После ввода данных карты, имени и адреса на фишинговом сайте информация пользователя не просто используется для разового списания средств. Эти сведения не пропадают — они отправляются на «конвейер» черного рынка. Там краденная информация начинает свою самостоятельную жизнь: ее многократно перепродают, комбинируют с другими утечками и годами используют для все новых атак на жертву и других людей.
Сбор данных
Фишинговые сайты тщательно маскируются под настоящие: иногда дизайн, интерфейс и даже домен практически неотличимы от оригинала. Чаще всего злоумышленники используют для кражи данных HTML-формы, в которых пользователю предлагают ввести логин и пароль, реквизиты карты или другую конфиденциальную информацию. Как только пользователь нажимает кнопку «Войти» или «Оплатить», информация мгновенно уходит к мошенникам. Иногда данные собирают не напрямую через сайт, а через легитимные сервисы вроде Google Forms, чтобы скрыть конечный сервер. Чаще всего данные передаются тремя способами (возможна любая их комбинация).
- На электронную почту. Сейчас этот способ используется все реже из-за риска задержки или блокировок.
- Telegram-боты. Информация приходит злоумышленникам мгновенно; большинство таких ботов «одноразовые», поэтому их достаточно сложно отследить.
- Панели управления. Благодаря специализированному ПО преступники могут централизованно собирать и сортировать информацию, смотреть статистику и даже автоматически проверять похищенные данные.
Список данных, которыми интересуются киберпреступники, достаточно обширен. Персональные данные: номера телефонов, ФИО, электронная почта, адреса регистрации и проживания. С их помощью можно подготовить таргетированную атаку. Люди ведутся на мошеннические схемы именно потому, что злоумышленники орудуют большим количеством личной информации: обращаются по имени, знают, где человек живет и какими сервисами пользуется. Номера и сканы документов: паспорта, СНИЛС, ИНН и т. д. Злоумышленники используют их для кражи личности, оформления кредитов и подтверждения личности при авторизации в банках и на порталах государственных сервисов. Логины, пароли, одноразовые 2FA-коды. Биометрия: скан лица, отпечатки пальцев, голос — для генерации дипфейков или обхода двухфакторной аутентификации. Платежная информация: реквизиты карт, данные от криптокошельков. Многое другое.
Согласно нашему исследованиям, за период с января по сентябрь 2025 года подавляющее большинство фишинговых атак было нацелено на кражу аккаунтов онлайн-сервисов (88,5%). Еще 9,5% пришлось на попытки получить персональные данные пользователей (имя, адрес, дата рождения и т. д.). Наконец, 2% фишинговых атак составили кражи банковских карт.
Далеко не все сведения нужны злоумышленникам для вывода денег на свои счета. Украденные данные редко используют мгновенно: гораздо чаще они попадают на теневой рынок к аналитикам и перекупщикам. Типичный маршрут выглядит примерно следующим образом.
- Оптовая продажа данных
Сырые массивы данных объединяют в огромные архивы и продают оптом на подпольных форумах. В таких архивах часто попадаются мусорные и устаревшие данные, и поэтому стоят они недорого: стартовая цена — $50.
- Сортировка и проверка данных
Эти архивы скупают аналитики-злоумышленники, которые разбивают датасеты по категориям и проверяют актуальность данных: подходят ли логины и пароли для указанных сервисов, используются ли они на других сайтах, есть ли совпадения с данными из предыдущих утечек. Для целевых атак формируется цифровое досье, в котором хранится информация, собранная в результате как свежих, так и старых атак — по сути, это таблица с готовыми данными для взлома.
- Перепродажа проверенных данных
Отсортированные датасеты уходят на вторую волну продажи — уже по более высокой цене. Данными пользователей торгуют при этом не только в даркнете, но и в старом добром Telegram.
Стоимость аккаунтов по по некоторым данным, зависит от множества факторов: возраста профиля, наличия двухфакторной аутентификации и привязанных банковских карт, редкости самого сервиса. Несложно догадаться, что наиболее дорогой и востребованный товар на этом рынке — данные от банковских аккаунтов и криптокошельков.
Категория Средняя цена
Криптоплощадки $105
Банки $350
Государственные порталы $82,5
Социальные сети $3
Мессенджеры $2,5
Онлайн-магазины $20
Игры и игровые платформы $6
Глобальные интернет-порталы $0,9
Личные документы $15
- Повторные атаки
Приобретя «цифровое досье» жертвы, злоумышленник может спланировать следующую атаку. Например, по открытым источникам узнать, где работает человек, и написать правдоподобное письмо от имени его начальника. Или, к примеру, взломать профиль в соцсети, выкачать оттуда компрометирующие фотографии и потребовать за них выкуп (спешим вас успокоить: почти все письма с угрозами и вымогательствами — всего лишь «страшилка» от мошенников).
Злоумышленники также используют взломанные аккаунты для дальнейшей рассылки фишинговых писем и вредоносных ссылок контактам жертвы. Так что, если вам пришло сообщение с просьбой проголосовать за племянницу в конкурсе, одолжить денег или перейти на непонятный сайт, у вас есть веские причины насторожиться.
По материалам Касперский