Зафиксирована схема FakeHack с имитацией взлома госсервиса в мессенджерах

Компания F6, российский разработчик технологий для борьбы с киберугрозами, зафиксировала новый сценарий мошеннических атак, который используется злоумышленниками как минимум с конца августа 2026 года. Схема, получившая название FakeHack, предполагает массовую отправку ложных сообщений в мессенджерах от имени государственных ведомств. Об этом SecPost сообщили в компании.

Атака начинается с сообщения от аккаунта с вымышленным именем и отчеством, в качестве фото профиля которого используется символика одного из госведомств. Текст выдержан в стиле официального уведомления и содержит информацию о якобы имеющихся у пользователя неисполненных обязательствах. Под предложением «Проверить сведения» размещена сокращенная ссылка формата clck(.)ru/XXXXX, ведущая на фальшивый сайт ведомства, у которого нет домена — только IP-адрес.

При открытии поддельного сайта появляется окно для ввода кода, якобы подтверждающего вход в личный кабинет, а затем на той же странице отображается шестизначный код, который предлагается ввести ниже. Как отмечается в сообщении F6, имитация получения и ввода кода на одном и том же сайте является типичным признаком мошеннической схемы. Далее сайт имитирует взлом личного кабинета госсервиса и выводит сообщение: «Аккаунт Госуслуг взломан по мошеннической ссылке. Ваш код из SMS был использован мошенниками». Под предлогом фальшивого взлома пользователю предлагают позвонить по номерам «службы поддержки», где на звонок отвечает оператор мошеннического колл-центра. Схема с обратным звонком, как указывается в сообщении компании, используется для обхода антифрод-систем, блокирующих подозрительные входящие звонки.

Продолжение ниже

Главное отличие нового сценария, по данным F6, состоит в том, что после первой неудачной попытки вынудить пользователя перезвонить злоумышленники предпринимают более мощную атаку через мессенджер. Атака может проводиться с трех и более аккаунтов. Вначале направляется тревожное сообщение, прямо не связанное с имитацией взлома, например от аккаунта «Новости профиля»: «Удаление аккаунта запланировано через 24 часа». Затем от другого аккаунта, обозначенного как «ГУ», поступает сообщение в стиле официального уведомления о подозрительной активности в учетной записи, действиях с персональными данными, выгрузке паспортных данных, СНИЛС и ИНН, доступе к информации о месте жительства и недвижимости, формировании справки 2-НДФЛ и выгрузке электронной трудовой книжки. В сообщении указаны два телефонных номера для обратного звонка.

Далее с того же аккаунта приходят сообщения о том, что пользователь перешел по мошеннической фишинговой ссылке и указал вход в учетную запись Госуслуг, а также просьба обратиться в службу поддержки по телефону горячей линии. В четвертом сообщении от имени «отдела безопасности» злоумышленники заявляют: «От Вашего имени был получен запрос на оформление заявки на кредит. Сумма 2 200 000 ₽. Без обратной связи финансовая ответственность ляжет на владельца личного кабинета Госуслуг».

Если пользователь не поддается и на эти сообщения, как указывается в сообщении компании, мошенники запускают третью волну обмана: начинают писать от имени преступников, которые якобы взломали личный кабинет госсервиса. Злоумышленники используют мат и угрозы, например: «Из-за меня всю жизнь кредиты платить будешь». Для психологического давления могут прислать фотографию дома, в котором проживает атакуемый пользователь. Такие фото, по данным F6, берутся из открытых источников в интернете, а адреса — из мошеннических CRM-систем, в которые поступает информация из утечек баз данных. Цель второго этапа атаки остается той же — заставить пользователя перезвонить. Если это происходит, злоумышленники могут задействовать различные сценарии — от обвинений в финансировании террористов и требований «задекларировать» или «спасти» денежные сбережения до предложений от фальшивых «сотрудников спецслужб» и склонения к диверсиям или другим преступлениям.

В сообщении компании также отмечается, что киберпреступники постоянно обновляют сценарии мошеннических схем с обратным звонком. В июне 2026 года аналитики F6 зафиксировали схему с фейковыми сайтами «Радар РФ — Система оповещения населения» и «Ваша тревога», через которые якобы распространялись уведомления об атаках беспилотников и адресах ближайших укрытий, но фактически имитировался взлом личного кабинета госсервиса. В марте 2026 года специалисты F6 обнаружили схему, в которой злоумышленники от имени федерального ведомства рассылали по электронной почте письма с ложным уведомлением об «авторизации в аккаунте с помощью электронной подписи» и выгрузке документов.

Специалисты F6 рекомендуют обращать внимание на признаки обмана: государственные структуры не направляют официальные уведомления в мессенджерах, а сообщение побуждает к срочным действиям, когда нужно перейти по ссылке и позвонить по номеру, который не указан на официальном сайте ведомства. Не следует звонить по телефонам из сообщений от незнакомых отправителей, переходить по ссылкам от незнакомцев и открывать файлы из сомнительных источников. При любых сомнениях рекомендуется использовать только контакты, указанные на официальном сайте. Если поступило сообщение о взломе аккаунта в госсервисе, следует войти в мобильное приложение, проверить активные сессии и подключения в настройках и удалить незнакомые устройства. Если незнакомых устройств нет, значит, пользователя пытаются обмануть. Не следует вводить на незнакомых сайтах и сообщать посторонним никакие коды. При обнаружении подозрительного сайта рекомендуется отправить ссылку или сообщение на платформу «Антифишинг», специалисты F6 проверят информацию и передадут ее регуляторам для блокировки.