Пока Рунет переживает неделю атак на дата-центры, мошенники превратили сами сбои в приманку. Компания F6 (департамент киберразведки) описала кампанию, в которой письма «от федеральных ведомств» объясняют подозрительные ссылки «проблемами с интернетом» и сбоями «Яндекса». На ту же неделю пришлась волна доменов-клонов «Яндекса»: 52 новых адреса за восемь дней.
Что за схема
Компаниям массово рассылают письма, замаскированные под официальную переписку: тема — «Отдел Контроля [ведомство]» или «ИСХ_[ведомство]», подпись — «старший инспектор контролирующего отдела», в тексте — «внеплановая выездная проверка», «контрольные мероприятия» или «административная ответственность». Документы якобы «направлены спецдоставкой», а чтобы их получить, нужно отсканировать QR-код, оплатить доставку — от 400 до 600 рублей — и указать ФИО и адрес.
Ключевая уловка — отговорка на случай, если письмо выглядит странно: «Из-за проблем с интернетом в стране наблюдаются сбои в работе Яндекса. Если у Вас не открывается страница, повторите попытку через Гугл». Это не забота о вашем удобстве, а способ снять подозрения и заставить действовать быстро. Настоящая цель — не 500 рублей, а данные банковской карты, ФИО и адрес, которые потом используют в следующих атаках.
Кампанию отслеживают как QRGos TA: она активна минимум с осени 2025 года, за это время набор «ведомств» в письмах вырос с трёх до пяти. Получатели — промышленность, логистика, строительство, ретейл и интернет-торговля, операторы в сфере обращения с отходами.
Волна клонов «Яндекса»
Вторая часть истории — домены. С 5 по 12 октября аналитики нашли 52 адреса с упоминанием «Яндекса», причём 44 из них зарегистрированы после 8 октября — то есть после первой атаки на инфраструктуру компании. Темп регистрации подозрительных доменов в эти дни был примерно в 3,6 раза выше, чем за три предыдущих дня.
Типовые приманки на таких сайтах — «компенсации»: бесплатные поездки, скидки на доставку, подаренные подписки и «возвраты» через «Яндекс Пэй» с вводом карты. «Яндекс» заявляет, что отслеживает и блокирует мошеннические ресурсы, но новые адреса появляются быстрее, чем закрываются старые.
Как отличить подделку
- Ведомство, банк или крупный сервис не просят оплатить «доставку документов» по QR-коду из письма. Это всегда мошенничество.
- Смотрите на домен, а не на дизайн: чужие зоны (.beer, .biz, .cam, .casa, .click, .info, .lat, .rest, .shop, .space, .wiki), лишние слова, дефисы и «региональные» приставки выдают подделку.
- «Повторите попытку через Google» и другие отговорки про сбои — маркер обмана. Легитимные сервисы не объясняют так свои странности.
- Спешка — часть давления: «внеплановая проверка», «меры ответственности», «срок истекает сегодня».
- Проверяйте по официальным контактам: набирайте адрес ведомства или банка вручную или берите из закладок, а не из письма. Коды подтверждения не сообщайте никому.
Что делать владельцам сайтов
Схема целится в компании, поэтому ваши клиенты и ваши сотрудники — тоже в зоне риска. Три вещи, которые стоит сделать, не дожидаясь инцидента:
- Предупредите клиентов и сотрудников. Короткое сообщение в рассылке или на странице поддержки: «мы не просим оплачивать доставку по QR-коду, проверяйте адрес сайта». Мошенники быстро копируют любые бренды — включая ваш.
- Прикройте свой домен от подделок в почте. Настроенные SPF, DKIM и DMARC не дают отправлять письма «от имени» вашего домена: клиенты получают меньше фальшивых писем якобы от вашей компании.
- Следите за клонами бренда. Регистрация доменов-двойников идёт волнами (как сейчас с «Яндексом») — если у вас есть подписчики или клиентская база, имеет смысл проверять похожие адреса и реагировать: жалоба регистратору, заявление в поисковые системы и хостинг-провайдеру.
И практика изнутри: не приучайте клиентов искать вас «через Google». Учите заходить по прямому адресу или из закладок — тогда поддельная страница в выдаче не получит ваши данные. Как это выглядит в конкретных сбоях, мы разбирали в материалах о падении сервисов «Яндекса» 11 октября и атаке на дата-центр «Сбера».
Проверить почтовые записи домена, доступы и устойчивость проекта к таким атакам можно в рамках поддержки сайтов: посмотрим SPF/DKIM/DMARC, настроим мониторинг и двухфакторную защиту. Начать можно с письма через страницу контактов.
Что делать сайтам на фоне этих сбоев — в нашем разборе с чек-листом: Яндекс после аварии: что делать владельцу сайта, пока «Метрика» и «Вебмастер» не работают.
Данные: F6 (Threat Intelligence), РБК, ТАСС, октябрь 2026 года. Схема описана по публикациям аналитиков; суммы и домены — из отчёта о кампании.