ИИ-фишинг в почте перестаёт выглядеть как письмо с ошибками, странным доменом и просьбой «срочно подтвердить пароль». На конференции Protect 2026 компания Proofpoint показала кампанию, в которой злоумышленник написал более чем 30 риелторам одной компании: с разных ящиков, по разным объектам и разными словами — но в итоге каждого пытался завести в видеовстречу. Для российских команд это означает неприятную вещь: привычная ставка на распознавание подозрительного текста и шаблонов всё хуже защищает сотрудников.
Об этом сообщает The Hacker News со ссылкой на примеры Proofpoint. В 2025 году Центр жалоб на интернет-преступления ФБР получил свыше 22 тыс. обращений, связанных с использованием ИИ, а заявленный ущерб приблизился к 900 млн долларов. Отдельно ведомство зафиксировало 24 768 жалоб на компрометацию деловой переписки (BEC) с заявленным ущербом около 3,05 млрд долларов. Эти категории не стоит механически складывать, но цифры хорошо показывают масштаб поля, на котором генеративный ИИ теперь работает и на атакующих.
Почтовые фильтры годами извлекали пользу из ограничений самих мошенников. Подготовить убедительное письмо от лица поставщика, изучить компанию, написать на чужом языке и быстро сделать десятки вариантов было дорого по времени. Поэтому преступники повторяли тексты, инфраструктуру и сценарии. Системы защиты ловили новые домены и ящики, корявые переводы, нетипичное время отправки, несоответствие запроса истории переписки и повторяющиеся вложения.
Языковая модель снимает значительную часть этой цены. Она может локализовать текст, подстроить его под роль адресата, сымитировать подпись, придумать правдоподобную историю обсуждения и выдать отдельный вариант для каждого получателя. Сам по себе грамотно написанный запрос о просмотре квартиры или коммерческом предложении больше не доказывает ничего — как и отсутствие грамматических ошибок не доказывает добросовестность отправителя. ИИ-фишинг в почте становится опаснее не из-за одной «магической» технологии, а из-за дешёвой массовой персонализации.
Тридцать диалогов вместо одного шаблона
В примере с риелторами начальные письма выглядели буднично: вопрос о доступности объекта, ориентире по цене или возможности посмотреть недвижимость на неделе. Адресаты отвечали на реальные входящие ящики и продолжали уже начатые цепочки. В одном случае запрос на осмотр, отправленный в 2:58 ночи, через 13 минут превратился в приглашение на встречу с требованием немедленного внимания. Для оформления использовался брендированный шаблон, а ссылка вела через настоящий редирект google.com. Репутационная проверка такого адреса выглядит благополучно, хотя параметр в ссылке затем уводит человека на посторонний сайт.
Здесь почти нечего сопоставлять по старой логике. Каждый отправитель впервые пишет конкретному агенту, общей истории взаимодействия нет. Темы писем и формулировки отличаются, поэтому контентный шаблон не повторяется. Общим остаётся только целевое действие: перевести собеседника из безопасного рабочего контекста в видеовстречу по подготовленной ссылке. Тот же сценарий можно переносить на клиники, банки, страховые компании, юридические фирмы и любой бизнес, который обязан отвечать незнакомым людям. Proofpoint описала и вариант для страховых агентов: сначала запрос расчёта, вопрос о покрытии или ссылка на рекомендацию соседа, затем поддельное приглашение на конференцию с полезной нагрузкой.
Генеративные модели помогают не только красть учётные данные или деньги. Proofpoint также наблюдала кампании давления на руководителей: сотни и тысячи разных отправителей пишут им сообщения, адаптированные под отрасль компании. Часть писем содержит оскорбления, часть — сгенерированные или изменённые изображения с издевательским содержанием. В отдельном сообщении нет вредоносной ссылки и нет вложения для песочницы; оно может выглядеть как письмо от раздражённого клиента. Сигнал появляется только при анализе потока целиком, включая текст и картинки. Для SOC это аргумент в пользу корреляции событий, а не оценки каждого письма в вакууме.
Фильтровать не форму, а цель
Ещё один показанный Proofpoint сценарий использует одну схему фишинга под четырьмя масками: портал суда, сервис подписания документов, проверку личности и библиотеку финансовых отчётов. На странице жертве показывают код и предлагают перейти на легитимную страницу входа, чтобы вставить его. Но код создан атакующим: его ввод подтверждает сессию злоумышленника. Это техника device-code phishing. Менять обложку такой схемы можно быстро, поэтому совпадения по дизайну страницы и тексту теряют ценность, тогда как задача атаки не меняется — получить авторизованную сессию.
Особенно наглядно это видно в BEC. В одном из примеров мошенническое письмо содержит целую сфабрикованную переписку между якобы аудиторским подрядчиком и руководителем компании. В ней обсуждаются счёт, скидка 50% за лояльность и дата оплаты; приложенный инвойс перечисляет этапы аудита, часы и ставки. Финальный запрос просит оплатить счёт в тот же день на реквизиты, не совпадающие с адресом отправителя. Раньше изготовление такого комплекта требовало заметно больше ручной работы. Теперь убедительный черновик переписки и счёта можно собрать за секунды, а затем масштабировать на большее число целей.
Proofpoint предлагает смещать анализ от поведенческих признаков к намерению сообщения: что именно адресата пытаются заставить сделать, уместно ли это в текущих отношениях и каким приёмом добиваются результата. В запросе на смену банковских реквизитов поставщика тревожными могут быть не ошибки в тексте, а сочетание факторов: первая смена реквизитов за годы, ответ не в ту ветку переписки, дедлайн под конкретный платёжный запуск, просьба обсуждать вопрос вне цепочки с одним человеком и заранее закрытый канал проверки под предлогом «миграции» финансового ящика.
Это не отменяет сигнатуры, репутацию доменов, правила и IOC: известные угрозы ими по-прежнему удобно отсекать быстро и массово. Но ИИ-фишинг в почте заставляет добавлять контекстный слой — сверять запрос с бизнес-процессом, историей контрагента и ожидаемым маршрутом согласования. Разработчикам корпоративных систем стоит предусмотреть простую независимую верификацию критичных действий, а руководителям безопасности — измерять не только долю заблокированных писем, но и долю остановленных рискованных операций. Главный вопрос теперь не в том, сумеет ли письмо выглядеть нормальным: генеративный ИИ уже умеет. Вопрос в том, сможет ли защита понять, зачем оно пришло, раньше сотрудника, который нажмёт на ссылку.
