Мониторинг фейковых сайтов и фишинга под именем бренда
По данным на 2024 год 80% гомоглиф-доменов, похожих на бренды из списка Global 2000, зарегистрированы третьими лицами, и у 42% из них настроены MX-записи — то есть домен технически готов отправлять почту от имени компании, включая фишинговые письма партнёрам и клиентам. Это не потенциальная угроза, а готовая инфраструктура атаки, которая просто ждёт запуска.
Четыре типа доменных угроз — и почему их нельзя лечить одним протоколом
Служба безопасности, которая реагирует на все подозрительные домены одинаково, теряет время там, где его нет. Домен-парковка может подождать неделю. Копия страницы авторизации не может подождать и суток.
| Тип домена | Механика угрозы | Приоритет реакции |
|---|---|---|
| Тайпосквоттинг (опечатки в имени бренда) | Перехват случайного трафика, редирект на конкурентов или рекламу | Средний |
| Гомоглифы (визуально идентичные символы, кириллица вместо латиницы) | Точная имитация домена, кража учётных данных, готовые MX-записи для рассылок | Критический |
| Комбосквоттинг (бренд + слово: bank-support, brand-shop) | Расширение легенды, контрафактные магазины, SEO-паразитирование | Высокий |
| Маскирующие слова (login, verify, secure, account) | Прямая имитация формы входа или оплаты — максимальная конверсия обмана | Критический |
Статистика первого полугодия 2026 года смещает акцент туда, где его обычно не ищут: из 45 321 зафиксированного инцидента 45,73% пришлось на SEO-загрязнение — паразитные страницы, перехватывающие трафик через поисковую выдачу, а не через прямой набор адреса в браузере. Контрафактные сайты дали 29,56%. Мониторинг одного доменного реестра эти цифры не закрывает — нужен отдельный контроль выдачи и отдельный контроль маркетплейсов, это разные каналы с разными инструментами блокировки.
Товарный знак — не бумажка для отчётности, а единственный ключ к блокировке
Без зарегистрированного товарного знака требовать блокировки домена не через что: ни UDRP-панель, ни суд, ни Роскомнадзор не примут претензию, построенную на одной репутации бренда. Регистратор и хостинг-провайдер реагируют не потому, что компания «известна», а потому что есть охраняемое право, которое конкретный домен нарушает. Без права любая претензия — это просьба, которую законно проигнорировать.
Компании, откладывающие регистрацию знака до момента, когда фишинг уже нанёс ущерб, теряют месяцы на доказывание самого факта права — вместо того чтобы сразу доказывать нарушение. UDRP-панель и суд первым делом сверяют дату регистрации знака с датой регистрации спорного домена: если знак зарегистрирован позже домена, дело резко усложняется, а иногда становится безнадёжным.
Кейс: поддомен четвёртого уровня, который три месяца собирал данные банковских карт
Схема повторяется у разных финансовых брендов с пугающей стабильностью. Злоумышленник регистрирует легитимно выглядящий домен третьего уровня и размещает фишинговую страницу на поддомене четвёртого-пятого уровня вида secure-login.brandname-support.example.com. Системы мониторинга, настроенные на отслеживание только корневых доменов и прямых вариаций названия бренда, такие конструкции пропускают систематически — значительное число подобных фишинговых сайтов остаются вне поля видимости стандартных проверок, особенно на поддоменах глубоких уровней. Переломный момент наступает не через жалобу клиента, а через мониторинг Certificate Transparency: как только для поддомена выпускается SSL-сертификат, запись об этом попадает в публичный лог до запуска активной атаки. Команда, отслеживающая логи в реальном времени, получает окно в несколько часов или дней, чтобы среагировать раньше массовой фишинговой рассылки. При модульном подходе — автоматическое выявление, ручной анализ юристом, немедленное действие через регистратора или хостинг — 87% таких ресурсов блокируются менее чем за 24 часа. Без этого модуля тот же поддомен живёт месяцами, потому что формально не совпадает ни с одним шаблоном в списке отслеживаемых доменов.
Юридический маршрут: от дешёвого к дорогому, без перескакивания через шаги
Порядок действий правообладателя выстраивается по нарастанию затрат времени и денег. Пропуск обязательного шага почти всегда наказывается на следующем этапе.
- Досудебная претензия регистратору и хостинг-провайдеру. Снимает домен-парковку и явный фишинг за несколько дней без формальной процедуры — при условии, что приложены доказательства нарушения и копия свидетельства на товарный знак.
- UDRP (международные зоны) или процедура КЦ (.ru/.рф). Сроки и стоимость различаются радикально — сравнение ниже.
- Судебный иск. Нужен, если UDRP/КЦ не дал результата или требуется взыскать убытки. В США по ACPA можно получить $1 000–100 000 компенсации за один домен — этого UDRP не даёт в принципе.
- Обращение в Роскомнадзор (ст. 15.1 закона об информации). Оперативная блокировка доступа к фишинговому ресурсу на территории РФ, но не замена судебного решения — для аннулирования домена в зонах .ru/.рф суд всё равно обязателен.
| Параметр | UDRP (международные зоны) | Процедура КЦ (.ru/.рф) |
|---|---|---|
| Срок рассмотрения | 45–60 дней | 30–45 дней |
| Стоимость | $1 500–3 000 | $20 000–60 000 |
| Успешность в прямых случаях киберсквоттинга | более 80% | требует дополнительного судебного подтверждения |
Смешивать шаги — плохая идея: судебный иск без досудебной претензии суд часто отклоняет как несоблюдение обязательного порядка. А обращение в Роскомнадзор без параллельной работы над правами на домен закрывает доступ временно, оставляя ресурс живым для перезапуска под новым IP уже на следующей неделе.
Доказательная база: что собрать до подачи UDRP или иска
Панель UDRP и суд решают дело по документам, а не по репутации заявителя. Минимальный набор:
- Скриншоты фишинговой страницы с датой и временем фиксации — через нотариальное заверение или сервис автоматической фиксации, обычный скрин без метаданных суд может не принять как доказательство.
- WHOIS-данные домена на момент обнаружения, включая историю регистрации.
- Доказательство регистрации товарного знака с датой приоритета, предшествующей регистрации спорного домена.
- Технический анализ MX-записей и SSL-сертификата — показывает готовность домена к активной фишинговой рассылке, а не пассивной парковке.
- Примеры фактического обмана пользователей: жалобы клиентов, переписка поддержки, случаи мошеннических транзакций.
77% фишинговых доменов регистрируются киберпреступниками специально под конкретную атаку, а не переносятся с ранее легитимных ресурсов, и 37% проходят через сервисы массовой регистрации. Эти цифры стоит фиксировать в деле отдельно — они усиливают аргумент о недобросовестности регистрации, а это ключевой критерий победы в UDRP.
Мониторинг без пауз: почему расписание проверок — устаревшая модель
Ждать жалобы клиента — значит реагировать на уже случившийся ущерб. Фишинговые атаки выросли на 182% с 2021 года и достигли 1,96 млн атак в год; при таком темпе периодическая ручная проверка физически не успевает.
Рабочая система строится на трёх параллельных потоках:
- слежение за логами Certificate Transparency на упоминание бренда в имени сертификата;
- автоматический скан вариаций домена (тайпо, гомоглифы, комбо) через регистраторские API;
- отдельный контроль поддоменов глубокого уровня, которые обычные сканеры игнорируют.
Именно третий поток закрывает те самые 8 000 ежегодных фишинговых сайтов на поддоменах 4–5 уровня, остающихся вне зоны внимания базовых инструментов. Ценность такой системы не в количестве найденных доменов, а в скорости перехода от обнаружения к блокировке. Модульная связка «выявление → юридический анализ → немедленное действие через готовый шаблон претензии» и даёт те самые 87% блокировок за сутки. Без заранее подготовленной юридической базы — зарегистрированного знака, шаблонов претензий, налаженного канала с регистраторами — даже мгновенное обнаружение фишинга превращается в недели бюрократии, пока атака продолжает собирать данные пользователей.
По данным на 2024 год 80% гомоглиф-доменов, похожих на бренды из списка Global 2000, зарегистрированы третьими лицами, и у 42% из них настроены MX-записи — то есть домен технически готов отправлять почту от имени компании, включая фишинговые письма партнёрам и клиентам. Это не потенциальная угроза, а готовая инфраструктура атаки, которая просто ждёт запуска.
Четыре типа доменных угроз — и почему их нельзя лечить одним протоколом
Служба безопасности, которая реагирует на все подозрительные домены одинаково, теряет время там, где его нет. Домен-парковка может подождать неделю. Копия страницы авторизации не может подождать и суток.
| Тип домена | Механика угрозы | Приоритет реакции |
|---|---|---|
| Тайпосквоттинг (опечатки в имени бренда) | Перехват случайного трафика, редирект на конкурентов или рекламу | Средний |
| Гомоглифы (визуально идентичные символы, кириллица вместо латиницы) | Точная имитация домена, кража учётных данных, готовые MX-записи для рассылок | Критический |
| Комбосквоттинг (бренд + слово: bank-support, brand-shop) | Расширение легенды, контрафактные магазины, SEO-паразитирование | Высокий |
| Маскирующие слова (login, verify, secure, account) | Прямая имитация формы входа или оплаты — максимальная конверсия обмана | Критический |
Статистика первого полугодия 2026 года смещает акцент туда, где его обычно не ищут: из 45 321 зафиксированного инцидента 45,73% пришлось на SEO-загрязнение — паразитные страницы, перехватывающие трафик через поисковую выдачу, а не через прямой набор адреса в браузере. Контрафактные сайты дали 29,56%. Мониторинг одного доменного реестра эти цифры не закрывает — нужен отдельный контроль выдачи и отдельный контроль маркетплейсов, это разные каналы с разными инструментами блокировки.
Товарный знак — не бумажка для отчётности, а единственный ключ к блокировке
Без зарегистрированного товарного знака требовать блокировки домена не через что: ни UDRP-панель, ни суд, ни Роскомнадзор не примут претензию, построенную на одной репутации бренда. Регистратор и хостинг-провайдер реагируют не потому, что компания «известна», а потому что есть охраняемое право, которое конкретный домен нарушает. Без права любая претензия — это просьба, которую законно проигнорировать.
Компании, откладывающие регистрацию знака до момента, когда фишинг уже нанёс ущерб, теряют месяцы на доказывание самого факта права — вместо того чтобы сразу доказывать нарушение. UDRP-панель и суд первым делом сверяют дату регистрации знака с датой регистрации спорного домена: если знак зарегистрирован позже домена, дело резко усложняется, а иногда становится безнадёжным.
Кейс: поддомен четвёртого уровня, который три месяца собирал данные банковских карт
Схема повторяется у разных финансовых брендов с пугающей стабильностью. Злоумышленник регистрирует легитимно выглядящий домен третьего уровня и размещает фишинговую страницу на поддомене четвёртого-пятого уровня вида secure-login.brandname-support.example.com. Системы мониторинга, настроенные на отслеживание только корневых доменов и прямых вариаций названия бренда, такие конструкции пропускают систематически — значительное число подобных фишинговых сайтов остаются вне поля видимости стандартных проверок, особенно на поддоменах глубоких уровней. Переломный момент наступает не через жалобу клиента, а через мониторинг Certificate Transparency: как только для поддомена выпускается SSL-сертификат, запись об этом попадает в публичный лог до запуска активной атаки. Команда, отслеживающая логи в реальном времени, получает окно в несколько часов или дней, чтобы среагировать раньше массовой фишинговой рассылки. При модульном подходе — автоматическое выявление, ручной анализ юристом, немедленное действие через регистратора или хостинг — 87% таких ресурсов блокируются менее чем за 24 часа. Без этого модуля тот же поддомен живёт месяцами, потому что формально не совпадает ни с одним шаблоном в списке отслеживаемых доменов.
Юридический маршрут: от дешёвого к дорогому, без перескакивания через шаги
Порядок действий правообладателя выстраивается по нарастанию затрат времени и денег. Пропуск обязательного шага почти всегда наказывается на следующем этапе.
- Досудебная претензия регистратору и хостинг-провайдеру. Снимает домен-парковку и явный фишинг за несколько дней без формальной процедуры — при условии, что приложены доказательства нарушения и копия свидетельства на товарный знак.
- UDRP (международные зоны) или процедура КЦ (.ru/.рф). Сроки и стоимость различаются радикально — сравнение ниже.
- Судебный иск. Нужен, если UDRP/КЦ не дал результата или требуется взыскать убытки. В США по ACPA можно получить $1 000–100 000 компенсации за один домен — этого UDRP не даёт в принципе.
- Обращение в Роскомнадзор (ст. 15.1 закона об информации). Оперативная блокировка доступа к фишинговому ресурсу на территории РФ, но не замена судебного решения — для аннулирования домена в зонах .ru/.рф суд всё равно обязателен.
| Параметр | UDRP (международные зоны) | Процедура КЦ (.ru/.рф) |
|---|---|---|
| Срок рассмотрения | 45–60 дней | 30–45 дней |
| Стоимость | $1 500–3 000 | $20 000–60 000 |
| Успешность в прямых случаях киберсквоттинга | более 80% | требует дополнительного судебного подтверждения |
Смешивать шаги — плохая идея: судебный иск без досудебной претензии суд часто отклоняет как несоблюдение обязательного порядка. А обращение в Роскомнадзор без параллельной работы над правами на домен закрывает доступ временно, оставляя ресурс живым для перезапуска под новым IP уже на следующей неделе.
Доказательная база: что собрать до подачи UDRP или иска
Панель UDRP и суд решают дело по документам, а не по репутации заявителя. Минимальный набор:
- Скриншоты фишинговой страницы с датой и временем фиксации — через нотариальное заверение или сервис автоматической фиксации, обычный скрин без метаданных суд может не принять как доказательство.
- WHOIS-данные домена на момент обнаружения, включая историю регистрации.
- Доказательство регистрации товарного знака с датой приоритета, предшествующей регистрации спорного домена.
- Технический анализ MX-записей и SSL-сертификата — показывает готовность домена к активной фишинговой рассылке, а не пассивной парковке.
- Примеры фактического обмана пользователей: жалобы клиентов, переписка поддержки, случаи мошеннических транзакций.
77% фишинговых доменов регистрируются киберпреступниками специально под конкретную атаку, а не переносятся с ранее легитимных ресурсов, и 37% проходят через сервисы массовой регистрации. Эти цифры стоит фиксировать в деле отдельно — они усиливают аргумент о недобросовестности регистрации, а это ключевой критерий победы в UDRP.
Мониторинг без пауз: почему расписание проверок — устаревшая модель
Ждать жалобы клиента — значит реагировать на уже случившийся ущерб. Фишинговые атаки выросли на 182% с 2021 года и достигли 1,96 млн атак в год; при таком темпе периодическая ручная проверка физически не успевает.
Рабочая система строится на трёх параллельных потоках:
- слежение за логами Certificate Transparency на упоминание бренда в имени сертификата;
- автоматический скан вариаций домена (тайпо, гомоглифы, комбо) через регистраторские API;
- отдельный контроль поддоменов глубокого уровня, которые обычные сканеры игнорируют.
Именно третий поток закрывает те самые 8 000 ежегодных фишинговых сайтов на поддоменах 4–5 уровня, остающихся вне зоны внимания базовых инструментов. Ценность такой системы не в количестве найденных доменов, а в скорости перехода от обнаружения к блокировке. Модульная связка «выявление → юридический анализ → немедленное действие через готовый шаблон претензии» и даёт те самые 87% блокировок за сутки. Без заранее подготовленной юридической базы — зарегистрированного знака, шаблонов претензий, налаженного канала с регистраторами — даже мгновенное обнаружение фишинга превращается в недели бюрократии, пока атака продолжает собирать данные пользователей.
Актуальные статьи
МегаФон, BMW, ВТБ и ещё 240+ компаний. Смотрите как это выглядит в шоуриле:
В наше брендинговое агентство обращаются, чтобы заказать:
