Международная операция прервала работу сети, стоявшей за 1 миллиардом фишинговых сообщений

Международная коалиция правоохранительных органов и отраслевых партнёров объявила о ликвидации крупной киберпреступной экосистемы, которая обеспечивала функционирование одной из самых масштабных фишинговых инфраструктур в мире. По данным следствия, через неё было разослано более одного миллиарда вредоносных сообщений, а целью злоумышленников стали свыше 75 000 организаций в 150 странах. Операция такого масштаба демонстрирует, что фишинг давно перестал быть делом одиночек и превратился в отлаженный преступный бизнес с собственной инфраструктурой, сервисами и разделением ролей.

Подробности

Согласно опубликованной информации, речь идёт о disruption — скоординированном пресечении деятельности целой сети, обслуживавшей массовые фишинговые кампании. Инфраструктура выступала в роли «фабрики» вредоносных рассылок: через неё злоумышленники доставляли фишинговые письма, нацеленные на сотрудников организаций по всему миру. Масштаб — более миллиарда сообщений и десятки тысяч атакованных организаций — указывает на то, что сервис использовался множеством группировок, а не одной командой. Подобные экосистемы обычно работают по модели «фишинг как услуга»: операторы предоставляют готовые панели управления кампаниями, шаблоны поддельных страниц, средства обхода защитных фильтров и инфраструктуру для сбора украденных учётных данных. Это снижает порог входа для атакующих — даже неопытные злоумышленники получают доступ к инструментам промышленного уровня. Именно поэтому ликвидация не отдельной кампании, а всей стоящей за ней сети имеет принципиальное значение: она бьёт по фундаменту, на котором строились сотни атак одновременно. Следствие подчёркивает международный характер операции — в ней участвовали правоохранительные органы и партнёры из разных стран. Это логично: фишинговая инфраструктура традиционно распределена по множеству юрисдикций, использует арендованные серверы, домены-однодневки и легитимные облачные сервисы, что затрудняет её блокировку силами одной страны.

Что делать

Даже после столь крупного пресечения расслабляться не стоит: фишинговые экосистемы быстро восстанавливаются, а их операторы — перегруппировываются. Организациям рекомендуется: - усилить фильтрацию входящей почты и настроить проверки SPF, DKIM и DMARC для доменов компании; - внедрить и повсеместно использовать MFA — это резко снижает ценность украденных паролей; - проводить регулярное обучение сотрудников распознаванию фишинга и симулировать атаки; - ограничить доступ к критичным системам с помощью принципа наименьших привилегий и сегментации сети; - следить за индикаторами компрометации, публикуемыми в рамках операции, и проверять по ним логи; - обеспечить мониторинг подозрительных входов и аномальной активности учётных записей. Итог: глобальная операция нанесла серьёзный удар по одной из крупнейших фишинговых инфраструктур, но устойчивая защита строится не на разовых победах правоохранителей, а на системной гигиене безопасности внутри каждой организации.

Источник: BleepingComputer