Фишинг с использованием искусственного интеллекта

Фишинг всегда был игрой с числами. Отправьте достаточно писем, и кто-нибудь кликнет. Но в 2026 году игра полностью изменилась.

Прошли времена плохо написанных писем от «нигерийских принцев» с плохими грамматическими и орфографическими ошибками. Сегодня киберпреступники используют Генераторный искусственный интеллект для создания персонализированных, грамматически совершенных и очень убедительных фишинговых кампаний в больших масштабах.

Добро пожаловать в эпоху фишинга с использованием искусственного интеллекта.

В этом руководстве мы рассмотрим, как ИИ меняет социальную инженерию, какие новые угрозы вам следует остерегаться и, что наиболее важно, как защитить себя и свою организацию.

Как ИИ делает фишинг опаснее

Инструменты искусственного интеллекта, такие как модели большого языка (LLM), снизили барьер для входа в сложные кибератаки. Вот как злоумышленники используют ИИ:

1. Безупречные грамматика и тон

Модели искусственного интеллекта могут генерировать текст, неотличимый от текста носителя языка. Они могут имитировать корпоративный жаргон, профессиональную вежливость или даже особый стиль письма вашего генерального директора. Это устраняет красный флаг «плохой грамматики», на который нас учили обращать внимание.

2. Гиперперсонализация (целевой фишинг)

ИИ может парсить социальные сети (LinkedIn, Twitter/X), чтобы создать профиль цели. Затем он может создать фишинговое электронное письмо, в котором упоминаются недавние события, коллеги или проекты.

Старый способ: «Уважаемый клиент, обновите свою учетную запись».
AI Way: «Привет, Сара! Вчера вы отлично поработали над презентацией третьего квартала. Можете ли вы быстро просмотреть этот обновленный файл бюджета перед заседанием совета директоров во вторник?»

3. Клонирование голоса и дипфейки (вишинг)

«Вишинг» (Голосовой Фишинг) стал пугающе эффективным. ИИ может клонировать голос человека всего за несколько секунд аудиосэмпла. Злоумышленники используют это, чтобы звонить сотрудникам, выдающим себя за руководителей, и требовать срочного банковского перевода или сброса пароля.

4. Взаимодействие в реальном времени

Чат-боты, основанные на вредоносном искусственном интеллекте, могут вовлекать цели в разговоры в реальном времени через SMS или WhatsApp, укрепляя доверие перед доставкой вредоносной полезной нагрузки.

Новые угрозы 2026 года

Мошенничество с «виртуальным похищением»

Используя технологию клонирования голоса, мошенники звонят родителям и утверждают, что похитили их ребенка. Они проигрывают клонированный аудиоклип, где ребенок кричит или просит о помощи. Это жестокая эмоциональная атака, направленная на принуждение к немедленной выплате.

Мошенничество от имени руководителя с использованием ИИ

Злоумышленники используют дипфейковые видео или аудио во время звонков в Zoom, чтобы выдать себя за руководителей высшего звена. В известном случае финансового работника транснациональной компании обманом заставили заплатить 25 миллионов долларов после видеозвонка с поддельным финансовым директором.

Полиморфное вредоносное ПО

ИИ может писать код, который меняет свою структуру каждый раз при репликации, что невероятно затрудняет его обнаружение традиционным антивирусным программным обеспечением.

Как распознать фишинг с использованием ИИ

Несмотря на свою изощренность, атаки ИИ по-прежнему имеют слабые места. Вот что искать:

1. Триггер срочности

ИИ запрограммирован манипулировать эмоциями. Скептически относитесь к любым сообщениям, требующим немедленных действий, секретности или в обход стандартных процедур.

2. Контекстные несоответствия

Имеет ли запрос смысл? Действительно ли генеральный директор напишет вам в WhatsApp с просьбой о подарочных картах? Даже если голос звучит правдоподобно, усомнитесь в логике просьбы.

3. Проверка по независимому каналу

Если вы получили подозрительный запрос (особенно на деньги или данные), подтвердите его через другой канал.

Запрос по электронной почте? Позвоните этому человеку.
Телефонный звонок? Повесьте трубку и перезвоните по официальному внутреннему номеру.

4. Ищите «галлюцинации» ИИ

Иногда ИИ выдумывает факты. Если электронное письмо ссылается на несуществующий проект или собрание, это красный флаг.

Как защитить организацию

Внедрите защиту на основе ИИ

Боритесь с огнем огнем. Современные решения по обеспечению безопасности электронной почты используют искусственный интеллект для анализа моделей общения и обнаружения аномалий, которые люди могут пропустить.

Обновите обучение по информационной безопасности

Обучайте сотрудников дипфейкам и клонированию голоса. Совет «ищите опечатки» устарел. Сосредоточьтесь на проверке личности и соблюдении процедуры.

Введите кодовые слова

Для семей или небольших команд установите «стоп-слово» или контрольный вопрос, который знаете только вы. Если кто-то позвонит и скажет, что у него проблемы, попросите безопасное слово.

Специфика русскоязычного сегмента: почему это касается и СНГ

Русскоязычные фишинговые кампании давно перестали быть «переводом английских шаблонов». В 2025–2026 годах отчеты Group-IB (F.A.C.C.T.), «Лаборатории Касперского» и BI.ZONE фиксировали целые индустрии подмены: фейковые онлайн-версии сервисов «Госуслуг», «Сбербанк Онлайн», Тинькофф и Wildberries, а также поддельные HR-платформы, через которые ищут работу соискатели.

Типовые русскоязычные сюжеты, на которые стоит обратить внимание:

«Ваша учетная запись Госуслуг заблокирована, подтвердите данные» — фейковый домен часто отличается на одну букву (gosuslugl вместо gosuslugi).
«Вход в Сбербанк Онлайн по ссылке из SMS» — имитация настоящих push-уведомлений банка со ссылкой на поддельную страницу.
«Пришлите отчет до конца дня» от имени руководителя — вишнинг с клонированным голосом на русском.
Фейковые порталы поиска работы с просьбой установить «тестовое приложение для видеособеседования» — на деле удаленный доступ к устройству.

Дополнительный фактор СНГ: распространенность мессенджеров (Telegram, WhatsApp) как рабочего канала. Значительная часть запросов «перевести сумму», «прислать код из СМС» приходит именно туда, где нет корпоративной защиты почтового шлюза. Если ваша компания использует мессенджеры для служебной переписки, распространите на них те же правила проверки, что и на почту.

Процедура проверки транзакций и данных (для малого и среднего бизнеса)

Технологическая защита бессильна, если регламент позволяет обойти её одним звонком — и бухгалтер успокаивает платеж. Введите простой, жесткий регламент:

Любой исходящий платеж свыше установленного порога (например, 100 000 руб. или эквивалент) требует подтверждения по второму каналу: звонок на номер из внутренней базы, а не из письма или чата.
Запрещено менять реквизиты банка по текстовому сообщению. Изменение контрагента подтверждается видеозвонком с известным вам сотрудником, а не по контакту из письма.
Коды из СМС, push-подтверждения и одноразовые ссылки никому не диктуются, включая «службу безопасности банка». Банк никогда не запрашивает их входящим звонком.
Двойное одобрение: платеж готовят и утверждают разные люди. ИИ-мошенники целенаправленно выбирают небольшие компании, где эти роли выполняет один человек.
Раз в полгода — учебная проверка: руководитель или консультант отправляет контрагенту правдоподобную просьбу о «срочном переводе» и смотрит, сработает ли регламент.

Стоимость внедрения: сам регламент — ноль рублей, только время (2–4 часа на выработку и инструктаж). Отдельный сервис проверки обучающих фишинговых кампаний для русскоязычных команд обойдется ориентировочно в 60 000–250 000 руб. за кампанию в год, в зависимости от размера компании — это на порядки дешевле средней суммы подменного платежа.

Что делать, если вы уже перешли по ссылке или перевели деньги

Первые минуты важнее идеальных действий. Порядок:

Отключите устройство от интернета, но не выключайте его — на RAM остаются улики для специалистов.
Смените пароли пострадавшего аккаунта с другого устройства, начиная с почты (это ключ ко всем остальным).
Если банк уже принял платеж — немедленно позвоните в банк и требуйте пометки о мошеннической операции; по 161-ФЗ «О национальной платёжной системе» (ст. 9) клиент вправе оспорить незаконную операцию, совершенную без его согласия, а банк обязан рассмотреть такое заявление. Заявление — в тот же день, письменно.
Уведомите ИТ-ответственного или внешнего подрядчика; при утечке данных персонала — подготовьте уведомление Роскомнадзору: по ч. 3.1 ст. 21 152-ФЗ уведомление о неправомерной передаче персональных данных направляется в течение 24 часов с момента фиксации инцидента, а результаты внутреннего расследования — в течение 72 часов.
Сохраните оригиналы писем, чатов ссылок и номеров — они нужны для банка, отчетности и силовых органов.

Чего не делать: не удалять письма, не «вычищать следы» и не пытаться самостоятельно «взломать обратно» — это отдельная статья КоАП/УК и потеря доказательств.

Чек-лист: быстрая самопроверка организации

Есть ли письменный регламент подтверждения платежей и смены реквизитов?
Включена ли MFA на корпоративной почте, VPN и CRM (не по SMS, а через приложение-аутентификатор)?
Знают ли сотрудники, что код из СМС/пуша нельзя диктовать никому?
Настроены ли имитационные фишинговые рассылки минимум раз в год?
Есть ли «кодовое слово» для семейных сценариев и малых команд?
Проверяются ли домены, похожие на ваш (типографика, кириллический омограф)?

Три «нет» и более означают высокую уязвимость к ИИ-социальной инженерии — закрывайте хотя бы пункты про регламент платежей и MFA в первую очередь, так как они дают максимальный результат за минимальные деньги.

Заключение

ИИ сделал фишинг умнее, быстрее и опаснее. Но это не изменило основной цели: обманом заставить вас совершить ошибку.

Сохраняя бдительность, проверяя запросы и используя правильные инструменты безопасности, вы можете защититься даже от самых совершенных атак ИИ.

Беспокоитесь о том, что ваша организация подвержена угрозам искусственного интеллекта? Свяжитесь с Cyberlord для комплексной оценки социальной инженерии. Мы проверим вашу защиту от новейших векторов атак с использованием искусственного интеллекта.

Обзор руководства по фишингу с использованием ИИ в 2026 году

В сжатом виде ключевые решения таковы: любой запрос о деньгах или доступах проверяется по второму каналу, платежи выше установленного порога проходят только через регламент с двойным одобрением, MFA включена на корпоративной почте и VPN через приложение-аутентификатор, раз в год проводится учебная фишинговая рассылка. Если клик уже произошел: сохраните улики, смените пароли с чистого устройства, письменно обратитесь в банк, а при утечке персональных данных уложитесь в 24 часа на уведомление Роскомнадзора.

Фишинг с использованием искусственного интеллекта: как обнаружить новую волну атак в 2026 году