В сентябре зрители телеканала в Пенсильвании получили текстовое сообщение с призывом «подтвердить свой профиль избирателя». Расследователям телеканала не удалось выяснить, кто его отправил, а ссылка была помечена как вредоносное ПО. Когда исследователи Check Point Exposure Management перешли по ссылке, она привела на страницу политического сбора средств.
Этот небольшой эпизод отражает главный вывод нашего отчета об угрозах промежуточным выборам в США 2026 года. Избирателям становится все труднее отличать настоящие сообщения от поддельных, и злоумышленники пользуются этим сомнением.
Настоящая и фальшивая рассылки выглядят одинаково
В период с июля по сентябрь избиркомы в Род-Айленде и Вашингтоне предупредили избирателей о поддельных электронных письмах и текстовых сообщениях с просьбой подтвердить данные регистрации. Секретарь штата Коннектикут предупредил о поддельных письмах, использующих его имя. Письмо из Род-Айленда было отправлено с адреса, который объединял два реальных доменных имени штата, и в нем содержалась угроза лишения лицензии в течение 24 часов. Регистрация не имеет никакого отношения к лицензии, но установленный срок заставлял людей кликать по ссылке, не проверяя информацию.
Рисунок 1: Письмо о регистрации избирателей, о котором сообщила избирательная комиссия округа Хейс
Подлинная политическая агитация использует тот же стиль. В Техасе округ Хейс предупредил жителей о рассылке, оформленной как официальное уведомление о регистрации, с QR-кодом, ведущим на сайт для сбора личных данных. Отправителем, судя по всему, является реальная сторонняя регистрационная группа, и избирательные комиссии в Северной Каролине и Джорджии выражали обеспокоенность по поводу ее рассылок в июле. В Джорджии небольшое новостное издание приняло фишинговое письмо о сборе средств за мошенничество, поскольку в нем утверждалось, что «файл верификации избирателя» получателя был помечен во время системного аудита.
Подобная путаница играет на руку злоумышленникам. У избирателя, который убедился, что одно странное сообщение оказалось подлинным, остается меньше оснований ставить под сомнение следующее, даже если оно является фальшивым.
Скомпрометированные данные делают подделки правдоподобными
Сообщение, в котором содержатся личные сведения о вас, вызывает доверие. 31 августа продавец под ником Nexus разместил на русскоязычном форуме объявление о продаже сканов документов, удостоверяющих личность более чем 170 млн человек в США и Канаде, включая более 153 млн водительских удостоверений. Большинство штатов запрашивают номер лицензии при онлайн-регистрации, поэтому сообщение, в котором приводятся эти данные, может выглядеть так, будто оно поступило из избирательной комиссии.
Рисунок 2: Объявление Nexus, опубликованное на другом форуме даркнета и выявленное Check Point Exposure Management
Другие утечки указывают в том же направлении. Исследователи Check Point Exposure Management обнаружили девять учетных данных, связанных с адресами электронной почты Государственной избирательной комиссии Оклахомы, некоторые из которых были опубликованы в сентябре. Мы не можем сказать, работают ли пароли до сих пор, но сами по себе эти адреса облегчают задачу злоумышленникам по выбору целей среди сотрудников избирательных комиссий. В июле Белый дом заявил, что Китай и его прокси купили, украли или взломали данные о регистрации избирателей примерно 220 млн американцев, хотя официальный представитель администрации отметил, что разведывательное сообщество не может подтвердить, какая часть была получена тем или иным способом.
Мошенники следят за новостями
В течение нескольких часов после выступления 9 сентября, в котором президент Трамп пообещал выплату в размере 5000 долларов в случае сохранения республиканцами контроля над Конгрессом, фишинговые СМС-сообщения приглашали получателей «получить» деньги. Офис шерифа округа Ламар в Техасе предупредил жителей, что государственные выплаты не поступают по ссылкам из нежелательных текстовых сообщений.
Исследователи Check Point Exposure Management также обнаружили фишинговые сайты, копирующие Kalshi и Polymarket с тематикой промежуточных выборов на страницах, а также 281 домен с общим идентификатором аналитики, которые продают мерчандайзинг под именами кандидатов от обеих партий. Мы не знаем, являются ли эти магазины вредоносными, но оформление заказа происходит прямо на сайте, поэтому сторонник вводит данные своей карты на странице, управляемой неизвестным оператором.
Видео добавляет еще один уровень угрозы. Смонтированные ролики с участием знаменитостей и новостными логотипами призывали зрителей не голосовать за определенную партию, и исследователи, на которых ссылается AFP, приписали их российской операции по дезинформации. Кандидаты также использовали в рекламе созданные с помощью ИИ версии своих оппонентов, причем, по данным Национальной конференции законодательных собраний штатов, законы о политических дипфейках требуют лишь заявления о раскрытии информации, а не полного запрета.
Чего мы не увидели и что делать дальше
Исследователи Check Point Exposure Management не зафиксировали никакой активности, направленной против систем голосования или подсчета голосов. В период с 1 сентября по 1 октября около 4394 новых доменов содержали слово «vote» («голосовать»), а 1036 — слово «election» («выборы»). Мы пока не обнаружили на них активного фишинга, но новые домены часто пустуют до последних недель перед выборами.
Таблица 1: Новые домены, содержащие термины, связанные с выборами, собранные Check Point Exposure Management
Избиратели могут обезопасить себя, соблюдая несколько простых правил:
- Переходите на официальный сайт избирательной комиссии штата или округа напрямую, вместо того чтобы использовать ссылку, QR-код или номер телефона из сообщения.
- Не полагайтесь на адрес отправителя или точные личные данные, так как скомпрометированные данные могут содержать и то, и другое.
- Воспринимайте спешку как повод сбавить обороты и установите PIN-код у своего мобильного оператора, чтобы никто не смог перенести ваш номер на другое устройство.
По мере приближения дня выборов
По мере приближения Дня выборов исследователи Check Point рекомендуют опираться на официальные местные избирательные каналы для получения достоверной информации и обновлений. Избирателям следует остерегаться похожих доменов, неожиданных сообщений, связанных с выборами, и запросов конфиденциальной информации. В то же время избирательные комиссии могут усилить безопасность, отслеживая утечки учетных данных и требуя многофакторную аутентификацию, а кандидаты и штабы должны четко идентифицировать себя во всех обращениях к избирателям.
Исследователи Check Point Exposure Management выявляют мошенничества, связанные с выборами, путем мониторинга форумов в даркнете, вновь зарегистрированных доменов и утечек учетных данных. Эта платформа дает службам безопасности такой же внешний взгляд на свои организации, помогая им выявлять и устранять риски до того, как злоумышленники смогут их использовать.
В ближайшие недели нас ждет еще больше легитимных обращений от кандидатов и, потенциально, еще больше мошеннических сообщений, созданных для их имитации. Независимо от того, являетесь ли вы избирателем, сотрудником избирательного штаба или официальным лицом, несколько секунд, потраченных на проверку сообщения перед началом действий, могут сыграть решающую роль.
Читайте полный отчет от Check Point Exposure Management для ознакомления со всеми выводами, анализом и рекомендациями.
