F6 выявила схему «Мамонт» с поддельными сайтами «Яндекс Доставки»

Компания F6, специализирующаяся на разработке технологий противодействия киберугрозам, выявила обновленную схему мошенников «Мамонт», которые теперь прикрываются брендом «Яндекс Доставка» для атак на пользователей сервисов объявлений в России и Казахстане. Как рассказали  IT Speaker, злоумышленники нацелены и на продавцов, и на покупателей: они предлагают использовать доставку для отправки или получения товара, а затем направляют ссылки на фейковые страницы, где под разными предлогами собирают конфиденциальные данные карт – номер, срок действия, CVV и СМС-коды.

Специалисты насчитали не менее 21 поддельного сайта, созданного с мая по июль 2026 года, причем большинство из них (18) ориентированы на покупателей, остальные – на продавцов. В преступных группах, задействованных в этой схеме, состоят более 3000 участников, а типичный размер похищенной суммы оценивается в 11 тысяч рублей с одного человека.

В случае с продавцами афера развивается по стандартному сценарию: мошенник представляется покупателем, откликается на объявление, уточняет возможность отправки и предлагает услуги «Яндекс Доставки», пересылая скриншоты с условиями. Получив согласие, он отправляет ссылку на поддельный сайт с трек-номером, где указано, что оплата уже проведена и деньги можно получить до передачи товара. Нажав кнопку получения, продавец попадает в ловушку: его просят подтвердить личность, ввести реквизиты карты и телефон, назвать точный остаток на счете «для проверки», а затем – СМС-код, который оказывается подтверждением операции в банке и открывает мошенникам доступ к счету.

Для покупателей схема выглядит иначе: лжепродавец присылает ссылку на поддельный сайт для оплаты покупки, предварительно требуя «верифицировать карту через Yandex» для подтверждения заказа. Перейдя по ссылке, жертва оказывается на фишинговой странице, замаскированной под платежный интерфейс крупного банка, где и теряет данные своей карты. Для обмана используются домены с искаженными названиями бренда, например yandex-dostavkuy[.]website или dostavka-y[.]website, а создаются они массово с помощью Telegram-ботов.

Как напоминают в F6, «Мамонт» существует уже более шести лет и всегда основывался на эксплуатации доверия к известным брендам: только в 2025 году мошенники использовали около 50 названий, большей частью российских. За полтора года, с июля 2024 по декабрь 2025-го, ущерб россиян от этой схемы превысил 1 млрд рублей, и по количеству успешных атак «Мамонт» уступает только телефонному мошенничеству. 

Аналитик F6 Вячеслав Ходоров подчеркивает, что главная опасность – в массовости и универсальности: фейковые сайты быстро плодятся под раскрученными вывесками, и для защиты пользователей компаниям нужно не просто находить такие ресурсы, а немедленно закрывать к ним доступ.

Ранее киберпреступники начали использовать мессенджер MAX для распространения Android-вируса «Мамонт», который, попадая на устройство, крадет денежные средства. В своих схемах они используют домовые и родительские чаты, а также сообщества дачных поселков.