🏭 Более 200 доменов уже готовы отправлять письма от имени российских нефтегазовых компаний

В Threat Intelligence есть интересная стадия атаки, которую пользователь обычно вообще не видит.
Атакующий ещё никого не взломал.
Не запустил malware.
Не украл деньги.
Он просто готовит инфраструктуру.
Именно такую активность обнаружили специалисты BI.ZONE при мониторинге российского нефтегазового сектора.
С начала 2026 года исследователи нашли более 1 100 зарегистрированных доменов, в названиях которых использовались упоминания нефтегазовых компаний.
Сам по себе похожий домен ещё не означает атаку.
Но примерно у 20% — более чем у 200 доменов — уже настроена электронная почта.
И вот здесь ситуация становится гораздо интереснее.
Злоумышленнику недостаточно зарегистрировать что-нибудь вроде:
company-oil.ru → cornpany-oil.ru
Чтобы провести качественную атаку на бизнес, домен должен выглядеть живым.
На нём можно настроить почтовую инфраструктуру, создать адрес сотрудника и начать нормальную деловую переписку.
После этого атака может продолжаться не несколько минут, а дни или даже недели.
Цель — дождаться момента, когда в переписке появится платёж.
Тогда атакующий отправляет счёт уже со своими банковскими реквизитами.
Такие атаки называют ghost invoice.
Причём исследователи наблюдают более опасную эволюцию этой схемы.
Злоумышленники могут не создавать новую переписку вообще.
Если удалось получить доступ к почте одной из сторон сделки, атакующий изучает существующий диалог:
кто поставщик →
кто согласовывает договор →
какая сумма →
когда должен прийти счёт.
И только в нужный момент вмешивается в уже существующую цепочку писем и меняет реквизиты.
Для получателя всё выглядит практически нормально.
Он разговаривает с тем же контрагентом о той же сделке и получает ожидаемый документ.
Меняется только одна деталь — куда уйдут деньги.
🎯 Отдельная российская специфика — закупки
За первое полугодие исследователи обнаружили около 80 тысяч писем, связанных с тендерами и закупками.
Примерно 2 300 из них оказались фишинговыми.
Более половины мошеннических сообщений маскировались под юридическое сопровождение закупок по 44-ФЗ и 223-ФЗ, ещё около 30% — под приглашения на закупки от имени конкретных компаний.
Сценарий становится всё менее похожим на классический фишинг.
Жертве могут сообщить о «закрытом тендере» или «выигранной закупке», после чего постепенно втянуть её в процесс, который внешне напоминает обычную работу отдела продаж или закупок.
💡 Почему это интересно с точки зрения Threat Intelligence
Потому что такую атаку можно обнаружить до первого письма жертве.
Регистрация похожего домена — сигнал.
Появление MX-записей и почтовой инфраструктуры — ещё более сильный сигнал.
Использование названия конкретной компании, создание похожих поддоменов и дальнейшая активация инфраструктуры позволяют наблюдать подготовку противника, а не только последствия атаки.
Именно поэтому мониторинг внешней инфраструктуры бренда становится частью Threat Intelligence.
Мы привыкли искать признаки того, что компанию уже атакуют.
Но иногда гораздо ценнее заметить момент, когда кто-то только строит инфраструктуру, чтобы её атаковать.
#ThreatIntelligence #BEC #Phishing #ТЭК #ThreatHunting #CyberFraud #Кибербезопасность