9 из 10 почтовых угроз в I полугодии 2026‑го пришлись на фишинг

По данным BI.ZONE Mail Security, в I полугодии 2026‑го на фишинг пришлось 90% нелегитимного почтового трафика против 80,7% годом ранее. Доля спуфинга снизилась с 17,4% до 8,9%, вредоносных вложений — с 1,8% до 1,0%. Таким образом, структура почтовых угроз сместилась от атак с использованием вредоносных вложений и подмены отправителя к фишингу, который предполагает влияние на сотрудника и эмоциональное побуждение его к нужному злоумышленнику действию.

Тренд наблюдался в большинстве отраслей. Доля фишинга выросла в здравоохранении в 1,4 раза, в страховании — в 1,2 раза, в промышленности и логистике — в 1,1 раза. Доля спуфинга снизилась в 1,1 раза в финансовых услугах и в 1,9 раза в промышленности и логистике.

Фишинг остается эффективным способом компрометации, поскольку позволяет злоумышленникам перенести атаку в контролируемую ими среду. Сотрудник попадает на поддельную страницу, где вводит учетные данные или выполняет нужное действие. Атаки с помощью вредоносного ПО сложнее: киберпреступникам приходится действовать непосредственно в инфраструктуре компании, где работают антивирусы и другие средства защиты.

Спуфинг часто становится частью фишинговой атаки: подмена отправителя помогает сделать сообщение более убедительным. Дальнейший сценарий остается тем же: сотрудника могут побудить открыть вредоносный файл или перейти на подготовленную злоумышленниками страницу.

Почта остается способом первоначального доступа для атакующих с разной мотивацией и целями. По данным BI.ZONE Threat Intelligence, количество группировок, использующих почту для первоначального доступа, в первом полугодии 2026 года выросло на 4,8% год к году. При этом состав действующих кластеров изменился: 9 из тех, что были активны в 2025‑м, в 2026‑м не были замечены, а 10 новых атакуют через электронную почту.

Так, кластер Clubfoot Wolf использует почту в финансово мотивированных атаках, Vortex Werewolf и Eagle Werewolf — в кампаниях против организаций государственного и оборонного сектора, а Insolent Hyena — для хактивистской активности.

Чтобы защититься от таких атак, компаниям необходимо сочетать технические средства и обучение сотрудников. Системы безопасности должны анализировать не только технические индикаторы, но и признаки социальной инженерии: манипулятивные формулировки, побуждение к срочным действиям, логические несоответствия и семантические аномалии. Для этого применяются ИИ‑модели, которые анализируют содержание сообщения, контекст и поведенческие признаки.

Сотрудников также важно обучать распознавать вредоносную корреспонденцию: поддельные счета, запросы на оплату, уведомления и другие сообщения, которые побуждают совершить опасное действие. При этом учебные атаки должны максимально воспроизводить реальные фишинговые и спуфинговые сценарии. Не стоит бояться, что сотрудник перейдет по ссылке в рамках такой тренировки. Задача обучения — не исключить ошибку, а научить отличать легитимное сообщение от поддельного. Если письмо или запрос вызывают сомнения, это уже повод остановиться и проверить их.