«Лаборатория Касперского» нашла свыше 390 тысяч фишинговых атак через легитимные облачные платформы

«Лаборатория Касперского» зафиксировала свыше 390 тысяч фишинговых атак за период с августа 2025 по июль 2026 года, в которых злоумышленники использовали легитимные облачные платформы для размещения фишинговых ссылок, сообщает CNews. Чаще всего для этого эксплуатировались Cloudflare Workers, Vercel, GitHub Pages и Netlify — сервисы, которым по умолчанию доверяют почтовые фильтры и системы веб-репутации.

Использование легитимной инфраструктуры позволяет атакующим обходить многофакторную аутентификацию и защитные системы, которые ориентируются на репутацию домена: ссылка на поддомен доверенного облачного сервиса реже блокируется автоматическими фильтрами, чем адрес на подозрительном домене.

В атаках применялись техники Adversary-in-the-Middle, перехватывающие сессионные токены после ввода учётных данных, и Browser-in-the-Browser (BiTB) — подмена интерфейса браузера поддельным окном авторизации. Отдельно фиксировалось использование поддельных CAPTCHA, которые собирали адреса электронной почты жертв перед перенаправлением на фальшивые формы входа в Microsoft Office 365.

Рост числа атак через доверенную облачную инфраструктуру отражает общий тренд эволюции фишинга: по мере того как классические индикаторы компрометации — подозрительные домены, самоподписанные сертификаты — становятся легко детектируемыми, злоумышленники переносят инфраструктуру на легитимные бесплатные хостинги, усложняя автоматическое обнаружение.

Для корпоративных служб информационной безопасности результаты исследования означают необходимость пересмотра политик доверия к трафику с популярных облачных платформ и усиления контроля на уровне анализа поведения, а не только репутации домена — классические чёрные списки против такой инфраструктуры малоэффективны.