно, использовался атакующими с того времени.

Миграция доменов

Особое внимание аналитики F6 обратили на международный характер деятельности злоумышленников. Если в предыдущих подобных схемах использовались преимущественно локальные домены — в зоне .ru, то в новой кампании регистрируются сайты в международных доменных зонах (.com, .org, .net и других), а отдельные ресурсы имеют русскую, английскую, арабскую и французскую языковые версии.

«В ходе расследования специалисты F6 также обнаружили документы, включая коммерческие предложения (некоторые — на официальных бланках), контракты и счета, в которых использовались поддельные корпоративные адреса электронной почты и банковские реквизиты, — рассказала старший специалист департамента расследований высокотехнологичных преступлений Вера Коленикова. — Анализ этих файлов показал, что злоумышленники готовят полноценный комплект документов для сопровождения сделки и повышения доверия потенциальной жертвы. В результате жертва теряет деньги, а компании, чей бренд используют мошенники, несут репутационный ущерб. Для компаний, работающих на экспорт и импорт, независимая проверка контактных данных и платежной информации перед переводом средств становится одним из ключевых элементов безопасности».

Отметим, что после того, как некоторые из жертв опубликовали на своих официальных сайтах предупреждение о мошеннической активности, злоумышленники скопировали эти новости на свои поддельные сайты и меняли в предупреждении упоминание официального домена на мошеннический.

Компания F6 предупредила клиентов Threat Intelligence о потенциальной угрозе.

Рекомендации специалистов F6:

— Тщательно проверяйте контрагентов по независимым источникам, включая официальные корпоративные сайты, государственные реестры и отраслевые базы данных.

— Свяжитесь с головным офисом компании по официальным контактам, чтобы подтвердить информацию о дочерних компаниях, контактных лицах, банковских реквизитах и актуальности коммерческого предложения.

— Проверяйте домен и дату регистрации сайта поставщика. Недавно зарегистрированный домен или адрес, не совпадающий с официальным сайтом компании, могут свидетельствовать о мошенничестве.

— Используйте двойную проверку платежных реквизитов перед переводом средств, особенно если они отличаются от ранее использовавшихся или были изменены в ходе переписки.

— Не поддавайтесь давлению, если вас торопят с принятием решения или требуют немедленно перевести деньги — стоит приостановить сделку и провести дополнительные проверки.