ФБР США предупредило граждан о четырёх основных схемах, которыми злоумышленники пользуются перед промежуточными выборами в ноябре. Мошенничество на выборах давно стало сезонным жанром киберпреступности, но генеративный ИИ и дипфейки делают знакомые письма, ролики и сборы денег заметно убедительнее. Для российских IT-команд это ещё один практичный кейс: любой громкий общественный повод быстро превращается в набор фишинговых лендингов, фальшивых аккаунтов и атак на персональные данные.
Как сообщает The Register, аферисты используют имена, лозунги и изображения известных кандидатов, чтобы собирать пожертвования, продавать несуществующий мерч и получать данные будущих жертв. ФБР призывает проверять политические организации через сайт избирательной комиссии и не реагировать на сообщения, которые давят на срочность. Это не бюрократическая перестраховка: в предвыборный период у преступников появляется готовая эмоциональная воронка — сторонник кандидата уже мотивирован действовать быстро и часто готов расстаться не только с деньгами, но и с контактами, адресом и платёжными реквизитами.
Первая схема — псевдоинвестиционный пул кампании. Жертве предлагают внести деньги в общий фонд и обещают выплату после победы кандидата. Механика напоминает привычные мошеннические «коллективные инвестиции» в акции или другие растущие активы, только вместо финансового инструмента здесь используют партийную симпатию. ФБР отдельно подчёркивает простой, но полезный тест: настоящие политические пожертвования не дорожают со временем и не дают донору долю в будущей прибыли. Если поддержка кандидата внезапно выглядит как депозит с доходностью, перед вами, скорее всего, не гражданская активность, а старый развод в новом костюме.
Вторая схема строится вокруг фиктивных комитетов политических действий — PAC. Такие структуры могут собирать средства в интересах партии или кандидата, чем и пользуются имитаторы: они создают организацию с правдоподобным названием, собирают деньги у сторонников, а затем оставляют их себе. Даже наличие записи в реестре не гарантирует добросовестности. Ведомство советует смотреть на отчётность: подозрительным сигналом могут быть большие траты на консалтинг, фандрайзинг и административные услуги при отсутствии понятного движения денег к кампании, которую комитет якобы поддерживает.
Мерч и «срочная регистрация» как инструменты атаки
Третья схема проще и потому живучее: покупателю предлагают сувениры с символикой кампании, принимают оплату и ничего не отправляют. Такие non-delivery scams, то есть мошенничество с недоставкой оплаченного товара, входят в пятёрку наиболее распространённых интернет-афер, согласно последнему годовому отчёту Internet Crime Complaint Center. Предвыборный мерч особенно удобен для преступников: товар недорогой, покупка импульсивная, а у кампаний и сторонников много настоящих витрин, которые легко копировать. Задача службы безопасности здесь не только в блокировке поддельных доменов, но и в быстром объяснении пользователям, где находятся официальные каналы продаж.
Четвёртый сценарий — фишинг под видом регистрации избирателя. Пользователю приходит SMS с сообщением, что он якобы не зарегистрирован, и ссылкой на страницу для срочного завершения процедуры. На такой странице собирают персональные данные, которые затем могут использовать в следующих атаках: от подбора учётных записей до более адресного выманивания денег. Классический приём «действуйте немедленно» здесь работает особенно хорошо: человек боится пропустить голосование, а неудачно оформленная страница кажется меньшей проблемой, чем потерянное право голоса.
Отдельный риск возникает там, где у фишинговой легенды есть реальная новостная подложка. The Register напоминает о недавних проблемах с обработкой заявок на регистрацию избирателей в Техасе. Представители организаций, занимающихся регистрацией, утверждали в иске, что из-за сбоя сайта в подвешенном состоянии оказались сотни тысяч заявлений; офис секретаря штата, в свою очередь, говорил о гораздо меньшем масштабе очереди и сообщал, что проблема устранена. Для атакующего спор о точной цифре вторичен: достаточно того, что люди слышали о сбое и готовы поверить в SMS о необходимости «повторно подтвердить» регистрацию.
ИИ добавляет правдоподобия, но не меняет основу схем
Новый технологический слой — ИИ-генерация и дипфейки. ФБР отмечает, что они позволяют точнее имитировать внешность кандидатов и чиновников. На практике это значит, что проверка по одному скриншоту, голосу в ролике или аватару аккаунта перестаёт быть достаточной. Однако фундамент атаки не изменился: фальшивке всё ещё нужны доверие, спешка и канал для перевода денег либо сбора данных. Поэтому полезнее выстроить проверяемый путь к действию — официальный сайт, известное приложение, вручную введённый адрес, — чем пытаться на глаз определить, насколько естественно кандидат моргает в видео.
Параллельно X сообщил об удалении более 13 тысяч аккаунтов, связанных с кампаниями иностранного влияния из Ирана, России и Китая. Эти операции распространяли политический контент по всему идеологическому спектру. Между операциями влияния и прямым мошенничеством на выборах есть разница: первые стараются сдвинуть общественное мнение, вторые забрать деньги или данные. Но для пользователя и для платформы граница часто размыта — один и тот же эмоциональный пост может привести и к поляризации, и к ссылке на фишинговый сбор.
Для разработчиков и владельцев цифровых сервисов урок не ограничивается американской кампанией. Календарь заметных событий стоит включать в модель угроз так же, как сезон распродаж или налоговую отчётность: в такие дни растут регистрационные формы, обращения в поддержку, новые домены-двойники и нагрузка на модерацию. Бизнесу полезно заранее закрепить единый список официальных каналов, мониторить похожие домены, настроить предупреждения о подозрительных рассылках и дать службе поддержки короткий сценарий ответа. Самая дорогая ошибка — обнаружить фальшивый сбор после того, как пользователи уже начали пересылать его друг другу.
Предвыборный цикл заканчивается, а его приёмы остаются: вместо кандидата в следующей рассылке будет банк, маркетплейс или работодатель. Чем качественнее ИИ маскирует внешний слой атаки, тем ценнее становятся скучные, но работающие привычки — проверять источник, не открывать ссылки из срочных SMS и не вводить данные на странице, на которую вас привёл чужой пост. В борьбе с такими схемами выигрывает не тот, кто безошибочно распознаёт каждый дипфейк, а тот, у кого для важных действий есть надёжный маршрут проверки.