F6 обнаружила мошенническую схему с подделкой сайта Минобороны

Компания F6, российский разработчик решений в области кибербезопасности, совместно со специалистами Минобороны России выявила новую мошенническую схему, нацеленную на сбор персональных данных родственников участников СВО. Об этом IT Speaker рассказали в F6.

Злоумышленники с использованием искусственного интеллекта создали фальшивые веб-ресурсы, мимикрирующие под официальный сайт военного ведомства, где предлагается пройти регистрацию для участия в церемонии вручения государственных наград. При этом у посетителей запрашивают паспортные данные, СНИЛС и ИНН как самого приглашенного, так и сопровождающих его лиц, что в дальнейшем может использоваться для взлома аккаунтов на госуслугах, оформления микрозаймов или проведения целевых мошеннических атак на семьи бойцов.

В ходе совместной работы аналитики департамента Digital Risk Protection компании F6 обнаружили два фейковых домена, один из которых был зарегистрирован в мае 2026 года, а второй – в октябре 2025-го. Название одного из них (mil-ru-gov[.]info) визуально имитирует адрес настоящего портала Минобороны (mil.ru). На единственной странице поддельных ресурсов размещена регистрационная форма, где требуется указать ФИО, номер телефона и один из трех идентификаторов – паспорт, СНИЛС или ИНН. В оформлении использованы логотип, герб и фрагменты навигационного меню с официального сайта, хотя общий дизайн заметно отличается от оригинала, что, однако, может быть неочевидно для неподготовленных пользователей.

Особую опасность представляет тщательная маскировка фальшивок: все ссылки, кроме самой формы заполнения, включая нижнее меню с разделами «Контакты», «Сообщить об ошибке» и «Поиск по сайту», а также кнопки перехода в соцсети ведут на настоящие страницы Министерства обороны. Это создает иллюзию легитимности ресурса. При этом в форме предусмотрена опция «Добавить гостя», позволяющая ввести данные сопровождающих, что расширяет круг потенциальных жертв и увеличивает объем похищаемой информации.

Собранных сведений, по оценке экспертов, достаточно для попыток восстановления паролей в госсервисах, где часто запрашивают номер паспорта или СНИЛС, а также для оформления микрозаймов. Однако основным вектором последующих атак, вероятно, станет телефонное мошенничество: имея номер телефона и ФИО, злоумышленники могут под различными предлогами выведывать дополнительные данные, имитировать взлом аккаунтов или пытаться получить доступ к банковским приложениям жертв.

При изучении кода фальшивых страниц специалисты обнаружили признаки использования LLM-моделей для их создания – в нижней части формы присутствует необработанная ошибка «Unexpected token '<', "<!DOCTYPE "... is not valid JSON», что указывает на сырой, наспех сгенерированный код. Впрочем, эта недоработка не мешает сбору данных: информация уходит на серверы злоумышленников, а ошибка возникает уже после отправки. На данный момент не установлено, как именно преступники направляют жертв на поддельные сайты – возможно, ресурсы еще не задействованы в активных атаках либо ссылки распространяются точечно через мессенджеры и электронную почту. В настоящее время фейковые домены заблокированы на территории России, однако специалисты не исключают появления новых аналогичных ресурсов.

Ранее специалисты компании F6 выявили схему, в рамках которой мошенники обманывают художников-фрилансеров из России с помощью некой предоплаты или комиссии. Средняя сумма ущерба для жертв начинается от 15 тыс. рублей.