Една измама в търговията на дребно е използвала над 1200 имитиращи домейна с разширение .shop, споделящи един-единствен IP адрес. Сайтовете са използвали повторно HTML, JavaScript и дизайни на страници за плащане, предназначени за събиране на номера на карти, дати на валидност и кодове за сигурност, според доклада на Akamai Fraud and Abuse Report 2026.
Измама с билети е използвала подобна схема. Няколко уебсайта, представящи се за официални портали за продажба на билети и настаняване за голямо спортно събитие, са били проектирани да насочват платежна и лична информация към една и съща система за събиране на данни. Някои процеси на плащане са изисквали данни от паспорт или документ за самоличност под претекст за организиране на доставка на билети или достъп до събитието.
Адресите са осигурявали на престъпниците множество входни точки към една и съща операция. Ако един домейн бъде блокиран или премахнат, друг може да продължи да насочва информация към споделената система за събиране. Откраднатата информация след това може да послужи за измами с плащания, превземане на профили и злоупотреба със самоличност.
Следване на офертата
В една документирана кампания платена реклама в социалните мрежи е насочвала потребителите към фалшив магазин за приложения. Посетителите след това са изтегляли зловредно приложение, което е събирало чувствителна информация и е злоупотребявало с разрешенията на устройството.
Пример за измама при набиране на персонал (Източник: Akamai)
Измамите при набиране на персонал са се възползвали от очакването, че кандидатите ще предоставят лични данни. Фалшиво съдържание за наемане на работа се е появило в четири големи социални платформи, насочвайки хората към фишинг формуляри, предназначени за събиране на чувствителна информация.
Замяна на уебсайтове в рамките на часове
Операторите регистрират имитиращи адреси масово и ги оставят неактивни в продължение на седмици или месеци. Това може да помогне на даден домейн да изгради чиста репутация преди стартирането на измамата.
Някои сайтове променят съдържанието си в зависимост от посетителя. Автоматизиран скенер за сигурност може да получи безобиден материал, докато набелязаната жертва вижда измамната оферта. Местоположението и информацията за браузъра могат да определят коя страница ще се покаже.
Атакуващите разполагат фишинг страници на компрометирани уебсайтове, възползвайки се от репутацията на утвърден адрес. Повторно използваните фишинг комплекти, хостинг договорености и платежна инфраструктура позволяват появата на заместващи сайтове в рамките на часове след премахването на даден уебсайт.
Превръщане на паролите в покупки
Идентификационните данни, разкрити чрез измами и пробиви в данните, могат да осигурят достъп до съществуващи профили.
Автоматизирани програми тестват идентификационни данни, разкрити при по-ранни пробиви, в други услуги. Когато някой е използвал повторно парола, атакуващите могат да получат достъп до запазени методи на плащане, бонус точки или лични данни. След това те могат да променят данните на профила и настройките за възстановяване, за да затруднят собственика да си върне контрола.
В 30-дневна извадка, обхващаща юли и август 2026 г., Akamai класифицира 26.6% от записаните опити за влизане като високорискови или критични. Тези опити са били отбелязани като потенциални заплахи, изискващи разследване.
Заявките за потвърждение на профил са съставлявали 40% от изследвания високорисков или критичен трафик при влизане. Подобни заявки могат да помогнат на атакуващите да установят дали даден имейл адрес принадлежи към профил, преди да предприемат атака с компрометирани пароли.
Жертвите могат да открият кражбата чрез известие за покупка, липсващи точки или парола, която спира да работи. Компаниите се справят с оспорени трансакции, искания за възстановяване на суми и работата по възстановяване на достъпа.
Злоупотребата с откриване на профили започва при регистрацията
Престъпниците създават профили, за да събират бонуси за добре дошли, да се възползват от промоции, да тестват откраднати карти и да резервират продукти за препродажба. 8.3% от опитите за създаване на профили са били свързани със съмнения за измама през 2025 г.
Малките трансакции през фалшиви профили помагат на престъпниците да проверят дали откраднатите карти работят, преди да опитат по-големи покупки. Компаниите могат да понесат такси за обработка, оспорване на плащания (chargebacks) и глоби. Фалшивите профили могат да се използват за трупане на ограничени наличности, намалявайки достъпността за купувачите и снабдявайки прекупвачите.
Верификацията създава друга възможност. При схемите за генериране на изкуствен SMS трафик (SMS pumping) автоматизирани заявки задействат съобщения за регистрация или нулиране на парола към международни номера с висока тарифа, генерирайки разходи за бизнеса, който ги изпраща. Някои операции включват недобросъвестни телекомуникационни оператори, които си поделят получените приходи с измамниците.