Мошенники рассылают QR-коды компаниям, прикрываясь темой сбоев «Яндекса»

Российский разработчик технологий для борьбы с киберугрозами F6 зафиксировал новую волну мошеннических рассылок, нацеленных на компании по всей стране. Злоумышленники используют тему сбоев в работе «Яндекса» как прикрытие для схемы с QR-кодами, цель которой — выманить у жертв деньги и данные банковских карт. Об этом компания сообщила CNews.

Пользователи рунета в эти дни и без того активно обсуждают перебои в работе интернета и отдельных сервисов — судя по заголовкам в СМИ, вопросы о доступности мобильного интернета, а также таких платформ, как MAX, «ВКонтакте», Yota, МТС, «Мегафон», «Авито» и «билайн», оказались одними из самых частых запросов 15 октября. На этом фоне мошенники решили заработать на тревоге пользователей и бизнеса, встроив тему технических сбоев в свои фишинговые письма.

Читайте также: Роструд о рассылающих штрафы мошенниках

Как устроена схема с «спецдоставкой»

По данным аналитиков департамента киберразведки F6, в письмах, которые рассылаются от имени государственных учреждений, сотрудникам компаний сообщают о якобы проводимой «внеплановой выездной проверке», «контрольных мероприятиях» или уже «назначенной административной ответственности». Далее в письме говорится, что подробности дела направлены «специальной доставкой», а чтобы получить «физические документы», нужно отсканировать прикреплённый QR-код и оплатить доставку.

После сканирования жертву просят не только перевести деньги — обычно сумма составляет от 400 до 600 рублей, — но и указать данные банковской карты, ФИО и адрес получателя. Именно эти персональные данные, а не символическая оплата, и являются главной целью атакующих: собранные сведения могут использоваться в дальнейших кибератаках.

Особенность именно этой волны рассылок — отсылка к теме сбоев «Яндекса». В письмах мошенники прямо инструктируют жертву, как обойти «технические проблемы»:

Читайте также: Руководитель компании «ЦентрОбувь» фигурирует в уголовном деле о мошенничестве с кредитами

«Из-за проблем с интернетом в стране наблюдаются сбои в работе Яндекса. Если у Вас не открывается страница, повторите попытку через Гугл».

Как отмечают в F6, подобный приём с упоминанием «сбоев интернета» и проблем с «Яндексом» мошенники используют с начала 2026 года, но именно осенью такая легенда становится особенно убедительной — на фоне реальных жалоб пользователей на работу разных сервисов, подобных тем, что уже происходили в России ранее: так, 10 сентября в стране уже фиксировались массовые сбои мобильного интернета и популярных сервисов.

Кто стоит за атаками

Злоумышленника, рассылающего фишинговые письма с QR-кодами на оплату «спецдоставки», специалисты F6 Threat Intelligence отслеживают под именем QRGos TA. По их данным, он действует как минимум с осени 2025 года, маскируя фишинговые домены под официальные сайты государственных служб и ведомств.

В первой половине 2026 года атакующий рассылал письма от имени трёх федеральных служб, а в сентябре-октябре добавил маскировку ещё под два ведомства. Поддельные страницы, на которые ведут QR-коды, имитируют сайты служб доставки и размещаются в разных доменных зонах, включая .ru, .biz, .shop, .click, .info, .me, .space и ряд других нетипичных для госучреждений зон.

Кого атакуют и как защититься

По данным F6, осенью 2026 года получателями таких писем стали компании как минимум из пяти отраслей:

• промышленность;
• логистика;
• строительство;
• ретейл и интернет-торговля;
• операторы в сфере обращения с коммунальными отходами.

Рассылки, адресованные клиентам компании, были заблокированы системой защиты корпоративной почты F6 Business Email Protection. Чтобы не стать жертвой подобной схемы, специалисты F6 рекомендуют:

• не переходить по QR-кодам из писем и сообщений от неизвестных отправителей;
• проверять домен отправителя и адреса, на которые ведут ссылки или QR-коды — лишние слова, дефисы и нетипичные для госорганов доменные зоны должны насторожить;
• сопоставлять содержание письма с тем, куда реально ведёт ссылка: даже «официальное уведомление» не должно перенаправлять на посторонние ресурсы;
• при малейших сомнениях перепроверять информацию через официальные контакты ведомства, а не через ссылки из письма.

Поскольку мошенники явно продолжают подстраивать легенды под актуальную повестку — будь то реальные перебои с интернетом или сообщения о сбоях у отдельных сервисов, — компаниям стоит заранее проинструктировать сотрудников: любые «официальные» письма с QR-кодами и просьбой оплатить доставку документов следует перепроверять, а не выполнять инструкции сразу.