Более 300 доменов уже маскируются под официальный сайт FIFA и выманивают у болельщиков логины, пароли и платежные данные. История про билеты на чемпионат мира 2026 года быстро превратилась в крупную криминальную операцию, а для IT-рынка это еще один сигнал: фишинг FIFA давно вышел за пределы грубых подделок и теперь собирается почти как полноценный цифровой продукт.
По данным IT-World, исследователи Group-IB связали одну из самых заметных кампаний вокруг ЧМ-2026 с группировкой GHOST STADIUM. У этой инфраструктуры нашли признаки связи с китайскоязычной киберкриминальной средой: в коде фишинговых страниц обнаружены комментарии на китайском языке, а при сборке страниц использовалась китайская open source UI-библиотека Layui. То есть речь не о случайных доменах, которые кто-то набросал за вечер, а о внятно организованной схеме с масштабируемой технической базой.
Механика проста и оттого эффективна. Пользователь ищет билеты на матчи, попадает на ресурс, визуально почти неотличимый от fifa.com, выбирает встречу и категорию мест, а дальше проходит через поддельную авторизацию. После ввода учетных данных сайт может перебросить человека на настоящий ресурс FIFA, чтобы все выглядело как обычный вход. В некоторых сценариях жертве предлагают пройти шаг, похожий на сброс пароля. Это дает злоумышленникам шанс не только украсть доступ, но и оперативно заблокировать владельца аккаунта. Если на аккаунте уже были реальные билеты, их можно перепродать; если нет, включается классическая схема с фальшивой продажей.
На этапе оплаты начинается вторая часть монетизации. Фальшивые страницы собирают персональные и банковские данные, а также принимают деньги через разные каналы: банковские карты, сторонние платежные шлюзы, P2P-переводы, региональные сервисы и криптовалюту. Последний пункт особенно показателен: Group-IB отдельно подчеркивает, что официальный портал FIFA криптовалюту не принимает. Для мошенников это удобно, для жертвы это почти билет в один конец. Деньги уходят быстро, возврат в лучшем случае превращается в квест для банка, в худшем не начинается вовсе.
Масштаб кампании внушительный даже по меркам событийного фрода. С августа 2025 года, по оценке Group-IB, злоумышленники зарегистрировали свыше 4,3 тыс. доменов, имитирующих официальные ресурсы FIFA. Более 300 уже встроены в рабочую инфраструктуру, еще около 3,8 тыс. пока остаются «припаркованными» и могут быть активированы ближе к старту турнира. Это важная деталь для корпоративных команд ИБ и SOC: видимая часть операции, вероятно, лишь первая волна. Чем ближе 11 июня 2026 года, когда стартует чемпионат в США, Канаде и Мексике, тем выше шанс, что резерв доменов начнет оживать пакетно и под конкретные маркетинговые поводы: расписание матчей, старт продаж, hospitality-пакеты, новости по сборным.
Почему мошенников так интересует именно ЧМ-2026
Ответ скучен, но предсказуем: деньги и массовый ажиотаж. Чемпионат мира 2026 года станет крупнейшим в истории турнира: 48 сборных и 104 матча. Большое спортивное событие с глобальной аудиторией почти идеально подходит для мошеннической воронки. Люди торопятся, боятся упустить редкие билеты и готовы игнорировать базовую цифровую гигиену, если на экране мигает что-то вроде «осталось два места» или «first come, first served». Платная реклама в соцсетях и на других площадках только усиливает эффект, особенно когда объявление обещает билеты от 60 долларов на позиции, которые в реальности могут стоить в разы дороже.
Отдельный интерес GHOST STADIUM проявляет к премиальным билетам и hospitality-пакетам. Из более чем 300 фишинговых доменов 79, по данным Group-IB, были завязаны именно на такие предложения. Их цена может доходить до 1,5-10 тыс. долларов и выше, поэтому даже ограниченное число успешных атак быстро превращается в крупный ущерб. Group-IB оценивает потенциальные потери только от мошенничества с премиальными билетами в диапазоне от 71 до 474 млн долларов. И это, как подчеркивают исследователи, лишь примерно четверть активной кампании. Если добавить массовые категории билетов, кражу аккаунтов и дальнейшую монетизацию доступа, счет может идти уже на миллиарды.
При этом GHOST STADIUM не выглядит одиноким хищником на этом поле. Group-IB описывает еще четыре независимые преступные группы и сразу шесть моделей монетизации вокруг турнира: кражу учетных данных FIFA, продажу фальшивых билетов, поддельные магазины атрибутики, фейковые стриминговые сервисы, нелегальные ставки и казино, а также заражение через инфостилеры. В даркнете уже нашли 2513 пар учетных данных, связанных с fifa.com и fifa.org. Для бизнеса это напоминание, что крупные события давно обслуживают не только медиа и e-commerce, но и целую теневую экосистему, где есть трафик, конверсия, реселл, партнерские схемы и техническая поддержка. Только SLA у них, конечно, своеобразный.
Что это значит для IT-команд и бизнеса
Для разработчиков и продуктовых команд история важна не только как новость из мира ИБ. Она хорошо показывает, насколько дешево и быстро сегодня собирается убедительная подделка бренда. Если несколько лет назад фишинговый сайт часто выдавали кривой фронтенд, случайная верстка и поломанная локализация, то теперь злоумышленники спокойно делают почти «пиксель в пиксель» копию, добавляют правдоподобный сценарий логина и маскируют атаку под штатный путь пользователя. С технической точки зрения это уже не одноразовая страница, а модульный набор с повторным использованием компонентов, платежных форм и инфраструктуры доменов.
Для корпоративной защиты отсюда следуют вполне прикладные выводы. Нужны ранний мониторинг доменных клонов, особенно с дефисами и вариациями названия бренда, отслеживание рекламных кампаний с подменой официального трафика и более агрессивная работа с takedown-процедурами. Пользовательское обучение тоже придется обновлять: старый совет «смотрите на дизайн сайта» больше не работает. Работает только связка из проверенного домена, нормальной аутентификации, антифрод-механик и внимательности к способу оплаты. Если продажа внезапно просит криптовалюту или перевод на P2P-кошелек, это не «альтернативный платежный сценарий», а повод закрыть вкладку.
Чем ближе турнир, тем активнее будут не только болельщики, но и те, кто давно понял простую истину: там, где у людей срочность, эмоции и банковская карта под рукой, всегда находится рынок для цифровой подделки. Для ИБ-команд чемпионат мира 2026 года уже начался, просто вместо стадиона у них в расписании домены, рекламные кабинеты и чужие пиксельно точные копии бренда.