Имитация госструктур набирает популярность
В январе—августе 2026 года фишинговые имитации писем от ФНС и «Госуслуг» обошли по эффективности корпоративные рассылки, став главной «наживкой» для сотрудников российских компаний, хотя общее число переходов по вредоносным ссылкам после прочтения сократилось. Поддельные обращения от госструктур вызывают больше доверия в силу неотложности задачи и возможной ответственности в случае ее неисполнения, говорят эксперты.
В 2026 году сотрудники российских компаний стали чаще открывать фишинговые письма: доля успешных атак составила 43% против 40% годом ранее, следует из данных «МегаФона» и «Лаборатории Касперского». При этом количество переходов по мошенническим ссылкам после прочтения сократилось до 22% против 40% в 2025 году. А доля сотрудников, открывающих опасные вложения из писем, снизилась с 9% в 2025-м до 7% в текущем году. Однако до 11,3% вырос показатель компрометации информации, когда пользователь не только перешел по ссылке, но и ввел свои учетные данные. Два прошлых года показатель не превышал 10%.
Современные фишинговые лендинги визуально неотличимы от оригинала, копируют формы входа в «Госуслуги» или банк-клиент, что и повышает вероятность ввода учетных данных среди тех, кто дошел до этого этапа, говорит гендиректор Secure-T (входит в ГК «Солар» «Ростелекома») Харитон Никишкин. Доходят до него либо менее подготовленные сотрудники, либо случайно перешедшие по ссылке, либо те, кто попал на качественно сделанную поддельную страницу.
По данным «МегаФона», если в 2024 году самой эффективной наживкой был шаблон о «введении дресс-кода» (77% переходов) и «фото с корпоратива» (32%), а в 2025-м лидировала тема «расчета премий» (66,5%), в этом году самыми результативными в фишинге стали темы, связанные с государственными сервисами. Наибольший отклик вызвали рассылки, имитирующие письма от ФНС и с портала «Госуслуг». Это свидетельствует о том, что люди склонны доверять авторитету государственных институтов и привычным корпоративным инструментам. «Вероятно, и «Госуслуги» обладают удачным для злоумышленников сочетанием трех факторов: узнаваемый отправитель, потенциально серьезные последствия и требование быстро отреагировать»,— говорит гендиректор ITD Group Александр Саксаганский.
Также, по данным аналитиков «Лаборатории Касперского», в 2026 году сотрудники все еще активно реагируют на тренировочные письма, связанные с рабочими процессами. Почти половина получателей (48%) перешла по ссылке в сообщении с темой «Необходимо согласование запроса». Еще 38% — по ссылке в письме с уведомлением о нарушении политики использования интернет-ресурсов, а 34% — в сообщении с новым планом эвакуации из здания.
При целевой атаке, по словам аналитика угроз GSOC компании «Газинформсервис» Владислава Шелепова, злоумышленник может заранее собрать данные из открытых источников по конкретному человеку, изучить рабочий контекст, а затем встроить письмо в привычную переписку. «Для руководителей и сотрудников из групп риска стоит проводить более сложные персонализированные тренировки»,— добавил эксперт.
В большинстве крупных организаций сотрудники на протяжении нескольких лет сталкиваются с симуляциями атак, связанными с корпоративной почтой, кадровыми процессами или уведомлениями от ИТ-служб, отмечает специалист отдела тестирования на проникновения компании Innostage Мария Сергеева. По ее словам, в результате у пользователей формируются устойчивые ассоциации между подобными сюжетами и потенциальной угрозой, а также происходит адаптация к наиболее распространенным тренировочным сценариям. При этом государственная тематика воспринимается иначе. Уведомления от госсервисов затрагивают вопросы, которые пользователь не может легко проверить через корпоративные каналы. «Такие сообщения создают более высокий уровень личной значимости и неопределенности, что является одним из ключевых факторов успешности социальной инженерии»,— отметила Мария Сергеева.
