В 2025 году энергетический сектор столкнулся с резким ростом фишинговых кампаний: по данным Hunt.io, исследователи зафиксировали более 1 465 обнаружений, нацеленных на такие крупные компании, как Chevron, ConocoPhillips, PBF Energy и Phillips 66. Анализ показал устойчивую и систематическую тактику злоумышленников, сочетавшую веб‑клонирование и многоуровневые схемы монетизации.
Что произошло
Атаки опирались на быструю генерацию поддельных сайтов с помощью инструментов типа HTTrack, что облегчало клонирование легитимных ресурсов предприятий. Наиболее пострадавшей оказалась Chevron: злоумышленники использовали не менее 158 доменов, выдававших себя за бренд компании.
Ключевые черты кампаний:
- массовое использование методов веб‑клонирования (HTTrack и подобные инструменты);
- комбинация сбора учётных записей и схем инвестиционного мошенничества для увеличения прибыли атакующих;
- низкая детектируемость фишинговых доменов в продуктах безопасности — зачастую их находило лишь от 1 до 9 из 94 протестированных решений;
- наличие открытых каталогов и хорошо структурированной инфраструктуры, указывающей на _постоянную_ природу операций;
- целенаправленность на порталы, связанные с investor relations — злоумышленники предпочитали разделы, где возможна финансовая выгода.
Почему текущие системы защиты оказались уязвимы
Низкая скорость и охват обнаружения фишинговых доменов в продуктах безопасности выявили существенный разрыв в механизмах защиты: многие домены оставались незамеченными широким спектром решений, что давало мошенникам время на эксплуатацию и репликацию инфраструктуры. Кроме того, привычные шаблоны брендинга и повторяющиеся признаки в HTTrack‑логах позволяли злоумышленникам быстро масштабировать операции.
Предлагаемые меры по смягчению последствий
Аналитики предлагают комплекс мер, направленных на сокращение окна эксплуатации поддельных ресурсов и повышение устойчивости организаций:
- Непрерывная аналитика доменов брендов: отслеживание вновь созданных доменов, включая методы типа hashing значков (icon hashing) и распознавание шаблонов в комментариях к HTTrack;
- Быстрые процедуры takedown: налаживание процессов оперативного удаления с участием регистраторов и хостинг‑провайдеров, автоматизация отчетности о злоупотреблениях с предоставлением исчерпывающих доказательств;
- Мониторинг клонированных порталов инвесторов: приоритетное наблюдение за разделами investor relations и агрессивное реагирование на подозрительные дубликаты;
- Повышение безопасности учётных записей: внедрение MFA и условного доступа (conditional access) на платформах с повторяющимися формами входа;
- Разработка правил в SIEM: формирование поисковых правил и детекторов артефактов для выявления повторяющихся признаков компрометации;
- Межсекторальный обмен разведданными: координация и быстрый обмен Indicators of Compromise (IoC) между компаниями и секторными группами для опережающего реагирования.
Почему это важно
Комбинация слабой детектируемости, стандартизированных методов клонирования и целенаправленного прицеливания на финансовые разделы сайтов повышает риск массовых компрометаций и финансовых потерь. Для эффективного снижения этого риска необходима не только техническая модернизация, но и организационная синхронизация: более тесное взаимодействие между командами безопасности компаний, регистраторами, хостингами и поставщиками продуктов безопасности.
Результаты исследования подчеркивают необходимость расширения интеграции информационных потоков об угрозах и ускорения реакции регистраторов для ограничивания масштабов распространения фишинга в энергетическом секторе.
Краткие рекомендации для компаний энергетики
- Внедрить постоянный мониторинг доменов и автоматизацию takedown‑процессов.
- Приоритетно защищать разделы investor relations и аналогичные точки входа для мошенников.
- Обязать использование MFA и условного доступа для всех сервисов с формами входа.
- Развернуть правила в SIEM для обнаружения характерных признаков HTTrack‑клонирования и повторяющихся паттернов.
- Участвовать в обмене threat intelligence с отраслевыми партнёрами.
Рост числа атак в 2025 году — тревожный сигнал: злоумышленники оперативно совершенствуют инструментарий и бизнес‑модели мошенничества. Только комплексный подход, сочетающий технические, организационные и кооперативные меры, позволит сократить окно воздействия и повысить защиту критически важных энергетических активов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Фишинг в энергетике 2025: Chevron и массовое клонирование HTTrack".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.
