Фото: tete_escape/Shutterstock/FOTODOM. Используется в информационных целях.
Вы нажали на картинку с автобусами, чтобы «доказать, что вы не робот». И тут всё. Ваши пароли, логины, банковские данные - скопированы и отправлены мошенникам. Новая схема весны 2026 года: поддельная CAPTCHA, которую вы отличить от настоящей не можете. В мае 2026 года сенатор Артём Шейкин официально предупредил россиян от имени Совета Федерации: угроза реальна и массова.
CAPTCHA как ловушка: как это вообще работает
CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) - это тест, который сайты используют для проверки: вы человек или бот? Классические варианты: выберите все светофоры на картинках, введите цифры с изображения, нажмите на все картинки с велосипедами.
Большинство людей делают это автоматически, не задумываясь. И именно это использовали мошенники.
Схема работает следующим образом: злоумышленники создают поддельные страницы CAPTCHA или взламывают легитимные сайты и встраивают в них поддельный CAPTCHA-модуль. Внешне он выглядит точно как настоящий - те же картинки, тот же дизайн, та же инструкция.
Но когда пользователь кликает «Я не робот», вместо обычной проверки запускается вредоносный скрипт. Он может:
- Скопировать из браузера сохранённые пароли
- Перехватить данные банковских карт
- Установить в браузер шпионское расширение
- Перенаправить вас на фишинговый сайт
- Скопировать cookies - «куки», позволяющие войти в ваши аккаунты без пароля
Предупреждение Совета Федерации: официальный уровень угрозы
В мае 2026 года сенатор Артём Шейкин, входящий в Комитет Совета Федерации по конституционному законодательству и государственному строительству, выступил с официальным предупреждением. Это не просто «совет эксперта» - это позиция законодательного органа страны.
"Мы фиксируем рост случаев использования поддельных CAPTCHA для кражи персональных данных. Злоумышленники создают страницы, неотличимые от легитимных, и используют привычку пользователей не задумываясь проходить проверку. Это серьёзная угроза, о которой граждане должны знать."
По данным специалистов, схема начала массово распространяться в феврале 2026 года. К моменту предупреждения Шейкина - в мае - она уже была задокументирована сотнями случаев по всей стране.
Новая разновидность: «открыть дополнительное окно»
Самая опасная разновидность поддельной CAPTCHA - та, которая просит пользователя «открыть дополнительное окно» для прохождения проверки. Вместо обычных картинок появляется сообщение:
«Для завершения проверки нажмите 'Windows + R', введите команду и нажмите Enter. Это необходимо для безопасности вашего соединения.»
Команда, которую предлагает ввести, запускает PowerShell - встроенный инструмент Windows - с вредоносным скриптом. Скрипт устанавливает вирус, который краде данные, или создаёт удалённый доступ к компьютеру жертвы.
Большинство пользователей, увидев знакомую инструкцию на «проверочной» странице, выполняют команду не задумываясь. Привычка доверять CAPTCHA - против них.
Где встречаются поддельные CAPTCHA
Мошенники распространяют ссылки на страницы с поддельными CAPTCHA несколькими способами:
- Через спам-сообщения в мессенджерах («Вы выиграли приз, нажмите сюда»)
- Через взломанные аккаунты в соцсетях («Посмотри это видео»)
- Через рекламные объявления на легитимных площадках
- Через фишинговые письма по электронной почте
- Через поддельные сайты - копии легитимных ресурсов
Особенно часто поддельная CAPTCHA встречается на страницах, которые обещают что-то бесплатное: «Скачать фильм», «Получить промокод», «Узнать результаты проверки». Любопытство и жажда халявы - надёжные союзники мошенников.
Технические подробности: как распознать подделку
Настоящую и поддельную CAPTCHA можно различить, если знать, на что обращать внимание. Несколько признаков, которые должны насторожить:
- Просьба открыть командную строку или «дополнительное окно». Настоящая CAPTCHA никогда этого не делает.
- Необычные кнопки и инструкции. Стандартная CAPTCHA Google (reCAPTCHA) выглядит очень простой - флажок и три слова «Я не робот».
- Адрес сайта в строке браузера. Если вы не узнаёте домен - стоит остановиться.
- HTTPS и замок. Поддельные страницы часто не имеют SSL-сертификата.
- «Проверка» занимает слишком долго. Настоящая CAPTCHA - дело секунд.
Кто уже пострадал: география жертв
По данным из регионов, которые собрало МВД к маю 2026 года, жертвы поддельных CAPTCHA зафиксированы в большинстве крупных городов России - Москве, Санкт-Петербурге, Екатеринбурге, Новосибирске, Казани. Схема не имеет географической привязки - она работает везде, где есть интернет.
Социальный портрет жертвы тоже неожиданный. Многие думают, что на такие уловки попадаются только пожилые люди, не разбирающиеся в технологиях. Но нет: значительную часть жертв составляют люди 25-40 лет, активные пользователи интернета. Именно потому, что они активные - они сталкиваются с CAPTCHA часто и давно выработали привычку «нажать и забыть».
Что происходит после кражи данных
Что мошенник делает с украденными данными? Несколько сценариев:
Немедленная кража денег. Если получены данные банковской карты - деньги снимаются в течение нескольких минут.
Продажа данных. Логины и пароли от популярных сервисов продаются в даркнете оптом. Ваш email и пароль могут стоить от 10 до 500 рублей в зависимости от «ценности» аккаунта.
Захват аккаунтов. Если украдены cookies, мошенник может войти в ваши аккаунты без пароля и использовать их для рассылки спама от вашего имени, выманивания денег у ваших контактов, шантажа личными данными.
Долгосрочная слежка. Если установлено шпионское расширение браузера - мошенник может незаметно следить за всем, что вы делаете онлайн, неделями или месяцами.
Статистика: масштаб угрозы в 2026 году
ПоказательДанные Утечка персональных данных россиян за 2025 год767 млн строк (F6, февраль 2026) Рост утечек к 2024 году+67,6% Доля дипфейк-звонков в общем мошенническом трафике10% (Мегафон, апрель 2026) Ущерб от IT-преступлений за 2025 год195 млрд руб. (Генпрокуратура) Возмещённый ущерб13,3 млрд руб. (менее 7%)
Что делать, если вы попались
Если вы прошли подозрительную CAPTCHA и подозреваете, что данные могли быть скомпрометированы:
- Немедленно смените пароли на всех важных аккаунтах (почта, банк, Госуслуги)
- Включите двухфакторную аутентификацию везде, где это возможно
- Проверьте браузерные расширения - удалите все незнакомые
- Просканируйте компьютер антивирусом
- Позвоните в банк и попросите проверить подозрительные операции
- Обратитесь в полицию - даже если ущерба ещё нет
Открытый вопрос
Мы все ежедневно кликаем «Я не робот» - не задумываясь. Удобство и привычка против безопасности. Если даже «проверка безопасности» стала инструментом кражи - что вообще можно считать надёжным в интернете?
Знали ли вы об этой угрозе раньше? И как часто проходите CAPTCHA, не задумываясь? Пишите в комментариях.