В 3 квартале 2026 года Microsoft стала наиболее часто подделываемым брендом в фишинговых атаках: на ее долю пришлось 33% всех попыток имитации брендов, зафиксированных Check Point Research (по сравнению с 23% во 2 квартале). Злоумышленники отдают предпочтение Microsoft, поскольку украденные учетные данные Microsoft могут открыть доступ ко всей корпоративной среде, включая электронную почту, файлы и инструменты для совместной работы, в то время как многие другие ведущие бренды в основном ведут к личным аккаунтам. Apple, Google, LinkedIn и Amazon вошли в пятерку лидеров, и вместе на эти бренды пришлось более половины всех попыток, что показывает, насколько сильно злоумышленники полагаются на небольшую группу надежных имен. Этот квартал также принес примеры того, как злоумышленники следуют за пользователями в инструменты искусственного интеллекта и средства разработки, такие как Claude и Google Antigravity, а также как они идут дальше кражи паролей, убеждая жертв самостоятельно запускать команды терминала или устанавливать программное обеспечение для удаленного доступа.
Ключевые выводы
- Лидерство Microsoft резко возросло. На долю Microsoft пришлось 33% всех попыток фишинга брендов по сравнению с 23% в 2 квартале 2026 года, что примерно в четыре раза превышает долю любого другого бренда.
- Apple поднялась на второе место. Apple поднялась на две позиции, набрав 8% и разделив третье место с Google, в то время как LinkedIn опустилась на две позиции до четвертого места с 6%.
- Dropbox и YouTube стали лидерами роста. Dropbox подпрыгнул на десять позиций и занял восьмое место, а YouTube поднялся на пять позиций и занял шестое место, причем оба бренда вошли в топ-10 в этом квартале.
- Технологии остались наиболее атакуемой отраслью. Злоумышленники чаще всего выдавали себя за технологические бренды, за ними следуют социальные сети и банки — сектор, в котором люди хранят свои самые ценные аккаунты.
- Инструменты ИИ и разработки стали новой приманкой. Злоумышленники выдавали себя за Claude с помощью фальшивого письма о сбое платежа и за Google Antigravity с помощью вредоносной команды установки, нацеливаясь на пользователей, работающих с ИИ и платформами программирования.
Какие бренды чаще всего подделывались в фишинговых атаках в 3 квартале 2026 года?
Microsoft возглавила рейтинг за 3 квартал 2026 года с большим отрывом, ее доля составила 33%, что примерно в четыре раза превышает показатели Apple и Google, занявших второе и третье места соответственно. Самыми заметными новичками в нижней части списка стали Dropbox, поднявшийся извне топ-10 на восьмое место, и YouTube, поднявшийся на пять позиций до шестого места.
За какие отрасли злоумышленники выдавали себя чаще всего?
Технологии стали самой имитируемой отраслью в 3 квартале 2026 года, за ними следуют социальные сети и банки. Такой порядок отражает то, где люди хранят свои самые ценные учетные записи: рабочую почту и облачное хранилище, профили в социальных сетях и свои деньги.
Как выглядели фишинговые атаки на бренды в этом квартале?
Приведенные ниже примеры показывают спектр тактик, зафиксированных Check Point Research: от поддельных уведомлений о выставлении счетов за ИИ до похожих страниц поддержки, которые обманом заставляют посетителей запускать вредоносные команды на собственных компьютерах.
Claude: поддельное сообщение о сбое платежа
Фишинговое письмо, отправленное в октябре 2026 года, имитирует Claude — ИИ-помощника от Anthropic — и утверждает, что платеж по аккаунту получателя не может быть обработан. Сообщение поступает с неавторизованного адреса billing-update@account-notif[.]com, использует брендинг Claude и Anthropic и имеет тему «Payment failed for your Claude account» («Платеж по вашему аккаунту Claude не прошел»). В нем говорится, что платеж в размере 500,00 евро за текущий расчетный период был отклонен, и предупреждается, что доступ к API и места в Claude будут приостановлены, если способ оплаты не будет обновлен. Кнопка «Update payment method» («Обновить способ оплаты») добавляет срочности и приводит получателей к мошеннической процедуре обновления платежных данных, подвергая риску как их финансовые данные, так и учетные данные аккаунта.
Google Antigravity: вредоносная команда установки
Веб-сайт antigravity-ide-google[.]com был зарегистрирован в сентябре 2026 года и имитирует Google Antigravity, платформу разработки агентного программного обеспечения от Google. Посетителям показывается команда установки для Linux, которая выглядит легитимной, но на самом деле декодирует и запускает команду, закодированную в Base64. Эта команда загружает и выполняет сценарий оболочки (shell script) с внешнего сервера, предоставляя злоумышленнику удаленное выполнение кода (RCE) в системе жертвы.
Apple: фальшивая статья службы поддержки, нацеленная на пользователей Mac
Веб-сайт apple-support[.]today был зарегистрирован в сентябре 2026 года и тщательно имитирует официальный сайт Apple, включая брендинг Apple, меню навигации и контент о производительности Mac. Посетители попадают на статью под названием «Boost your Mac using the terminal» («Ускорьте ваш Mac с помощью терминала»), которая обещает лучшую производительность с помощью команд терминала с явным намерением заставить пользователей запустить вредоносные команды в собственных системах. Поскольку страница очень похожа на собственный сайт Apple, пользователи могут предположить, что совет является подлинным и одобрен Apple. Легитимный сайт службы поддержки Apple — support.apple.com.
Docusign: поддельное обновление ридера, которое устанавливает программное обеспечение для удаленного доступа
Набор из нескольких сайтов со схожими характеристиками, имитирующих Docusign, начал регистрироваться в сентябре 2026 года (первый домен — docusigninstalleradmin[.]help) и продолжился в начале октября несколькими другими подобными сайтами (например, docusignsinstaller[.]help). Недавний активный сайт показывает то, что выглядит как документ, ожидающий проверки и подписи, вместе с запросом «Update Required» («Требуется обновление»), утверждающим, что для его открытия необходимо обновление Docusign Reader. Нажатие кнопки «Продолжить» загружает fleetdeck_installer, инструмент удаленного управления. FleetDeck — это легитимный продукт для удаленного мониторинга и управления (RMM), но его распространение через поддельный сайт Docusign предполагает, что целью является получение несанкционированного удаленного доступа к устройству жертвы.
Как организации могут защититься от фишинга брендов?
Имитация бренда работает потому, что она эксплуатирует доверие к знакомым именам, а не изъян в программном обеспечении. Поскольку генеративный ИИ помогает злоумышленникам создавать убедительные электронные письма и поддельные веб-сайты в больших масштабах, эти атаки будут продолжать расти в объеме и изощренности, что делает предотвращение гораздо более ценным, чем ликвидация последствий. На практике это означает:
- Остановку фишинговых сообщений на лету, до того как они попадут в почтовый ящик.
- Использование обнаружения на базе ИИ для более точного выявления имитации бренда, компрометации корпоративной почты, сбора учетных данных, QR-код-фишинга и атак, созданных с помощью ИИ, чем это может сделать ручная проверка.
- Защиту Microsoft 365, Google Workspace и инструментов для совместной работы с единой платформы для снижения операционной сложности.
- Автоматизацию расследования и реагирования, чтобы команды безопасности быстрее разрешали реальные угрозы.
- Мониторинг инструментов удаленного управления, которые не были одобрены ИТ-отделом, поскольку злоумышленники могут злоупотреблять легитимным программным обеспечением RMM для получения доступа.
Check Point Email Security объединяет эти возможности, сочетая встроенную превентивную защиту с обнаружением угроз на базе ИИ для пресечения сложных фишинговых атак до того, как они достигнут пользователей.
Защита также должна выходить за рамки почтового ящика, поскольку большинство фишинговых страниц начинаются как копии реальных. Сканирование открытого, глубокого и темного интернета на предмет похожих доменов и клонированных страниц входа в сочетании с быстрым процессом удаления позволяет закрывать фальшивые сайты до того, как клиенты передадут свои учетные данные или данные банковских карт. Check Point’s Exposure Management выявляет 66% фишинговых атак, созданных на основе скопированных страниц, и удовлетворяет запросы на удаление с успехом более 99%, причем большинство из них — в течение 12 часов.
_(1)_(1).png)
