Киберпрестъпността се превърна в комерсиализирана екосистема, в която престъпниците могат да купят или наемат почти всяка функционалност, необходима за стартиране на сложни атаки. Тези услуги осигуряват анонимност, възможност за достоверно отричане и достъп до краткотрайна инфраструктура, която е трудна за откриване, класифициране и неутрализиране, позволявайки на нискоквалифицирани атакуващи да действат в голям мащаб, според Доклада за пейзажа на заплахите за 2026 г. на Infoblox.

„Киберпрестъпността става по-ефективна, автоматизирана и по-трудна за спиране. Водена от икономически фактори и подхранвана отчасти от авангардния изкуствен интелект, тя достигна безпрецедентен мащаб. Границата между финансово мотивираните лица и държавно спонсорираните субекти се разми в една сложна икономика, която позволява на престъпниците да избягват разкриването чрез сегментиране и приемане на масови услуги“, споделя д-р Рене Бъртън, ръководител на Infoblox Threat Intel.

Киберпрестъпността става все по-индустриализирана

Екосистемата на киберпрестъпността продължава да се разширява и специализира, тъй като печалбите привличат повече участници, позволявайки на атакуващите да се развиват по-бързо от защитниците. Изкуственият интелект автоматизира проучването, генерира убедителни примамки и увеличава скоростта и мащаба на атаките.

Ръководителите и други високопоставени лица са уязвими, тъй като злонамерените субекти експлоатират самоличността им в измами с имитация, компрометиране на служебна електронна поща (BEC) и схеми за социално инженерство. Доставчиците на услуги и телекомуникационните компании също са изложени на риск, тъй като престъпниците злоупотребяват с техните платформи и инфраструктура, за да улесняват атаките.

Услугите за киберпрестъпления включват пазари за схеми от типа „клане на прасета“ (pig-butchering), генерирани от ИИ примамки, банкови троянски коне за Android и инфраструктура, поддържаща незаконни хазартни операции. В една верига на атака с банков троянски кон за Android, престъпниците улавят еднократни пароли, цифрови отпечатъци на устройства, контакти и лицева биометрия, което им позволява да откраднат цели дигитални самоличности и да поддържат компрометирането на акаунти и измамите.

Кампаниите за измами, базирани на DCloud, включват фалшиви борси за криптовалута, схеми за „клане на прасета“, фишинг сайтове, инструменти за източване на портфейли, хазартни портали и измамни инвестиционни платформи. Тези кампании са насочени предимно към потребителите и могат да изложат на риск корпоративните мрежи, когато служителите попаднат на връзки за измами по време на лично сърфиране на служебни или лични устройства.

Скритата инфраструктура прави атаките възможни

За да избегнат откриването, атакуващите разчитат на изглеждаща надеждно и скрита инфраструктура. Те профилират посетителите по устройство, местоположение и поведение, като доставят измами или зловреден код само на целевите обекти, а на останалите, включително на изследователите по сигурността и автоматизираните скенери, показват безобидно съдържание.

Системите за маскиране и разпределение на трафика крият зловредната дейност зад доверени рекламни домейни и вериги от пренасочвания, намалявайки видимостта на зловредните кампании.

Доставчиците на „непробиваем“ хостинг (bulletproof hosting) подпомагат операциите на киберпрестъпниците, като дават приоритет на анонимността, игнорират докладите за злоупотреби и позволяват бърза миграция на инфраструктурата. Това позволява на фишинга, измамите, зловредния код и други незаконни дейности да продължават да съществуват.

Авторите на заплахи злоупотребяват с доверена инфраструктура, защото това повишава степента на успеваемост, намалява разходите, прикрива дейността, подобрява устойчивостта и може да осигури достъп до потребители или мрежи, които иначе биха били трудни за достигане.

Измамите с фалшиви CAPTCHA подвеждат мобилните потребители да изпращат скъпи международни текстови съобщения чрез измамни страници за проверка на потребителя. В един наблюдаван случай едно взаимодействие е генерирало около 60 съобщения и е струвало на жертвата около 30 долара. Операцията съчетава социално инженерство с автоматизирана инфраструктура за генериране на приходи в голям мащаб.

Имитирането на марки и измамите излагат организациите на риск чрез техните клиенти. След като идентификационните данни на клиентите и личната информация изтекат в престъпната екосистема, атакуващите могат да използват повторно данните, за да изнудват организациите, да разработват нови примамки и да подготвят следващи атаки.

Престъпниците създават фишинг страници, които много наподобяват легитимни уебсайтове. Те възпроизвеждат брандирането, логата и потребителското изживяване, вместо да разчитат само на домейни, съдържащи името на имитираната компания.

Селективното насочване оставя по-малко следи, което прави кампаниите по-трудни за идентифициране от екипите за сигурност, доставчиците на имейл услуги и изследователите.

Киберпрестъпниците експлоатират широкото използване на смартфони за служебни и лични дейности, като разработват персонализирани примамки, които изглеждат уместни и надеждни.

Краткотрайните кампании помагат на атакуващите да избягват списъците за блокиране и засичането чрез ротация на домейни, хостинг доставчици и URL адреси. Някои фишинг страници остават активни за по-малко от 24 часа, което намалява времето за разследване.

Новите технологии и разширяващите се повърхности за атака създават пропуски в сигурността, преди организациите да установят наблюдение и защита. Екипите за сигурност трябва да идентифицират собствеността, да събират данни, да изграждат методи за откриване, да актуализират политиките и да обучават служителите, което дава време на атакуващите да експлоатират тези пропуски.

Услугите за резидентни проксита насочват интернет трафика през ежедневни устройства като телефони.