Фишинговые атаки на клиентов банков: почему растет число инцидентов

Но этот показатель охватывает мошеннические операции разного типа, а не только хищения после перехода по поддельной ссылке или ввода данных на фишинговой странице.

Данные о самих фишинговых атаках дают более сложную картину. В III квартале 2025 года регулятор зафиксировал их меньше, чем составляло среднее за предыдущие четыре квартала. Поэтому формулировка «фишинг постоянно растет» не подтверждается приведенными показателями. Корректный разбор начинается с разделения метрик: число атак, количество ресурсов, переданных на блокировку, количество мошеннических операций и объем похищенных средств описывают разные этапы и масштабы угрозы.

Что именно растет, когда говорят о банковском фроде

Термин «фишинговая атака» часто используют для нескольких разных событий. Клиент мог получить сообщение с вредоносной ссылкой, открыть поддельную страницу, передать код подтверждения или установить приложение, которое дает злоумышленникам контроль над устройством. В другом случае мошенническая операция проходит без участия фишингового сайта: например, через телефонный разговор, скомпрометированную учетную запись или зараженное устройство.

Для анализа динамики эти события нельзя складывать в одну цифру. Банк России отдельно учитывает операции без добровольного согласия клиентов, выявленные ресурсы и фишинговые атаки. Число заблокированных сайтов тоже не равно количеству пострадавших: один ресурс может использоваться для множества попыток, а одна кампания может включать несколько доменов и каналов распространения.

В 2024 году общий объем операций без добровольного согласия вырос на 74,36% к 2023 году. Это значимый сигнал о масштабе мошеннической активности, но он не устанавливает ее причину и не позволяет выделить долю фишинга. Следовательно, объяснять весь рост потерь увеличением числа фишинговых атак было бы некорректно.

Рост мошеннических операций и динамика фишинга — разные показатели. Их смешение создает впечатление точного объяснения там, где статистика его не дает.

Для оценки причин увеличения числа фишинговых атак нужны сопоставимые данные именно по фишингу за несколько периодов, с одинаковой методикой учета. Доступные цифры такого долгосрочного ряда не дают. Они позволяют анализировать отдельные показатели 2024 года и III квартала 2025-го, но не выводить из них непрерывный тренд.

Что показала статистика за 2024 год

Среди ресурсов, по которым Банк России инициировал меры в 2024 году, 58% составляли фишинговые сайты, копировавшие названия известных банков и инвестиционных компаний. Это доля внутри конкретной группы выявленных ресурсов. Она не означает, что 58% всех атак, пострадавших или хищений связаны с фишингом.

Копирование бренда сокращает для преступника путь от контакта до действия. Пользователь видит знакомое название и оформление, после чего может принять поддельную страницу за официальный сервис. Вектор атаки часто строится вокруг срочности: сообщение предлагает подтвердить операцию, восстановить доступ, получить выплату или проверить блокировку. В результате клиент сам вводит учетные данные или одноразовый код на ресурсе, контролируемом злоумышленником.

Визуальная узнаваемость работает и за пределами банковской тематики: в поддельной рекламе могут использоваться названия компаний, стилистика известных брендов и узнаваемые образы. Например, обзоры модных трендов и коллекций показывают, насколько сильно брендовая визуальная идентичность связана с доверием аудитории. Для банковского антифрода практический вывод ограничен: знакомый дизайн не подтверждает подлинность страницы, а логотип сам по себе не является признаком защищенного канала.

В 2024 году регулятор направил регистраторам 1 335 ресурсов для последующего снятия с делегирования. Годом ранее таких ресурсов было 3 639, то есть показатель снизился на 63,3%. Это число описывает одну из мер противодействия, а не количество всех фишинговых сайтов в сети. Снижение может отражать особенности выявления, передачи данных и учета; оно не доказывает, что преступные кампании стали реже.

В обзоре за 2024 год указано, что снятие домена с делегирования занимает в среднем от трех часов до нескольких дней. Для антифрод-системы это временное окно имеет прямое значение: ресурс может оставаться доступным после обнаружения, пока проходит процедура блокировки. За это время злоумышленники способны менять адреса, запускать зеркала или перенаправлять пользователей на новые страницы. Поэтому удаление домена пресекает конкретный канал, но не устраняет саму схему.

III квартал 2025 года: меньше зафиксированных атак, меньше ресурсов на блокировку

В III квартале 2025 года было выявлено 631 фишинговая атака. Среднее значение за предыдущие четыре квартала составляло 817. Снижение относительно этого среднего — 22,77%.

На блокировку в том же квартале направили 3 091 ресурс, отнесенный к фишингу, против среднего значения 5 332 за предыдущие четыре квартала. Снижение составило 42,03%. Эти данные не дают основания заявлять о постоянном сокращении угрозы: они описывают один квартал относительно среднего предыдущих четырех, а не весь рынок и не все попытки атак.

Разница между двумя строками принципиальна. Атака — событие или кампания, ресурс — сайт либо иной объект, направленный на блокировку. Один сценарий может использовать несколько ресурсов; один сайт может обслуживать множество попыток. Сопоставлять эти числа напрямую и делать вывод о числе жертв нельзя.

Статистика Банка России также может корректироваться по мере актуализации сведений. С 25 июля 2024 года применяется обновленная форма отчетности об операциях без добровольного согласия клиентов. Изменение формы и последующее уточнение данных следует учитывать при сравнении периодов: отчеты отражают результаты учета, а не полный перечень всех попыток мошенничества, включая те, которые не были выявлены или не привели к операции.

Таким образом, данные за III квартал 2025 года показывают снижение двух конкретных показателей относительно заданных ориентиров. Они не подтверждают тезис о непрерывном росте фишинговых атак и одновременно не означают, что риск для клиентов исчез. Количество выявленных кампаний зависит, среди прочего, от обнаружения и классификации ресурсов, а отдельный инцидент может причинить ущерб независимо от квартальной динамики.

Социальная инженерия и компрометация мобильного устройства

Фишинговая страница — лишь один из элементов схемы. В 2024 году Банк России указывал на использование социальной инженерии, включая ссылки в SMS и рекламу на сайтах, для повышения вероятности заражения мобильного устройства. После заражения злоумышленник мог формировать распоряжения о переводе средств, а уведомления об операциях могли стать недоступны владельцу устройства.

Механика меняется по этапам. Сначала жертву подталкивают к переходу по ссылке или установке приложения. Затем вредоносное программное обеспечение получает возможности, позволяющие вмешаться в работу устройства или взаимодействие с банковским сервисом. После этого преступник пытается инициировать перевод, скрыть уведомление либо затруднить своевременное обнаружение операции.

В таком сценарии ссылка может вести не на поддельную страницу банка. Она может служить начальной точкой заражения, после которого дальнейшие действия происходят уже на устройстве. Именно поэтому защита только от поддельных сайтов не закрывает весь вектор атаки. Антифрод-системы банка могут выявить нетипичное распоряжение, но клиенту также важно не передавать коды подтверждения и не устанавливать приложения по инструкциям из сообщений или телефонных разговоров.

В 2024 году мошеннические операции с использованием платежных карт составили 821,87 тыс. случаев — наибольшее число среди перечисленных Банком России типов операций. Это количество случаев, а не сумма похищенных денег и не число фишинговых атак. Карточная операция может стать результатом разных сценариев, поэтому эта цифра не позволяет приписать все случаи фишингу или социальной инженерии.

Как ограничить ущерб: последовательность действий

Противодействие работает на нескольких уровнях. Банк блокирует подозрительные операции и ресурсы, операторы и регистраторы ограничивают доступ к доменам, клиент сохраняет контроль над учетными данными и устройством. Сбой на одном уровне не отменяет значение остальных.

Если клиент обнаружил подозрительную операцию или передал данные на сомнительном ресурсе, последовательность действий должна быть короткой и без импровизации:

1. Связаться с банком по официальному каналу. Использовать номер на карте, в официальном приложении или на сайте, адрес которого введен вручную. Сообщить о возможной компрометации и попросить заблокировать карту или дистанционный доступ, если банк сочтет это необходимым.

2. Остановить дальнейшее подтверждение операций. Не сообщать собеседнику коды из SMS и push-уведомлений, пароли и данные карты. Представитель банка не нуждается в коде, который подтверждает распоряжение клиента.

3. Проверить устройство. Если была установлена программа по ссылке или инструкции неизвестного лица, прекратить вход в банковские сервисы с этого устройства и обратиться за безопасной проверкой. Смена пароля с потенциально зараженного телефона может не устранить компрометацию.

4. Зафиксировать обстоятельства. Сохранить сообщения, адрес страницы, время контакта, сведения об операциях и обращения в банк. Это помогает восстановить хронологию инцидента и передать банку конкретные данные для расследования.

5. Оспорить операцию по процедуре банка. Запросить регистрацию обращения и выяснить порядок разбирательства. Возможность чарджбэка зависит от типа платежа и обстоятельств; она не является универсальным способом возврата средств при любом мошенничестве.

Для повседневной защиты полезны отдельные настройки: уведомления об операциях, лимиты на переводы и платежи, двухфакторная аутентификация там, где она доступна. Следует также установить запрет на установку приложений из неизвестных источников и обновлять операционную систему. Эти меры уменьшают последствия компрометации, однако не заменяют проверку канала связи и не гарантируют предотвращение операции.

Отдельная задача — сокращение времени реакции на фишинговый ресурс. Если обнаружена поддельная страница, сообщение о ней следует направить банку, чей бренд используется, и сообщить регистратору или через официальный механизм жалобы платформы. Снятие домена может занять часы или дни, поэтому ожидание, что ресурс исчезнет сразу после одного обращения, создает ложное чувство завершенности. Пока идет обработка жалобы, преступники могут сменить адрес.

Что можно заключить из цифр

В 2024 году вырос объем мошеннических операций без добровольного согласия клиентов, а среди ресурсов, по которым инициировались меры, заметную долю составляли сайты-копии банков и инвестиционных компаний. В III квартале 2025 года число выявленных атак и фишинговых ресурсов, направленных на блокировку, оказалось ниже средних значений за предыдущие четыре квартала.

Эти факты не складываются в простую линию роста фишинга. Они показывают масштаб финансового мошенничества, распространенность имитации брендов и результаты выявления ресурсов в конкретные периоды. Причины роста общего объема операций и долю потерь, связанную именно с фишинговыми атаками, по этим данным установить нельзя.

Практическая позиция остается строгой: относиться к резкому росту потерь как к предупреждению о высоком уровне мошеннической активности, но не подменять им статистику фишинга. Для клиента критично контролировать доступ к устройству и учетным данным; для банка — обнаруживать нетипичные распоряжения и сокращать время реакции; для анализа рынка — разделять инциденты, ресурсы и денежные потери. Именно это разделение позволяет оценивать угрозу без ложной уверенности и выбирать меры, соответствующие реальному вектору атаки.