Кибератаки на бизнес всё чаще обходятся без подбора паролей и взлома MFA: жертву убеждают подтвердить легитимный код входа Microsoft, открыть привычную ссылку Adobe или скачать «официальный» ИИ-инструмент. Только с июня по 21 октября исследователи связали с фишинговым набором SkyW4lker 618 запусков в песочнице, причём 46% пришлись на США. Для российских компаний картина знакомая: используемые сервисы и сценарии универсальны, а значит защита должна смотреть не только на домен письма и наличие второго фактора.
В октябре 2026 года сразу пять кампаний поставили под удар американские организации из корпоративного, государственного, банковского и медицинского секторов, сообщает The Hacker News. Общий приём у атакующих один: встроиться в обычный рабочий процесс — согласование договора, обмен документом, приглашение на мероприятие, установка популярного приложения — и заставить сотрудника самостоятельно выдать доступ.
SkyW4lker и Mir0Auth используют аутентификацию по коду устройства Microsoft. Пользователь получает письмо с «договором», счётом или PDF-вложением, проходит CAPTCHA либо попадает на поддельную страницу DocuSign, а затем видит настоящую страницу Microsoft. Если он вводит предложенный код, злоумышленник получает авторизованную сессию или токен доступа. Пароль при этом не нужен, поэтому привычное правило «не вводить учётные данные на подозрительных сайтах» здесь работает лишь наполовину.
У SkyW4lker исследователи нашли технические связи с другим фишинговым набором — Gabagool. Одна из связанных инфраструктурных точек, IP-адрес 198.23.223.185, фигурировала в активности против компаний из технологического сектора, образования, консалтинга, здравоохранения и госструктур в США, Латинской Америке и Европе. Это важная деталь для SOC: одиночный URL из письма — не просто индикатор, который надо заблокировать, а отправная точка для поиска соседних доменов, адресов и похожих сценариев.
Доверенный домен больше не означает безопасный маршрут
Кампания GeorgeGinx маскирует переходы под ссылки Adobe Shared Links. Пользователь видит знакомый сервис обмена файлами, но после редиректов оказывается на странице с device code для Microsoft. Авторы кампании, по данным исследования, целятся в американские государственные организации, банки, медицину и IT. Проверка домена отправителя или верхнего уровня URL уже не закрывает проблему: вредоносная логика может скрываться в редиректах, сценариях страницы и параметрах запроса.
Отдельный канал риска — ажиотаж вокруг генеративного ИИ. Исследователи связали с поддельными ИИ-кампаниями 1 258 запусков в песочнице; США заняли второе место по числу таких наблюдений и первое — в двух крупных группах кампаний. Злоумышленники выдают вредоносные загрузки за приложения ChatGPT, Claude и других популярных сервисов, а также рассылают фальшивые приглашения на события. В одном из разобранных случаев настоящий установщик Claude запускался корректно, пока скрытые процессы похищали cookie браузера. Такие данные могут дать доступ к рабочему аккаунту без нового запроса MFA.
Для бизнеса это аргумент не в пользу тотального запрета ИИ, а в пользу управляемого списка разрешённого ПО и понятного процесса установки. Если разработчик или маркетолог скачивает клиент «для срочной задачи» вне корпоративного каталога, EDR может увидеть обычный установщик, а последствия проявятся уже в сессии браузера или почте. Полезно ограничить несанкционированные установки, проверять неожиданные приглашения и отдельно отслеживать кражу браузерных данных и подозрительные новые сессии.
Пятая угроза, WKLP, действует грубее, но от этого не менее опасна. Python-инфостилер и RAT замечен против государственных организаций США и Франции. Он использует PowerShell и легитимную среду выполнения Python, собирает учётные данные, данные браузера и файлы, затем добавляет исключения в Microsoft Defender, завершает защитные процессы и создаёт замаскированные правила брандмауэра. В анализе вредоносная активность маскировалась под процесс MoUsoCoreWorker.exe — имя, которое легко потеряется среди системной телеметрии.
Практический минимум для команд защиты здесь довольно приземлённый: включить Microsoft Defender Tamper Protection, расследовать каждое новое исключение антивируса, коррелировать изменения правил брандмауэра с PowerShell и запуском Python, а также ограничить ненужную аутентификацию по коду устройства через Conditional Access в Microsoft Entra. При подозрении на Mir0Auth или SkyW4lker недостаточно сменить пароль: нужно отозвать активные сессии и токены Microsoft 365, иначе захваченный доступ продолжит жить своей жизнью.
Кибератаки на бизнес становятся дешевле для преступников именно потому, что эксплуатируют легитимные облачные сервисы и решения, которые компании уже разрешили. Следующий уровень зрелости SOC — не просто блокировать «плохие» домены, а связывать письмо, редирект, токен, сетевую инфраструктуру и поведение конечной точки в одну цепочку. Подробности расследований и индикаторы кампаний опубликованы в материале .
