Компания F6 обнаружила новую волну фишинговых писем, в которых злоумышленники прикрываются именами государственных ведомств, сообщил iXBT. В письмах они ссылаются на сбои в работе интернет сервисов.

Главное

  • В письмах говорится о внеплановых проверках, контрольных мероприятиях или административных наказаниях.
  • Получателям предлагают отсканировать QR-код и оплатить доставку. Сумма обычно составляет 400–600 руб.
  • По данным F6, за схемой стоит группировка QRGos TA. Она действует как минимум с осени 2025 года.

Как устроена схема

В поддельных письмах получателям сообщают о предстоящих проверках или наказаниях. Подробности якобы находятся в бумажных документах.

Эти документы, как утверждают злоумышленники, отправлены специальной доставкой. Чтобы получить корреспонденцию, компании предлагают отсканировать QR-код и оплатить услугу.

Если страница не открывается через Яндекс, злоумышленники советуют воспользоваться Google. В письмах используется формулировка «Повторите попытку через Google».

Сумма платежа обычно составляет 400–600 руб. На поддельных сайтах пользователей просят ввести банковские реквизиты, ФИО и адрес.

Полученные сведения могут использоваться в дальнейших атаках.

Какие компании получили письма

Поддельные уведомления получали компании из промышленности, логистики и строительства. Также письма приходили в розничную и интернет торговлю.

Среди получателей названа сфера обращения с коммунальными отходами. В сообщении говорится, что под угрозой оказались российские компании из нескольких отраслей.

По данным F6, за схемой стоит группировка QRGos TA. Она действует как минимум с осени 2025 года.

В начале 2026 года группировка маскировала рассылки под три федеральных ведомства. К сентябрю и октябрю она расширила список еще на две организации.

Что рекомендует F6

F6 рекомендует не сканировать QR-коды из подозрительных писем. Также компания советует проверять адреса отправителей и сайтов.

Подлинность уведомлений нужно уточнять через официальные контакты ведомств.

Ранее, по данным F6, QRGos TA уже использовала имена федеральных ведомств. С осени 2025 года она действует в этой схеме, а в 2026 году расширила набор организаций для маскировки.