«Вход строго по спискам»: киберпреступники собирают данные родственников участников СВО через фальшивые сайты Минобороны

Компания F6, российский разработчик технологий для борьбы с киберугрозами, совместно со специалистами Минобороны России зафиксировала новую схему сбора персональных данных родных и близких участников СВО. С помощью ИИ злоумышленники создали фейковые сайты Минобороны, на которых предлагают пройти регистрацию для участия в церемонии передачи государственных наград. При этом требуется указать номер паспорта, СНИЛС и ИНН приглашенного и его сопровождающих. Преступники могут использовать эти сведения как для получения доступа к госсервисам и оформления микрозаймов, так и для дальнейших мошеннических атак на родственников бойцов. Сейчас фейковые сайты заблокированы на территории России. Об этом CNews сообщили представители F6.

Ошибка в адресе

В рамках совместной работы аналитики департамента защиты от цифровых рисков (Digital Risk Protection) компании F6 обнаружили новую схему сбора персональных данных родственников погибших участников СВО, которую используют киберпреступники.

Злоумышленники создали фейковые сайты Министерства обороны Российской Федерации, на которых предлагают пройти регистрацию для участия в церемонии передачи государственных наград участников СВО их родственникам. Один из доменов, на котором размещен фальшивый сайт, был создан в мае 2026 г., второй – в октябре 2025 г. Название первого из мошеннических доменов (mil-ru-gov[.]info) маскируется под домен официального сайта Минобороны (mil.ru).

На главной и единственной странице на фальшивых сайтах размещена форма регистрации для участников церемонии, в которой предлагается указать ФИО, номер телефона, а также номер одного из трёх документов – паспорта, СНИЛС или ИНН. В оформлении поддельных сайтов использованы отдельные элементы официального сайта Минобороны – логотип и герб, частично – навигационное меню с переходом в разделы «О Министерстве», «Деятельность», «Документы», «Новости», «Служба».

Дизайн фейковых сайтов значительно отличается от внешнего вида официального сайта Минобороны. Однако пользователям, которые этот сайт ранее не посещали, трудно заметить подделку.

Специалисты обращают внимание на тщательную маскировку фальшивых сайтов: кроме формы заполнения данных, все остальные ссылки (включая нижнее меню с разделами «Контакты», «Сообщить об ошибке», «Поиск по сайту» и другие) ведут в соответствующие разделы официального сайта Министерства обороны. Кнопки перехода на поддельных сайтах также ведут на официальные страницы министерства в социальных сетях.

Берегите данные

Злоумышленники используют против посетителей сайта еще одну уловку. При заполнении данных якобы для «регистрации» требуется указать персональные данные не только самого пользователя, но и тех, кто будет его сопровождать. Для этого в форме регистрации размещена кнопка «Добавить гостя». За счет этого преступники стремятся расширить круг родственников участников СВО, чьи персональные данные они пытаются похитить через мошеннический сайт.

Аналитики F6 отмечают, что перечень документов, данные которых предлагается ввести через «форму регистрации» (паспорт, ИНН, СНИЛС), позволяет злоумышленникам впоследствии инициировать взлом аккаунтов госсервисов, так как в некоторых из них для восстановления забытого пароля иногда предлагается указать номер паспорта или иного документа. В некоторых случаях преступники могут попытаться с помощью скомпрометированных данных оформить микрозаймы на имя людей, чьи данные ввели на фальшивых сайтах.

Однако главный вероятный вектор последующих атак на родственников бойцов, чьи данные скомпрометированы таким образом – мошенничество с целью кражи денег или склонения к совершению преступлений. Используя информацию о номере телефона в связке с ФИО, мошенники могут совершать звонки по телефону, под разными предлогами вынуждая пользователя сообщать другие персональные данные, имитировать ситуацию взлома аккаунта госсервиса. В том числе мошенников может интересовать доступ к банковским аккаунтам и приложениям пользователя.

При изучении фейковых сайтов Минобороны специалисты обнаружили, что разрабатывали эти страницы, вероятно, с помощью LLM-модели. В нижней части формы «регистрации» видна необработанная ошибка: Unexpected token '<', "<!DOCTYPE "... is not valid JSON — признак сырого, наспех написанного кода. Однако эта ошибка не мешает злоумышленникам собирать персональные данные через формы и отправлять их на свои сервера: ошибка возникает уже после отправки информации.

На момент исследования не удалось достоверно установить, как именно злоумышленники направляют пользователей на фейковые сайты Минобороны. Возможно, что преступники разработали поддельные ресурсы, но ещё не успели задействовать их в атаках на родных и близких бойцов. Либо эти атаки проводятся через персональные ссылки, которые мошенники могут распространять через сообщения в мессенджерах или по электронной почте.

В настоящее время фейковые сайты заблокированы на территории России. Однако не исключено, что злоумышленники могут создать для размещения поддельных страницы новые домены.

Рекомендации по защите от мошенничества со сбором персональных данных

Не переходите по ссылкам от неизвестных из СМС, сообщений в мессенджерах и писем в электронной почте.

Не указывайте персональные данные (включая ФИО, номер паспорта, ИНН, СНИЛС, адрес электронной почты, реквизиты банковской карты) на сомнительных ресурсах и сайтах, которые посещаете впервые.

Прежде чем перейти на незнакомые сайты, проверьте их через whois-сервисы: официальные домены государственных ведомств и сервисов имеют долгую историю. Если домен создан менее года назад, высока вероятность, что его используют мошенники.

Не фотографируйте и не отправляйте неизвестным скриншоты, которые содержат персональные данные или любую другую чувствительную информацию.

Не публикуйте в социальных сетях и мессенджерах фото документов и любые другие изображения, которые раскрывают персональные данные.

В случае если вы уже ввели данные на сомнительном сайте, будьте готовы к звонкам от мошенников.

Если вы обнаружили подозрительный сайт, отправьте ссылку или сообщение на платформу «Антифишинг». Специалисты F6 проверят информацию и передадут ее регуляторам для блокировки.

В любой сомнительной ситуации, прежде чем что-то предпринять, посоветуйтесь с теми, кому доверяете.