Мошенники используют сбои «Яндекса» для фишинга с QR-кодами

Фишинговые рассылки маскируются под официальные уведомления о проверках

Компания F6 зафиксировала новую схему мошенничества. Злоумышленники рассылают российским компаниям письма с QR-кодами. Они маскируют сообщения под официальные уведомления от федеральных служб о внеплановых проверках и административной ответственности. В письмах сообщается, что подробности направлены «спецдоставкой». Для получения документов предлагается оплатить услугу по QR-коду. Атакующие указывают, что из-за сбоев в работе «Яндекса» следует использовать сервисы Google для открытия страниц. Цель мошенников — получить деньги и данные банковских карт, ФИО и адрес получателя. Эти сведения могут использоваться для дальнейших кибератак. Схема с использованием проблем с интернетом и сбоев «Яндекса» применяется с начала 2026 года, но осенью становится более актуальной.

Злоумышленник QRGos TA использует поддельные страницы оплаты

Специалисты F6 Threat Intelligence отслеживают злоумышленника под именем QRGos TA. Он действует как минимум с осени 2025 года. Мошенник использует фишинговые рассылки с QR-кодами, ведущими на поддельные страницы оплаты и ввода банковских реквизитов. Для отправки писем он регистрирует домены, маскирующиеся под официальные сайты госслужб. В первой половине 2026 года злоумышленники отправляли письма от имени трех федеральных служб. В сентябре-октябре они стали использовать маскировку еще под два ведомства. В осенью 2026 года получателями писем стали компании из пяти отраслей: промышленности, логистики, строительства, ретейла и интернет-торговли, а также операторы в сфере обращения с коммунальными отходами. Фишинговые сайты размещаются в доменных зонах .ru, .beer, .biz, .cam, .casa, .click, .info, .lat, .me, .rest, .shop, .space и .wiki. Страницы имитируют официальные сайты сервисов доставки.

Не переходить по QR-кодам из неизвестных писем

Не следует переходить по QR-кодам из писем и сообщений от неизвестных отправителей. Необходимо проверять домены отправителя и домены, на которые ведут ссылки или QR-коды. Лишние слова, дефисы, региональные префиксы и нетипичные для госорганизаций доменные зоны должны вызывать подозрение. Следует сравнивать содержание письма и реальное назначение ссылки. Даже «официальное уведомление» не должно перенаправлять пользователя на сторонние ресурсы. При малейших сомнениях нужно перепроверять информацию по контактам с официального сайта ведомства.