В первом полугодии 2026 г. доля фишинга в нелегитимном почтовом трафике выросла на 11,6% по сравнению с аналогичным периодом 2025 г. Доля спуфинга снизилась на 49%, вредоносных вложений — на 44,4%. Об этом CNews сообщили представители Bi.Zone.

По данным Bi.Zone Mail Security, в первом полугодии 2026 г. на фишинг пришлось 90% нелегитимного почтового трафика против 80,7% годом ранее. Доля спуфинга снизилась с 17,4% до 8,9%, вредоносных вложений — с 1,8% до 1%. Таким образом, структура почтовых угроз сместилась от атак с использованием вредоносных вложений и подмены отправителя к фишингу, который предполагает влияние на сотрудника и эмоциональное побуждение его к нужному злоумышленнику действию.

Тренд наблюдался в большинстве отраслей. Доля фишинга выросла в здравоохранении в 1,4 раза, в страховании — в 1,2 раза, в промышленности и логистике — в 1,1 раза. Доля спуфинга снизилась в 1,1 раза в финансовых услугах и в 1,9 раза в промышленности и логистике.

Фишинг остается эффективным способом компрометации, поскольку позволяет злоумышленникам перенести атаку в контролируемую ими среду. Сотрудник попадает на поддельную страницу, где вводит учетные данные или выполняет нужное действие. Атаки с помощью вредоносного ПО сложнее: киберпреступникам приходится действовать непосредственно в инфраструктуре компании, где работают антивирусы и другие средства защиты.

Спуфинг часто становится частью фишинговой атаки: подмена отправителя помогает сделать сообщение более убедительным. Дальнейший сценарий остается тем же: сотрудника могут побудить открыть вредоносный файл или перейти на подготовленную злоумышленниками страницу.

Дмитрий Царев, руководитель управления облачных решений кибербезопасности Bi.Zone: «Фишинговая атака обычно побуждает сотрудника перейти по ссылке, ведущей на поддельную страницу для ввода учетных данных, или скачать вредоносный файл. Поэтому злоумышленники стараются сделать письмо максимально похожим на привычную рабочую коммуникацию. Например, имитируют запрос от коллеги или подрядчика, предлагают получить выгоду или требуют срочно выполнить действие. При этом фишинговые кампании становятся более управляемыми. В даркнете уже продаются готовые платформы для рассылок, которые позволяют создавать шаблоны писем, управлять отправкой и проверять, попадают ли сообщения в спам».

Почта остается способом первоначального доступа для атакующих с разной мотивацией и целями. По данным портала киберразведки Bi.Zone Threat Intelligence, количество группировок, использующих почту для первоначального доступа, в первом полугодии 2026 г. выросло на 4,8% год к году. При этом состав действующих кластеров изменился: 9 из тех, что были активны в 2025 г., в 2026 г. не были замечены, а 10 новых атакуют через электронную почту.

Так, кластер Clubfoot Wolf использует почту в финансово мотивированных атаках, Vortex Werewolf и Eagle Werewolf — в кампаниях против организаций государственного и оборонного сектора, а Insolent Hyena — для хактивистской активности.

Чтобы защититься от таких атак, компаниям необходимо сочетать технические средства и обучение сотрудников. Системы безопасности должны анализировать не только технические индикаторы, но и признаки социальной инженерии: манипулятивные формулировки, побуждение к срочным действиям, логические несоответствия и семантические аномалии. Для этого применяются ИИ-модели, которые анализируют содержание сообщения, контекст и поведенческие признаки.

Сотрудников также важно обучать распознавать вредоносную корреспонденцию: поддельные счета, запросы на оплату, уведомления и другие сообщения, которые побуждают совершить опасное действие. При этом учебные атаки должны максимально воспроизводить реальные фишинговые и спуфинговые сценарии. Не стоит бояться, что сотрудник перейдет по ссылке в рамках такой тренировки. Задача обучения — не исключить ошибку, а научить отличать легитимное сообщение от поддельного. Если письмо или запрос вызывают сомнения, это уже повод остановиться и проверить его.

• Подобрать оптимальный виртуальный сервер VPS/VDS на ИТ-маркетплейсе CNewsMarket