⚠️ Мошенники девять лет клонируют сайты российских экспортёров и крадут предоплаты С 2017 года организованная группа создаёт высококачественные копии сайтов российских производителей удобрений, нефтехимии, металлургии и логистических операторов. Цель — перехватывать предоплату от иностранных покупателей в B2B-сделках. Почти 100 поддельных доменов, свыше 9 лет активности, атаки через холодные звонки, фишинговые письма и фальшивые контракты — по данным The Hacker News со ссылкой на F6, кампания оставалась незамеченной, пока жертвы сами не начинали звонить реальным компаниям с вопросами о недоставленных товарах. Схема опирается на социальную инженерию, а не на вредоносный код. Нанятые агенты делают холодные звонки, передавая клиента «старшему менеджеру» на финальном этапе. После этого контракты, счета и инвойсы с подставными банковскими реквизитами отправляются жертве — азербайджанская компания потеряла $150 000 в апреле 2025 года. Инфраструктура указывает на единый оператор: большинство клонов используют IP-адреса 212.127.73[.]235 и 167.86.100[.]68, общие DNS-записи и регистрационные данные. Особый цинизм: когда настоящие компании публиковали предупреждения о мошенничестве, злоумышленники копировали эти уведомления на свои сайты, заменив ссылки на легитимные домены поддельными. Ранний эпизод 2017 года с клоном agrocenter-eurohem[.]ru показал ту же тактику — идеальное воспроизведение официального бланка, подмена банковских реквизитов и убедительный пакет документов для сделки. Эта кампания обнажает слепую зону классической киберзащиты: ни один EDR не детектирует поддельный PDF-контракт, а песочница не остановит звонок секретарю. В международном трейдинге реальный периметр — не файрвол, а выверка регистрационных данных контрагентов через government business registries и ручная проверка платёжных реквизитов перед переводом. Кто в последний раз сверял банковские реквизиты вашего зарубежного «дочернего» поставщика вручную? #fraud #BEC #brandjacking #F6 #кибербезопасность