8 актуальных схем лета 2026 года — что они меняют для банковского антифрода

Мошенническая атака все реже укладывается в один канал. Первый контакт может начаться в мессенджере или через рекламу, затем пользователь устанавливает вредоносное приложение или передает данные, а финансовая операция проходит уже в банковском приложении. Для банка это означает, что отдельный платеж нередко оказывается последним этапом более длинного сценария.

Чтобы показать такие цепочки целиком, F6 выпустила первый «Фрод-дайджест: анатомия мошенничества в онлайн-бизнесе — лето 2026» — ежеквартальный обзор актуальных мошеннических схем. В летний выпуск вошли 8 разборов: от Android-троянов и NFC-ретрансляции до атак на бухгалтерию и социальной инженерии.

Общий вектор — усложнение многоэтапных сценариев и перенос части атаки за пределы банковского контура. Мошенники используют поддельные приложения и сайты, удаленное управление смартфонами, фейковые рабочие чаты, инвестиционные воронки и привычные для клиента платежные сценарии.

Для банковского антифрода это создает две проблемы. Во-первых, легитимные учетные данные или корректное подтверждение операции еще не означают, что сессией управляет сам клиент. Во-вторых, начало атаки может проходить там, где банк его не видит: в мессенджере, на рекламной площадке, в телефонном разговоре или на устройстве клиента. Поэтому при оценке риска важен контекст до транзакции — устройство, поведение в сессии, связи аккаунтов и получателя, история действий.

Первый «Фрод-дайджест» объединяет восемь разборов, сгруппированных вокруг четырех направлений: мошенничество против покупателей, финансовые воронки, атаки на сам бизнес и социальная инженерия.

1. Mamont. Схема начинается с поддельного объявления или предложения «безопасной сделки». Пользователя уводят из привычного сервиса и подталкивают установить приложение, которое может перехватывать платежные данные и одноразовые коды.

2. RedWing, Falcon и LunaSpy. Трояны для Android маскируются под привычные приложения и сервисы. После установки они получают расширенные возможности на устройстве — от сбора данных до удаленного управления.

3. PromptSpy. Вредоносное ПО использует генеративный ИИ для анализа интерфейса смартфона и помощи приложению в закреплении на устройстве. Дальнейшее удаленное управление выполняет оператор через встроенный VNC-модуль.

4. NFCGate. Схема строится на ретрансляции NFC-сигнала между картой жертвы и устройством злоумышленника. В результате привычное действие с картой или смартфоном может оказаться частью операции, которую человек фактически не инициировал.

5. Инвестиционный и криптофишинг. Пользователя проводят через последовательную воронку: реклама, регистрация, общение с «брокером», перевод денег, демонстрация фиктивной прибыли и последующая блокировка вывода.

6. Buhtrap/DarkWatchman. Здесь целью становится уже не клиент банка, а сама компания. Вредоносное письмо может привести к компрометации рабочего компьютера бухгалтера или финансового сотрудника и попытке провести платеж через корпоративное ДБО.

7. Мошенничество с регулярными платежами. Поддельные квитанции и другие привычные платежные документы переносят атаку в канал, которому пользователь привык доверять. Начало сценария может происходить полностью вне приложения или сайта банка.

8. Социальная инженерия. Фейковые вакансии, захват аккаунтов в мессенджерах, ложные бронирования и другие легенды не обязательно требуют вредоносного кода. Основной инструмент — убедить человека самому передать код, данные или деньги.

Для банка критичен не только факт мошеннической операции, но и то, какой контекст доступен в момент принятия решения. Скомпрометированное устройство может выглядеть знакомым, платеж — соответствовать формальным лимитам. При использовании социальной инженерии клиент сам подтверждает действия. При атаке на корпоративного клиента платеж может формироваться из доверенной рабочей среды.

Отдельный риск связан с разрывом между системами. Сессионный контур может видеть изменение поведения или устройства, но если этот сигнал не используется при оценке операции, транзакционный антифрод начинает анализ почти с нуля. Обратная ситуация тоже опасна: транзакция выглядит нетипично, но система не знает, что ей предшествовала подозрительная сессия.

Для бизнеса к прямым финансовым потерям добавляются репутационные последствия. Поддельные сервисы бронирования и инвестиционные платформы мимикрируют под привычные цифровые продукты, фальшивые квитанции подрывают доверие к легитимным коммуникациям, а атаки на бухгалтерию затрагивают уже собственные денежные средства компании.

Отдельный инцидент показывает только один эпизод. Чтобы понять, как меняется мошенничество, нужно видеть повторяющуюся механику: от первого контакта с жертвой до вывода денег.

Для этого F6 развивает F6 Fraud Matrix — базу знаний о мошеннических техниках и сценариях. Аналитики связывают технические признаки с последовательностью действий злоумышленника, участниками атаки и бизнес-риском. Для банковской команды это дает общий язык для антифрода, ИБ и риск-менеджмента: можно обсуждать не отдельный индикатор, а весь сценарий и точки, где его реально остановить.

Fraud Matrix стала основой для ежеквартального «Фрод-дайджеста»: в каждом выпуске F6 выбирает наиболее заметные схемы прошедшего периода и разбирает их с точки зрения механики атаки, риска для бизнеса и возможной защиты.

Скачать «Фрод-дайджест: анатомия мошенничества в онлайн-бизнесе — лето 2026»