«Повторите попытку через Google»: мошенники используют для обмана сбои в работе интернет-сервисов

Компания F6, российский разработчик технологий для борьбы с киберугрозами, зафиксировала использование темы сбоев в работе «Яндекса» в мошеннической схеме с рассылками QR-кодов в адрес российских компаний. От имени государственных учреждений мошенники направляют ложные извещения о проведении внеплановых проверок и привлечении к административной ответственности. Злоумышленники предлагают узнать подробности из «физических документов», которые якобы направлены «специальной доставкой» – ее предлагают оплатить по QR-коду. При этом атакующие указывают, что в случае с проблемой с открытием страниц через «Яндекс» необходимо воспользоваться сервисами Google. Об этом CNews сообщили представители F6.

Как работает схема

Аналитики департамента киберразведки (Threat Intelligence) компании F6 обнаружили новую волну фишинговых рассылок с QR-кодами, которые нацелены на российские компании и используют в схеме обмана тему проблем с интернетом и сбоев в работе «Яндекса».

Злоумышленники распространяют такие письма от имени трех федеральных служб. В заголовках используют такие формулировки, как «Отдел Контроля [название ведомства]» и «ИСХ_название ведомства]». Фишинговые письма маскируют под официальную переписку – извещения, требования и предписания. Сообщения подписаны «старшим инспектором контролирующего отдела», имена и фамилии меняются в зависимости от ведомства.

В письмах говорится о том, что «на основании жалобы» или «распоряжения» будет проведена «внеплановая выездная проверка» компании, «контрольные мероприятия» либо «назначена административная ответственность». Злоумышленники сообщают, что более подробная информация «направлена спецдоставкой», а инструкцию для получения «физических документов» прикрепляют в PDF-файле или указывают в самом письме.

Инструкция предписывает отсканировать QR-код, провести оплату, а затем указать адрес и ФИО получателя корреспонденции. Мошенники указывают: «Из-за проблем с интернетом в стране наблюдаются сбои в работе Яндекса. Если у Вас не открывается страница, повторите попытку через Гугл».

Финальная цель злоумышленников – не только заставить сотрудника атакуемой компании совершить перевод (обычно сумма составляет от 400 до 600 руб.), но и получить данные его банковской карты, а также ФИО и адрес. Эти сведения впоследствии могут быть использованы для других кибератак.

Стоит отметить, что подобный подход с использованием в мошеннических рассылках «проблем с интернетом» и «сбоев в работе Яндекса» используется атакующим с начала 2026 г., однако осенью такой обман становится ещё более актуальным и эффективным для хакеров.

Не тот код

Специалисты F6 Threat Intelligence отслеживают злоумышленника, стоящего за фишинговыми рассылками с QR-кодами на оплату «спецдоставки», по имени QRGos TA. Он действует как минимум с осени 2025 года и использует для проведения атак фишинговые рассылки писем с QR кодами, ведущими на поддельные страницы оплаты и ввода банковских реквизитов. Для отправки писем регистрирует домены, которые маскирует под официальные сайты государственных служб и ведомств.

В I половине 2026 г. злоумышленники распространяли такие письма от имени трех федеральных служб. В сентябре-октябре атакующий стал использовать маскировку ещё под два других ведомства.

Осенью 2026 г. получателями писем с мошенническими QR-кодами стали российские компании как минимум из пяти отраслей – промышленности, логистики, строительства, ретейла и интернет-торговли, а также компании-операторы в сфере обращения с коммунальными отходами. Вредоносные рассылки клиентам F6 были успешно заблокированы системой защиты корпоративной почты F6 Business Email Protection (F6 BEP).

Фишинговые сайты, на которые пользователи переходили по QR-кодам из писем, размещаются в доменных зонах .ru, .beer, .biz, .cam, .casa, .click, .info, .lat, .me, .rest, .shop, .space и .wiki. Страницы, созданные мошенниками, имитируют официальные сайты сервисов доставки.

Рекомендации для защиты от мошенничества с QR-кодами

Не переходить по QR-кодам из писем и сообщений от неизвестных отправителей.

Проверять домены отправителя и домены, на которые ведут ссылки или QR-коды: лишние слова, дефисы, региональные префиксы и нетипичные для государственных организаций доменные зоны должны сразу насторожить.

Сравнивать, о чем говорится в письме и куда реально ведет ссылка: даже «официальное уведомление» не должно перенаправлять пользователя на посторонние ресурсы, не связанные с инфраструктурой ведомства.

При малейших сомнениях перепроверять информацию по контактам с официального сайта ведомства.