Улов из облака
Улов из облака Мы уже касались темы фишинга, но в основном в контексте почтовых рассылок и поддельных сайтов. Однако за последний год злоумышленники нашли способ, который делает традиционные методы обнаружения почти бесполезными: они просто арендуют место у Cloudflare, Vercel, GitHub Pages и других уважаемых облачных провайдеров. За 12 месяцев с августа 2025 по июль 2026 года «Лаборатория Касперского» заблокировала 224 984 уникальных домена третьего уровня на таких платформах — и это только те, что удалось обнаружить. Легитимные PaaS-сервисы дают фишерам все, о чем можно мечтать. Бесплатные тарифы без KYC, автоматические SSL-сертификаты, глобальные CDN и доверие пользователей, которые привыкли видеть pages[.]dev и vercel[.]app в адресной строке. Блокировать весь домен провайдера нельзя — там же миллионы легитимных проектов. Поэтому вендорам остается только контентный анализ, который, как мы видим, справляется далеко не со всем. В топе-10 лидируют Cloudflare Pages (24,9% всех фишинговых ссылок), Vercel (13,8%) и GitHub Pages (13,7%). IPFS-шлюзы dweb[.]link и ipfs[.]io тоже в списке — их контент вообще невозможно удалить, только блокировать отдельные шлюзы. Механика атаки, которую разобрали эксперты, заслуживает отдельного упоминания. Это многоступенчатая AitM-атака (Adversary-in-the-Middle) на Cloudflare Workers. Жертва получает письмо с ссылкой на взломанный сайт (без классики не обошлось), где ее встречает фальшивая капча, собирающая email. Дальше перенаправление на workers[.]dev, где в браузере регистрируется сервисный работник, перехватывающий все сетевые запросы. На финальном этапе внутри легитимной страницы открывается iframe, стилизованный под системное окно браузера с адресом Microsoft, а реальная форма авторизации проксируется через тот же Service Worker. Жертва вводит логин, пароль и MFA-код — и все это уходит злоумышленникам вместе с сессионными токенами. Комбинация BitB (Browser-in-the-Browser) и AitM делает атаку почти незаметной, так как пользователь видит правильный URL, правильный сертификат и даже предзаполненный логин. @antiinfosec