Группа компаний "Солар", основываясь на данных центра мониторинга внешних цифровых угроз Solar AURA, сообщила о десятипроцентном росте количества фишинговых ресурсов за первые шесть месяцев 2026 г. Однако выросла и скорость блокировок мошеннических сайтов: если раньше в среднем на нее уходило 22 часа, то теперь 3,5, а доля ресурсов, заблокированных в течение суток, поднялась с 54% до 81%.

Директор по развитию центра мониторинга внешних цифровых угроз Solar AURA Александр Вураско сообщил ComNews, что успехи в борьбе с фишерами стали возможны благодаря внедрению автоматизации выявления и блокировки их доменов. По его словам, участие человека в этом процессе стало минимальным, а сервис Solar AURA самостоятельно обнаруживает фишинговые ресурсы и направляет их (в том числе по API) на разделегирование в соответствующие организации. Помимо этого, у компании есть опыт работы с самыми разными площадками, она противодействует фишингу во многих юрисдикциях (не только в России) и работает с зарубежными регистраторами и хостерами, которые стали оперативнее реагировать на запросы.

"Если говорить конкретно про динамику этого полугодия - в марте-апреле мы столкнулись с парой крупных автоматизированных фишинговых кампаний. Мы быстро выработали для них оптимальную стратегию противодействия, и такие сайты стали блокироваться уже в течение часа после появления. В июне их сменили новые кампании, ориентированные на другие бренды, для которых стратегия еще нарабатывалась - из-за этого, например, медианный срок блокировки в июне вырос до почти пяти часов", - отметил он.

Председатель совета по противодействию технологическим правонарушениям КС НСБ России, основатель компании "Интернет-Розыск" (входит в ГК "Киберсистема") Игорь Бедеров заметил, что рост количества фишинговых ресурсов - не столько следствие технического прогресса злоумышленников, сколько результат грамотной реинфраструктуризации. По его словам, кибермошенники массово покинули зону .ru и перешли в зарубежные домены.

"Если в 2025 г. на .com приходилось всего 3% выявленных ресурсов, то в первой половине 2026 г. - уже 56%. Доля зоны .ru сократилась с 21% до менее чем 1%. Фактически фишинг мимикрирует под легитимный международный трафик, что затрудняет его выявление и блокировку на уровне российских регистраторов. Ускорение блокировки - это результат работы государственной системы "Антифрод", запущенной в полноценном режиме с 1 марта 2026 г., и пилотного проекта по внесудебной блокировке фишинговых сайтов, стартовавшего в июне 2025 г. Роскомнадзор в марте 2026 г. заблокировал более 10 тыс. фишинговых ресурсов, в мае - свыше 7 тыс. Это уже не ручная верификация, а конвейер, где ЦМУ ССОП, ЦБ и операторы связи обмениваются данными в автоматизированном режиме", - отметил он.

Аналогичную динамику зафиксировала и аналитик исследовательской группы АО "Позитив Текнолоджис" Анна Вяткина. По ее словам, во втором квартале 2026 г. фишинговые сайты фигурировали в 34% успешных атак на организации с применением социальной инженерии, тогда как в первом квартале - в 18%. А в атаках на частных лиц фишинговые ресурсы играют еще более заметную роль.

"Во втором квартале они использовались в 71% успешных атак на частных лиц с применением социальной инженерии против 62% в первом квартале. При этом сама социальная инженерия во втором квартале применялась почти в 78% успешных атак на частных лиц. Одна из причин такой востребованности - фишинговые кампании стало проще и быстрее масштабировать. Злоумышленникам на теневых рынках доступны готовые фишинговые наборы и инфраструктура по сервисной модели: им не обязательно самостоятельно разрабатывать сайт и техническую часть кампании. Ресурс можно быстро развернуть, адаптировать под нужную аудиторию, а после блокировки заменить новым", - отметила она.

Не новое - а забытое старое

"Наблюдая за фишинговыми схемами, эксперты Solar AURA обнаружили тренд на возвращение банковского мошенничества. Злоумышленники создают страницу, полностью имитирующую вход в онлайн-кабинет конкретного банка: с тем же логотипом, оформлением и фирменными цветами, что и у оригинала. Жертве предлагают ввести номер телефона, чтобы "получить код", - это классическая схема кражи одноразового пароля: введенный номер и полученный по SMS код позволяют злоумышленникам авторизоваться в настоящем личном кабинете жертвы от ее имени. Кроме того, появились мультибрендовые фишинговые страницы, которые предлагают выбрать один из нескольких популярных банков и авторизоваться через него", - отмечается в сообщении.

Помимо этого, злоумышленники не бросили эксплуатацию общественно значимой повестки. Так, под видом петиций или коллективного обращения к органам власти жертву пытаются заставить нажать на кнопку вида "подписать обращение" и авторизоваться для этого под аккаунтом популярного мессенджера. Как только человек соглашается, он теряет доступ к учетной записи.

О схожих наблюдениях сообщил и Игорь Бедеров. По его словам, этот тренд существует с начала 2026 г., и схема злоумышленников проста: страница копирует фирменный стиль банка, жертве предлагают ввести номер телефона для "получения кода", и введенный код уходит злоумышленникам для авторизации в реальном кабинете. Он отметил появление мультибрендовых страниц, где можно выбрать банк из списка - это уже фабрика по производству доверия.

"Только злоумышленники могут ответить на вопрос "почему они вернулись к старым схемам" наверняка. Мы только фиксируем происходящее. Потенциальных причин множество. На уровне предположения можно сказать, что появилась новая киберпреступная группа, которая стала массово использовать именно сценарии с перехватом личного кабинета в онлайн-банке", - отметил Александр Вураско.

По словам старшего контент-аналитика АО "Лаборатория Касперского" Ольги Алтуховой, ни одна фишинг-схема не исчезает полностью. Она отметила, что злоумышленники часто перерабатывают уже проверенные схемы, адаптируя их под новые реалии, бренды и информационные поводы.

"По сути, меняется не столько сама механика атаки, сколько ее упаковка. Знакомые сценарии дополняются новыми технологиями, более убедительным дизайном и актуальными предлогами, но базовая схема - заставить пользователя перейти на поддельный ресурс и передать данные - остается прежней. Поэтому "все новое - хорошо забытое старое" для фишинга остается довольно точным принципом: старые схемы продолжают работать, а злоумышленники предпочитают дорабатывать то, что уже доказало эффективность, вместо того чтобы каждый раз изобретать новый подход", - отметила она.

С ней согласилась Анна Вяткина. По ее словам, сайты, имитирующие банки, платежные сервисы и другие известные бренды, никуда не исчезали. Эти схемы работали и продолжают работать, потому что опираются на доверие человека к знакомому сервису, а похищенные учетные или платежные данные можно использовать для дальнейшего мошенничества.

"Меняется прежде всего техническая сторона таких атак. Готовые инструменты позволяют быстро копировать внешний вид легитимного ресурса, менять домены и масштабировать кампании. Поэтому сама схема может выглядеть давно знакомой, но инфраструктура за ней становится более технологичной, а запустить или перестроить такую кампанию можно значительно быстрее", - заключила она.