Чаще всего злоумышленники эксплуатировали Cloudflare Workers, Vercel, GitHub Pages и Netlify
Решения «Лаборатории Касперского» за последний год — с августа 2025 по июль 2026 — заблокировали более 390 тысяч фишинговых ссылок*, размещённых на популярных облачных платформах. Чаще всего злоумышленники эксплуатировали Cloudflare Workers, Vercel, GitHub Pages и Netlify. Мошенники прибегают к такому методу, чтобы обойти многофакторную аутентификацию и избежать обнаружения защитными решениями.
Как происходят атаки. В качестве примера можно привести фишинговую кампанию, в которой злоумышленники использовали популярную облачную платформу Cloudflare Workers. Сначала мошенники рассылали электронные письма и под разными предлогами убеждали потенциальных жертв перейти по ссылке: например, пользователю якобы пишет коллега и просит посмотреть рабочие документы.
Ссылка вела на страницу с фальшивым тестом CAPTCHA, где жертву просили ввести адрес своей корпоративной почты. Эти данные попадали в руки злоумышленников, а пользователя автоматические перенаправляли на URL-адрес .workers.dev: подобные адреса бесплатно предоставляет Cloudflare Workers. Адрес электронной почты пользователя передавался в хэше URL, чтобы следующая страница могла получить его без обращения к серверу злоумышленников — чтобы скрыть подозрительную активность. На следующей странице, размещённой на бесплатном поддомене Cloudflare Workers, жертву просили пройти ещё один тест CAPTCHA, но уже настоящий, чтобы злоумышленники могли убедиться, что страницу посещает реальный человек. Он не интегрирован в HTML-код, а динамически встроен в страницу, что затрудняет обнаружение защитными решениями.
После пользователь видел фальшивое окно, которое выглядело как стандартная форма входа в Microsoft Office 365 — с похожей адресной строкой и элементами управления. Для его создания злоумышленники использовали технику BiTB (Browser-in-the-Browser, атака на уровне подмены интерфейса). Её суть в следующем: внутри легитимной веб-страницы открывается блок, стилизованный под настоящее всплывающее окно. Если ввести в нём имя пользователя, пароль и код для многофакторной аутентификации, встроенный скрипт перехватывал эту информацию, причём не только учётные данные, но и сессионные токены. Чтобы усыпить бдительность жертвы, после завершения пользователя перенаправляли на страницу с системной ошибкой.
«Злоумышленники эксплуатируют возможности легитимных сервисов по нескольким причинам. Первая — у таких ресурсов хорошая репутация, и поэтому опубликованные на них фишинговые ссылки реже вызывают подозрения. Кроме того, у многих подобных платформ есть бесплатные тарифы, а регистрация аккаунтов занимает несколько минут. Также мошенники эксплуатируют встроенные механизмы защиты, чтобы избежать обнаружения. В случае с Cloudflare Workers была реализована многоэтапная атака с применением техник Adversary-in-the-Middle, или „злоумышленник посередине”, а также Browser-in-the-Browser, то есть атака на уровне подмены интерфейса. Это показывает, насколько изощрёнными становятся фишинговые схемы», — комментирует Ольга Алтухова, эксперт по кибербезопасности «Лаборатории Касперского».
Прочитать полный текст исследование можно на сайте Securelist.
«Лаборатория Касперского» рекомендует пользователям:
· с осторожностью проходите CAPTCHA — как правило, для проверки не требуется вводить личные данные (например, адрес электронной почты), это один из признаков мошенничества;
· обращайте внимание на неожиданные входящие запросы, даже если они поступают с доверенных доменов или страница отображает действительный SSL-сертификат;
· внимательно проверяйте URL в адресной строке основного окна браузера — при атаках типа BiTB злоумышленники могут создать фальшивое всплывающее окно и вписать в него любой адрес, в том числе легитимный. Однако реальная адресная строка по-прежнему будет отображать реальный домен злоумышленников;
· регулярно обновляйте браузер и другое ПО;
· используйте надёжное защитное решение, которое в том числе блокирует переход на фишинговые ресурсы, такое как Kaspersky Premium. Оно не только проверяет репутацию домена, но и скрипты страниц и динамические ресурсы.
* Количество заблокированных ссылок на доменах облачных платформ и децентрализованных сетей (IPFS).
