Облачная система защиты корпоративной почты F6 Business Email Protection (BEP) провела анализ около 1,5 миллиарда корпоративных писем за первое полугодие 2026 года, обнаружив 24,8 миллиона нежелательных и 196 тысяч вредоносных сообщений. В результате, система фиксировала в среднем одно вредоносное письмо каждые 80 секунд, что составляет более тысячи таких писем ежедневно. Об этом сообщили в F6, как передал IT Speaker.
Наибольшее количество атак пришло на промышленный сектор, который составил 21% от всей вредоносной активности; затем следуют ритейл и электронная коммерция (14,8%), фармацевтическая отрасль (6,6%), пищевая промышленность (5,8%) и финансовый сектор (5,6%). Почти половина всех атак была распределена между другими отраслями, что подчеркивает широкий охват различных секторов.
Злоумышленники все чаще скрывают вредоносные рассылки под видом обычных бизнес-процессов: почти 70% вредоносных писем касались закупок, коммерческих предложений, счетов и платежей. Общие почтовые адреса, такие как info@, support@ и orders@, которые есть у большинства организаций, активно использовались в рассылках – на адрес info@ приходилось 12,8% вредоносных сообщений. Кроме того, в первом полугодии специалисты зафиксировали кампании с уведомлениями о компрометации электронной подписи, подозрительных входах в аккаунты и попытках перевести атаку в телефонный канал через мошеннические колл-центры. Также наблюдалось использование геополитической тематики: в апреле группа PhantomCore рассылала письма якобы от имени МИД России с PDF-вложением, содержащим вредоносное ПО.
Наибольшее количество вредоносных рассылок пришло на апрель, превысив показатели января на 64%, а после небольшого спада в мае, в июне количество атак вновь увеличилось на 55% по сравнению с январем. Пиковые нагрузки почти всегда фиксировались в рабочие дни – 96% всех вредоносных писем было зарегистрировано с понедельника по четверг в рабочее время, когда сотрудники наиболее активно используют корпоративную почту. Инфраструктура для рассылок чаще всего находилась в США (25,6%), Украине (22%) и Нидерландах (15,3%), на которые в сумме приходилось почти две трети всех известных серверов.
Среди обнаруженного вредоносного ПО преобладали стилеры и кейлоггеры, на которые приходилось 63,6% образцов, а в сочетании с троянами удаленного доступа (RAT) – 83,1%. Для доставки вредоносного содержимого злоумышленники в основном использовали архивы (.zip, .rar) и HTML-файлы, которые составили 87% всех вредоносных вложений, причем архивы часто защищались паролем, чтобы скрыть содержание от автоматизированной проверки. Что касается ссылок, то лишь 30,8% из них вели непосредственно на вредоносные или фишинговые сайты, тогда как остальные 69,2% сначала перенаправляли через CDN, публичные платформы, облачные хранилища и сокращатели ссылок, причем вредоносный контент мог появляться уже после завершения проверки.
Как отметил бизнес-руководитель направления F6 MXDR Дмитрий Черников, современные атаки все меньше напоминают традиционный спам и все чаще имитируют обычную деловую переписку, поэтому эффективная защита требует анализа не только репутации отправителя, но и взаимосвязей между содержанием письма, вложениями, ссылками и поведением объектов после доставки. Особое внимание следует уделять проверке наличия пароля к архиву в теме или теле письма, так как без этого, согласно данным компании, остается открытым вектор 65% атак.
Ранее компания F6 выявила масштабную мошенническую кампанию, существующую уже более девяти лет. Участники этой схемы создают сайты-клоны крупных российских предприятий из химической, металлургической, нефтехимической, пищевой и финансовой сфер на английском, французском, арабском и русском языках. Исследователи F6 обнаружили 98 доменов фальшивых «сайтов-клонов», которые использовались в атаках на международных клиентов для кражи средств при предоплате за несуществующие товары.
В июле произошла крупная утечка медицинских данных россиян
